APT36, PATCHCORD ile Afgan ve Hint Kritik Ağlarını Hedefte

Pakistan bağlantılı siber casusluk grubu APT36’nın, Afganistan telekomünikasyon sağlayıcıları ve Hint kritik altyapı kuruluşlarına yönelik yeni bir saldırı dalgası başlattığı ortaya çıktı. Bu operasyonda, daha önce belgelenmemiş PATCHCORD arka kapısı adı verilen sofistike bir zararlı yazılım ve Google E-Tabloları komuta kontrol için kullanan SHEETCORD adlı ikinci bir araç kullanılıyor. Tehdit aktörünün, bölgesel hassasiyetleri istismar eden özgün taktiklerle hareket etmesi, siber güvenlik dünyasında yeni bir alarm zili çalıyor.

APT36’dan Yeni Bir Siber Casusluk Girişimi

Afganistan ve Güney Asya’daki kritik altyapı organizasyonları, son dönemde ortaya çıkan ve karmaşık siber casusluk yöntemlerini içeren yeni bir kampanyanın odağı haline geldi. Bu operasyonun arkasında, siber güvenlik uzmanları tarafından Pakistan’la ilişkili olduğu değerlendirilen APT36 (Transparent Tribe olarak da bilinir) tehdit aktörü bulunuyor. Grubun daha önceki saldırı yöntemleri, hedef belirleme kalıpları ve kullandığı altyapıdaki benzerlikler, bu değerlendirmenin temelini oluşturuyor. Tehdit aktörünün ana amacı, stratejik öneme sahip bu ağlardan bilgi sızdırmak ve potansiyel olarak kontrol sağlamak.

Siber saldırıların başlangıç noktası, sektör spesifik yemler kullanılarak hedeflenen kurumların ağlarına sızmak. Özellikle Afganistan Telekom (AFTEL) gibi büyük sağlayıcıların kimliğine bürünerek oluşturulan sahte VPN kurulumları ve telekom yönetim araçları, zararlı yazılımın sisteme ilk giriş kapısını oluşturuyor. Bu tür oltalama (phishing) yöntemleri, kurum çalışanlarının dikkatini çekerek zararlı yazılımın fark edilmeden yayılmasını kolaylaştırıyor. Operasyonun doğası, APT36’nın bölgesel hedeflerine ulaşma konusundaki kararlılığını ve adaptasyon yeteneğini bir kez daha gözler önüne seriyor.

PATCHCORD: Tarayıcıları Ele Geçiren Yeni Nesil Arka Kapı

Siber casusluk kampanyasının merkezinde yer alan PATCHCORD, C/C++ dilinde yazılmış oldukça gelişmiş bir implant olarak tanımlanıyor. Bu arka kapı, hedeflenen sistemlere “Telecom_TMS.zip” adlı bir ZIP arşivi aracılığıyla ulaşıyor. Bu arşivin içinde, “TMS_AfghanTelecom.exe” isimli bir Inno Setup yükleyicisi bulunuyor. TMS, Afganistan Telekom tarafından şirket araç ve ulaşım taleplerini takip etmek için kullanılan dahili bir sistem olan Ulaşım Yönetim Sistemi’nin kısaltması. Bu yolla, zararlı yazılım meşru bir araç gibi gösterilerek sistemlere sızıyor.

PATCHCORD yürütüldüğünde, konsol penceresini gizleyerek kullanıcının dikkatini çekmiyor. Yüksek ayrıcalıklarla çalıştığını kontrol ettikten sonra Google Chrome, Microsoft Edge ve Mozilla Firefox gibi popüler tarayıcıların kısayollarını ele geçirerek sistemde kalıcılık sağlıyor. İmplant, sisteme sızdığında ana bilgisayarın parmak izini alır ve C2 sunucusu (46.30.188[.]13) ile bağlantı kurarak çeşitli komutlar alabiliyor. Bu komutlar arasında C2 işaret aralığını ayarlama, çalışan tüm işlemleri listeleme, C2 sunucusundan alınan shellcode yükünü çözme ve bellekte çalıştırma, cmd.exe aracılığıyla rastgele komutlar yürütme ve tarayıcı kısayol ele geçirme mekanizması üzerinde etkileşimli kontrol sağlama bulunuyor.

Ele geçirilmiş bir tarayıcı kısayolu üzerinden başlatıldığında, PATCHCORD önce meşru tarayıcıyı şeffaf bir şekilde başlatır, ardından arka planda yürütmeye devam eder. Bu sayede kullanıcı, beklenen tarayıcı deneyimini kesintisiz yaşarken, arka kapı gizlice faaliyetlerini sürdürür. Sistemde kalıcılığın sağlanması için, implant HKCUSoftwareMicrosoftWindowsCurrentVersionRun altında “BeaconBrowserHijack” adında bir Windows Kayıt Defteri değerinin varlığını kontrol eder. Eğer bu değer zaten mevcutsa, sistemin daha önce ele geçirildiği varsayılır ve kısayol ele geçirme süreci atlanır. Aksi takdirde, zararlı yazılım kendi yürütülebilir yolunu bu kayıt defteri anahtarına yazar ve kullanıcının Windows’a her giriş yaptığında tarayıcı kısayolu ele geçirme rutinini etkinleştirerek yeniden başlatmalar arasında kalıcılık oluşturur.

Google E-Tablolar Üzerinden Komuta: SHEETCORD’un Gizli Yöntemleri

APT36’nın altyapısı üzerinde yapılan analizler, PATCHCORD‘un yanı sıra başka bir tehlikeli arka kapının da keşfedilmesine yol açtu: Go dilinde yazılmış SHEETCORD. Bu zararlı yazılım, komuta ve kontrol (C2) iletişimleri için Google E-Tablolar’ı kullanmasıyla dikkat çekiyor. Meşru bulut hizmetlerinin kötüye kullanılması, kötü amaçlı trafiğin meşru ağ trafiğiyle karışmasını sağlayarak tespit edilmesini zorlaştırır. SHEETCORD’un dağıtımında kullanılan alan adının, Hindistan Ulusal Bilişim Merkezi’nin (NIC) kimliğine bürünmesi de saldırganların hedefli ve aldatıcı yaklaşımlarını bir kez daha gösteriyor.

Kampanyanın altyapısı, tek bir C2 sunucusu etrafında yoğunlaşmış durumda. Bu sunucuya, Afgan telekom operatörlerini taklit eden alan adları ve ele geçirilmiş meşru bir sağlık hizmeti alan adı da dahil olmak üzere birden fazla ilişkili alan adı bağlanıyor. Bu çok katmanlı altyapı, saldırganların faaliyetlerini daha da gizlemelerine ve farklı hedeflere yönelik ayrı operasyonları yürütmelerine olanak tanıyor. Bu tür karmaşık C2 yapılarının kullanılması, siber savunmacılar için tehdidi tespit etme ve durdurma konusunda ciddi zorluklar yaratıyor.

Kritik Altyapılar Neden Hedefte?

Afganistan telekomünikasyon sağlayıcıları ve Hint kritik altyapı kuruluşlarının hedef alınması, bu bölgelerdeki devlet destekli siber casusluk faaliyetlerinin artan önemini ortaya koyuyor. Telekomünikasyon ağları, ülkenin iletişim omurgasını oluşturduğu için casusluk operasyonları için kritik birincil hedeftir. Bu ağlara sızmak, sadece veri sızdırmakla kalmaz, aynı zamanda iletişimi dinleme, manipüle etme ve hatta kesintiye uğratma potansiyeli taşır. Kritik altyapılar ise enerji şebekeleri, ulaşım sistemleri ve kamu hizmetleri gibi hayati sektörleri kapsar; bunların felç edilmesi veya kontrol altına alınması, geniş çaplı ekonomik ve sosyal kaosa yol açabilir.

Bu tür saldırıların pratik sonuçları oldukça ciddi olabilir. Ele geçirilen sistemlerden çalınan hassas veriler, ulusal güvenlik, stratejik askeri bilgiler veya ekonomik avantaj elde etmek amacıyla kullanılabilir. Ayrıca, kritik hizmetlerin kesintiye uğraması veya manipüle edilmesi, halkın yaşam kalitesini doğrudan etkileyebilir ve devlet kurumlarının işleyişini sekteye uğratabilir. APT36 gibi gelişmiş kalıcı tehdit (APT) gruplarının hedeflerine ulaşmak için bu denli sofistike yöntemler kullanması, siber güvenlik tehditlerinin bölgesel istikrar üzerindeki potansiyel etkisini gözler önüne seriyor.

Gelişmiş Tehditlere Karşı Kurumsal Direnç

APT36 gibi gelişmiş siber tehdit aktörlerine karşı koyabilmek için hedef konumdaki kurumların kapsamlı ve çok katmanlı bir savunma stratejisi benimsemesi zorunludur. İlk olarak, çalışan eğitimleri yoluyla oltalama saldırılarına karşı farkındalık seviyesini artırmak hayati önem taşır. Sahte VPN uygulamaları veya yanıltıcı alan adları gibi giriş noktalarını tanıyan bir kullanıcı, ilk savunma hattını oluşturacaktır. Tüm sistemlerin ve uygulamaların düzenli olarak güncel tutulması, bilinen güvenlik açıklarının sömürülmesini engeller.

Ağ izleme ve uç nokta güvenlik çözümlerinin güçlendirilmesi, PATCHCORD ve SHEETCORD gibi zararlı yazılımların davranışlarını ve C2 iletişimlerini tespit etmek için kritiktir. Özellikle Google E-Tablolar gibi meşru hizmetler üzerinden yapılan şüpheli veri transferlerinin veya sıra dışı DNS isteklerinin izlenmesi, erken uyarı sinyalleri sağlayabilir. Ayrıca, kurumlar ağ segmentasyonu yaparak kritik sistemlerini diğer ağlardan izole etmeli ve bu sistemlere erişimi sıkılaştırmalıdır. Olay müdahale planlarının hazır olması ve düzenli tatbikatlar yapılması, bir saldırı durumunda hızlı ve etkili bir şekilde tepki verme yeteneğini artıracaktır. Bu bütünsel yaklaşımlar, ulusal güvenliğin temelini oluşturan kritik altyapıların direncini güçlendirecektir.