NATO filosu için gemi inşa eden bir tersaneye yönelik sızma girişimi, Rusya bağlantılı APT28 grubunun yeni bir arka kapı ve daha önce görülmemiş bir yükleyici kullandığını ortaya çıkardı. Symantec Threat Hunter Team’in Swallowtail adıyla izlediği faaliyet kümesi, saldırı zincirinde HOOKEDGE adlı arka kapıyı ve yeni bir reflective loader bileşenini tespit etti.
Swallowtail izinde görülen yeni araçlar
İncelemeye göre saldırı, NATO üyesi bir ülkedeki savunma sanayi hedefini aldı ve deniz platformlarıyla bağlantılı üretim ortamına uzandı. Araştırmacılar, grubun operasyon sırasında HOOKEDGE’i kalıcılık ve komuta-kontrol iletişimi için kullandığını, ardından belleğe yüklendiğinde iz bırakmayı zorlaştıran reflective loader mekanizmasını devreye soktuğunu belirtti.
APT28 olarak bilinen grubun uzun süredir devlet destekli casusluk faaliyetleriyle ilişkilendirildiği hatırlatılırken, bu kampanya grubun araç setinde yeni unsurlar bulunduğunu gösterdi. Symantec, Swallowtail adı altında takip ettiği etkinlikte saldırganların mevcut sızma sonrası hareketlerini gizlemek için birden fazla aşamalı yükleme tekniği uyguladığını aktardı.
Hedefte savunma tedarik zinciri var
Hedef alınan kurumun NATO’ya bağlı denizcilik üretim ekosisteminde yer alması, saldırının klasik bir fidye yazılımı vakasından çok istihbarat toplama amaçlı bir operasyon olabileceği izlenimini güçlendirdi. Haberde yer alan teknik ayrıntılara göre operasyonda kullanılan bileşenler, kurban ağında kalıcılığı artırmak ve zararlı kodun fark edilmesini zorlaştırmak üzere tasarlandı.
Reflective loader tekniği, kötü amaçlı kodun diske yazılmadan bellekte çalıştırılmasına dayanıyor. Aynı yöntem meşru yazılım geliştiricileri tarafından da uygulamayı dinamik olarak yüklemek için kullanılabiliyor; ancak saldırganlar bu yaklaşımı tespit edilmesi zor implantlar taşımak için kullanıyor. Symantec’in bulguları, APT28’in farklı hedeflerde kullandığı araçları çeşitlendirmeye devam ettiğini ve denizcilik-savunma kesişimindeki kurumları izlemeyi sürdürdüğünü gösteriyor.