VMware Araçlarına Gizlenen Vasilek, Rus Sağlık Ağında İki Yıl

Belarus ile bağlantılı bir hacktivist grubun, Rusya’daki bir sağlık kuruluşunun ağına sızarak neredeyse iki yıl boyunca faaliyet gösterdiği ortaya çıktı. Bu kapsamlı saldırıda, sistemlerde kalıcılık sağlamak amacıyla Vasilek arka kapısı yazılımının VMware Tools bileşenlerine ustaca gizlendiği belirlendi. Sızmanın, 2024 başlarına kadar uzanan ilk işaretlerine rağmen, saldırganların uzun süre tespit edilemeden kalması, kurumsal ağlardaki güvenli alanların dahi sürekli izlenmesi gerektiğini bir kez daha gözler önüne seriyor.

Partisan Zmiy: Hedef Odaklı Sızmaların Mimarı

Rus siber güvenlik firması Solar tarafından yayımlanan bir rapora göre, bu faaliyetler Partisan Zmiy adıyla bilinen tehdit grubuna atfediliyor. Aynı zamanda Cyber Partisans olarak da tanınan bu Belarus bağlantılı hacktivist oluşum, en az 2020 yılından bu yana aktif durumda. Grubun geçmişi, Rusya ve Belarus’taki sanayi işletmeleri ile devlet kurumlarını hedef alan saldırılarla dolu. Genellikle Telegram üzerinden komuta ve kontrol (C2) ile veri sızdırma işlemleri için Vasilek arka kapısını kullandıkları biliniyor.

Partisan Zmiy, daha önceki operasyonlarında yıkıcı saldırılar düzenleyerek Pryanik adlı bir silici yazılım kullanmış ve Evlx adlı bir araçla Windows olay günlüklerini sistematik olarak temizlemişti. Ancak bu son sızmada, saldırganların daha önceki yıkıcı faaliyetlerinden farklı olarak, ağda uzun süre kalıcı olup yıkıcı bir eylem gerçekleştirmemeleri dikkat çekici. Bu durum, ele geçirilen erişimin casusluk veya güven ilişkileri üzerinden yeni saldırılar için daha değerli görüldüğü hipotezini güçlendiriyor.

Vasilek Arka Kapısının Derinlemesine Analizi

Saldırılarda kullanılan Vasilek arka kapısının güncel sürümü olan 1.5.8, enfekte bilgisayarlar hakkında kapsamlı bilgi toplama yeteneğine sahip. Yazılım, Windows komutları çalıştırma, süreçleri başlatma ve sonlandırma, dosya transferleri gerçekleştirme, ekran görüntüleri alma ve klavye hareketlerini kaydetme gibi geniş bir yelpazede kötü amaçlı faaliyetler yürütebiliyor. Ayrıca, runas komutu aracılığıyla ayrıcalıkları yükseltme, makinenin uyku moduna geçmesini engelleme ve hatta kendini güncelleme veya sistemden kaldırma gibi özelliklere de sahip.

Vasilek’in yeni eklenen “move_cursor” komutu ise özellikle dikkat çekici. Bu özellik, arka kapının kurbanın ekranındaki fare imlecini hareket ettirmesine ve kullanıcı girdisini simüle etmesine olanak tanıyor. Bu tür bir uzaktan kontrol yeteneği, saldırganlara hedeflenen sistem üzerinde neredeyse tam bir etkileşim sağlama potansiyeli sunuyor. Bazı saldırılar, kimlik avı tuzakları kullanarak FortiClient VPN programını ve aynı anda DNSCat2 adlı açık kaynaklı bir programı dağıtan bir yükleyiciyi kullanmış, böylece saldırganlara enfekte ana bilgisayar üzerinde kontrol sağlamıştı.

VMware Ortamının İstismarı ve Kalıcılık Mekanizması

Sızma sırasında gözlemlenen kritik unsurlardan biri, yasal bir VMware bileşeni gibi görünen ve vmauad adı verilen bir yükleyici-zamanlayıcı hizmeti. Bu hizmet, sistemde kalıcılığı sürdürmek ve yüzeysel incelemelerden kaçınmak amacıyla kullanıldı. Saldırganlar, bu amaçla VMware Tools dizinini, yani genellikle güvenilen ancak yeterince izlenmeyen bir konumu istismar etmişler. Ya kötü amaçlı çalıştırılabilir dosyaları buraya yerleştirmiş ya da yasal vmtools.dll dosyasını arka kapıyı içeren kötü amaçlı bir sürümle değiştirmişler.

Bu Windows hizmetinin birincil görevi, “C:Program FilesVMwareVMware Toolsauthd.exe” yolundaki kötü amaçlı ikiliyi başlatmak. Bu ikili, her cumartesi saat 22.00 ile 23.00 arasında bir GOST tüneli başlatmanın yanı sıra, hizmet başladıktan sekiz saat sonra Vasilek’in güncellenmiş sürümünü bir kez çalıştırıyor. Bu mekanizma, saldırganlara düzenli ve gizli bir iletişim kanalı sağlayarak, sağlık kuruluşunun geniş ve güvene dayalı altyapısını uzun süre istismar etmelerine olanak tanımıştır.

Sağlık Sektörüne Yönelik Casusluğun Uzun Vadeli Etkileri

Hedef alınan sağlık kuruluşunun kapsamlı bir altyapıya ve çok sayıda bağlı tıp kurumuyla karşılıklı güven ilişkilerine sahip olması, bu sızmanın potansiyel etkilerini artırıyor. Saldırganların yıkıcı eylemlerden kaçınarak iki yıla yakın süre ağda kalması, bu erişimin uzun vadeli casusluk veya daha geniş çaplı güven ilişkisi saldırıları için stratejik değer taşıdığını düşündürüyor. Hastaların kişisel verileri, tedavi bilgileri ve kurumsal operasyonlara dair kritik bilgiler, bu tür bir casusluğun doğrudan hedefleri arasında yer alabilir.

Sağlık sektöründeki siber saldırılar, sadece finansal kayıplara değil, aynı zamanda hasta mahremiyetinin ihlaline, tıbbi hizmetlerin aksamasına ve hatta can güvenliğinin tehlikeye girmesine yol açabilir. Bu olay, kritik altyapılara yönelik siber casusluk faaliyetlerinin ne denli sofistike hale geldiğini ve saldırganların, kısa vadeli yıkım yerine uzun vadeli stratejik avantaj peşinde koşabildiklerini kanıtlar nitelikte.

Kurumsal Savunma ve Sürekli Gözetimin Önemi

Bu olay, özellikle sağlık kuruluşları gibi hassas veriler barındıran ve kesintisiz hizmet sunması gereken kurumlar için siber güvenlik stratejilerinin gözden geçirilmesi gerektiğini gösteriyor. Güvenilen sistem bileşenlerinin dahi kötüye kullanılabileceği gerçeği, kapsamlı bir tehdit avcılığı ve sürekli izleme gerekliliğini ortaya koyuyor. Kuruluşların, endpoint tespit ve yanıt (EDR) çözümlerini kullanarak, VMware Tools gibi yasal yazılımların ve onların dizinlerinin alışılmadık davranışlarını sürekli denetlemesi büyük önem taşıyor.

Ayrıca, komuta ve kontrol (C2) trafiğini tespit edebilen gelişmiş ağ izleme sistemleri, Telegram gibi şifreli kanalları kullanan arka kapıların faaliyetlerini belirlemede kilit rol oynayabilir. Olay günlüklerinin (Windows Event Logs) düzenli olarak toplanması, merkezi bir SIEM (Güvenlik Bilgileri ve Olay Yönetimi) sisteminde analiz edilmesi ve olası anormalliklerin hızla değerlendirilmesi, uzun süreli sızmaların erken tespiti için hayati öneme sahip. Sıfır güven (Zero Trust) prensiplerinin benimsenmesi ve her türlü erişimin sürekli doğrulanması, bu tür gelişmiş tehditlere karşı daha dirençli bir duruş sergilemeyi sağlayacaktır.