Çin kaynaklı TA416 adlı tehdit aktörü, Avrupa’daki hükümet kurumlarını hedef alan yeni bir siber casusluk kampanyası yürütüyor. Kampanya, DarkPeony, RedDelta, Red Lich, SmugX, UNC6384 ve Vertigo Panda gibi diğer tehdit gruplarıyla örtüşen teknik ve taktikler içeriyor. Saldırılar, özellikle OAuth tabanlı kimlik avı (phishing) yöntemleri ve PlugX zararlısı kullanımıyla dikkat çekiyor.
Saldırı Zinciri ve Teknik Detaylar
TA416’nın saldırı zinciri genellikle şu aşamalardan oluşuyor:
- Başlangıç: Hedef kurum çalışanlarına yönelik sofistike phishing e-postaları gönderiliyor. Bu e-postalar OAuth protokolünü kötüye kullanarak kullanıcıların kimlik bilgilerini ele geçirmeyi amaçlıyor.
- Yükleme: Başarılı kimlik avı sonrası PlugX zararlısı sisteme yükleniyor. PlugX, uzaktan erişim ve veri sızdırma için kullanılan gelişmiş bir RAT (Remote Access Trojan) olarak biliniyor.
- Komuta ve Kontrol (C2): Zararlı yazılım, saldırganların kontrolündeki sunucularla iletişim kurarak sistemde kalıcılık sağlıyor ve hassas verileri sızdırıyor.
Bu kampanyada kullanılan OAuth tabanlı phishing, kullanıcıların meşru görünen uygulamalar üzerinden kimlik doğrulaması yapmalarını sağlayarak güvenlik duvarlarını aşmayı hedefliyor. PlugX zararlısı ise özellikle Windows ortamlarında kalıcı erişim sağlamak için tercih ediliyor.
Hangi Sistemler Risk Altında?
Özellikle Avrupa’daki kamu kurumları ve devlet destekli kuruluşlar hedef alınmakta. Bu kurumların kullandığı kurumsal e-posta sistemleri, kimlik ve erişim yönetimi (IAM) altyapıları ile güvenlik duvarları risk altında. Ayrıca, OAuth tabanlı kimlik doğrulama sistemleri ve bulut tabanlı hizmetler de bu saldırılardan etkilenebiliyor.
Siber Güvenlik Ekipleri İçin Öneriler
- E-posta güvenliği çözümlerinde OAuth tabanlı kimlik avı tespit yeteneklerini aktif hale getirin.
- EDR sistemlerinde PlugX ve benzeri RAT imzalarını güncel tutun ve anormal C2 trafiği için uyarılar oluşturun.
- Çok faktörlü kimlik doğrulama (MFA) uygulamasını zorunlu kılarak kimlik avı riskini azaltın.
- SIEM sistemlerinde OAuth yetkilendirme olaylarını detaylı şekilde izleyin ve analiz edin.
- Ağ segmentasyonu ile kritik sistemleri izole ederek saldırganların hareket alanını kısıtlayın.
- Olay müdahale (incident response) planlarını OAuth tabanlı saldırılar ve RAT bulaşmaları için güncelleyin.
- Kurumsal IAM politikalarını gözden geçirerek gereksiz izinleri kaldırın ve erişim kontrollerini sıkılaştırın.
- Çalışanlara yönelik düzenli farkındalık eğitimleri ile phishing ve sosyal mühendislik saldırılarına karşı bilinçlendirme yapın.
Teknik Özet
- Kullanılan zararlılar/araçlar: PlugX RAT, OAuth tabanlı phishing araçları
- Hedef sektörler: Avrupa hükümet kurumları ve kamu destekli kuruluşlar
- Kullanılan zafiyetler: OAuth protokolü üzerinden kimlik avı, sosyal mühendislik
- Saldırı zinciri: Phishing e-postası → OAuth kimlik doğrulama tuzağı → PlugX yüklemesi → C2 iletişimi ve veri sızdırma
- Önerilen savunma: MFA kullanımı, EDR ve SIEM entegrasyonu, ağ segmentasyonu, güncel yamalar