Siber güvenlik şirketi ESET, Birleşik Arap Emirlikleri (BAE) temaslı Stealth Falcon kümesinin hudut komşusu ülkelere yönelik yeni ve karmaşık bir art kapıyla casusluk yaptığını ortaya koydu.
ESET araştırmacıları, Stealth Falcon kümesi tarafından kullanılan ve ESET tarafından Deadglyph olarak isimlendirilen karmaşık bir art kapıyı keşfederek tahlil etti. ABD’nin kâr hedefi gütmeyen güvenlik kuruluşu MITRE’ye nazaran küme Birleşik Arap Emirlikleri ile irtibatlı. Deadglyph alışılmadık bir mimariye sahip ve art kapı yetenekleri, Komuta ve Denetim tarafından ek modüllerden oluşuyor. Deadglyph’in bir dizi karşı tespit düzeneği var ve makul durumlarda tespit edilme riskini azaltmak için kendi kendini kaldırma yeteneğine de sahip.
ESET araştırmacıları bu keşfi, kimileri Orta Doğu bölgesinde bulunan yüksek profilli müşterilerin sistemlerindeki kuşkulu aktiflikleri rutin olarak izlerken gerçekleştirdi. Tahlil edilen sızma hareketinin kurbanı, Orta Doğu’da casusluk maksadıyla güvenlik ihlaline uğrayan bir devlet kurumu. VirusTotal’de bulunan ilgili bir örnek de Katar’dan yüklendi.
ESET bu art kapının ismini, art kapıda bulunan yapılardan ve bir homoglif saldırısının varlığından esinlenerek verdi. Homoglif, emniyetli bir dizi üzere görünen aldatıcı bir karakter dizisidir. Bu art kapı, Microsoft Corporation’ı taklit ediyordu. Daha evvel belgelenmemiş olan bu art kapı, büyük ölçüde karmaşık ve adeta bir uzmanlık yapıtı olarak tanımlanıyor. Klasik art kapı komutları, art kapı ikili belgesinde uygulanmaz; bunun yerine, Komuta ve Denetim sunucusundan ek modüller biçiminde dinamik olarak alınırlar. Bu art kapı tıpkı vakitte sistem süreçlerinin daima izlenmesi ve rastgele ağ modellerinin uygulanması da dahil olmak üzere tespit edilmekten kaçınmak için bir dizi yeteneğe de sahip.
ESET Research, Deadglyph’in tüm özelliklerinin sadece bir kısmını ortaya çıkararak bu modüllerden üçünü almayı başardı: Süreç oluşturucu, belge okuyucu ve bilgi toplayıcı. Bilgi toplama modülü, işletim sistemi, yüklü yazılım ve şoförler, süreçler, hizmetler, kullanıcılar ve güvenlik yazılımı hakkındaki detaylar da dahil olmak üzere bilgisayar hakkında kapsamlı bilgileri toplar. Ayrıyeten evrak okuyucu modülü belirtilen evrakları okuyabilir. Bir hadisede modül, kurbanın Outlook data belgesini almak için kullanılmıştır.
ESET Research birebir vakitte Deadglyph’i yüklemek için kullanılabilecek ilgili bir kabuk kodu indiricisi buldu. Hedefleme ve ek delillere dayanarak ESET, yüksek olasılıkla Deadglyph’i Stealth Falcon APT kümesiyle ilişkilendiriyor. Project Raven yahut FruityArmor olarak da bilinen bu tehdit kümesinin MITRE’ye nazaran Birleşik Arap Emirlikleri ile teması bulunuyor. 2012’den bu yana etkin olan Stealth Falcon’un Orta Doğu’daki siyasi aktivistleri, gazetecileri ve muhalifleri amaç aldığı biliniyor. Birinci olarak 2016 yılında bir casus yazılım saldırısının tahlilini yayınlayan Citizen Lab tarafından keşfedildi ve tanımlandı.
Kaynak: (BYZHA) Beyaz Haber Ajansı
