Kaspersky, yapay zekâ ve kuantum sonrası şifreleme kullanan yeni Lazarus saldırısını ortaya çıkardı

Kaspersky’nin Global Araştırma ve Analiz Ekibi (GReAT), Endonezya’nın Bali kentinde düzenlenen Security Analyst Summit’te, Lazarus APT grubuyla ilişkilendirilen bir siber casusluk kampanyası olan Operation FlashHole’a ilişkin bulgularını paylaştı. En az Temmuz 2025’ten bu yana aktif olan kampanya, Güney Kore’de inşaat, yazılım ve kablolu iletişim ekipmanları üretimi sektörlerinde faaliyet gösteren en az üç kuruluşu etkiledi. Saldırganlar hedef odaklı oltalama e-postalarından ve meşru CrossWeb EX yazılımından yararlanırken, daha önce belgelenmemiş araçların da aralarında bulunduğu güncellenmiş zararlı yazılımları devreye aldı.

Kaspersky GReAT, söz konusu operasyonun Lazarus’un ilk kez geçtiğimiz yıl tespit edilen Operation SyncHole harekâtıyla bağlantılı yeni bir saldırı dalgası olduğunu ortaya koydu. Tehdit aktörlerinin araç ve tekniklerini zaman içinde geliştirerek harekâtı çok daha kalıcı ve gelişmiş bir yapıya kavuşturduğu görülüyor.

Araştırmacılar, harekât kapsamında komuta ve kontrol (C2) kanalı olarak istismar edilen bir GitHub hesabıyla bağlantılı bir GitHub Pages web sitesi keşfetti. Eylül 2025'te açılan bu hesap, başlangıçta kıdemli bir ağ cihazı geliştiricisine ait sahte bir öz geçmiş sitesine ev sahipliği yapıyordu. Bu yem, Lazarus’un iş arama temalı imzası niteliğindeki Operation DreamJob yaklaşımıyla birebir örtüşüyor. Sayfada sahte iş arayana ait yapay zekâ ile üretilmiş bir portre fotoğrafının yer alması, araştırmacıların saldırganların siteleri hedeflere özel uyarlarken de yapay zekâdan yararlandığı sonucuna varmasını sağladı. Harekât; hedef alınan kişilere özel olarak kurgulanmış portföy ve öz geçmiş sitelerine yönlendiren bağlantıların yer aldığı hedefli oltalama e-postalarıyla başlatıldı.

Araştırma bulguları, kötü amaçlı sitenin ziyaret edilmesinin, Güney Kore’de yaygın olarak kullanılan bir güvenlik eklentisi ve web kimlik doğrulama yazılımı olan CrossWeb EX üzerinden bir bulaşma zincirini tetikleme ihtimalinin oldukça yüksek olduğunu gösteriyor. Saldırı faaliyetinin, CrossWeb EX yazılımındaki potansiyel bir güvenlik açığından yararlanılarak gerçekleştirilmiş ve saldırganlara ilk sızma noktasını sağlamış olabileceği değerlendiriliyor. Nitekim daha önce de söz konusu finansal güvenlik yazılımında bir zafiyet bulunduğunu doğrulayan bir güvenlik bildirimi yayımlanmıştı. Kapsamlı analizler neticesinde çok sayıda zararlı yükü (payload) tespit eden araştırmacılar, bulaşma zincirini yeniden yapılandırarak sofistike bir zararlı yazılım dağıtım altyapısını ve hedef sistemlerdeki izleri gizlemeye yarayan gelişmiş teknikleri gün yüzüne çıkardı.

Saldırganlar, mevcut zararlı yazılımlarının güncel sürümlerini daha önce belgelenmemiş iki yeni araçla —TouchHub ve ClientHub— harmanladı. Nihai hedefi siber casusluk olan bu bileşenler; hedeflenen bilgisayarlara ilave zararlı yazılımlar yüklüyor, komutlar çalıştırıyor ve saldırganlarla iletişimi sürdürüyor. Yeni araçlardan birinin, operatörleriyle iletişim kurmak için Dropbox platformundan yararlanan bir varyantı da bulunuyor.

Kampanyada ayrıca, Lazarus grubunun uzun süredir kullandığı ve ele geçirilen bilgisayarlar hakkında bilgi toplayarak ek zararlı yazılımlar yükleyen LPEClient aracının güncellenmiş bir sürümüne rastlandı. Yeni sürüm; sistemlerde yüklü güvenlik yazılımları, Windows güvenlik korumaları ve diğer sistem özellikleri hakkında bilgi topluyor. Ardından bu verileri sıkıştırıp şifreleyerek saldırganlara gönderiyor.

Güncellenen LPEClient, gelecekteki kuantum bilgisayarların gerçekleştirebileceği olası saldırılara karşı iletişimi korumak amacıyla tasarlanan kuantum sonrası bir kriptografik mekanizma olan ML-KEM-1024’ü de kullanıyor. Araç, ek zararlı yazılımları indirmeden ve doğrudan bellek üzerinde çalıştırmadan önce saldırganların sunucusuyla şifreli bir bağlantı kurmak için bu mekanizmadan yararlanıyor. Tespit edilmekten kaçınmak amacıyla bellek koruma ayarlarını değiştirerek ve güvenlik araçlarının şüpheli sistem faaliyetlerini belirlemek için kullandığı bir izleme kancasını (hook) devre dışı bırakarak güvenlik izleme mekanizmalarını da aşmaya çalışıyor.

Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Sojun Ryu, konuyla ilgili şu değerlendirmede bulunuyor: “Lazarus, faaliyet alanını genişletmeye devam ediyor. Grup, yeni kampanyalar başlatırken ihtiyaçlarına göre yeni araçlar geliştiriyor ve mevcut araçlarını yeniden düzenliyor. Operation FlashHole analizimiz ve önceki araştırmalarımızdan elde ettiğimiz bulgular, grubun uzun süredir kullandığı saldırı yöntemlerine yapay zekâyı da dâhil etmeye başladığını gösteriyor. Lazarus’la bağlantılı diğer tehdit aktörlerinde de benzer bir değişim gözlemliyoruz. Daha yakından incelenmesi gereken bir diğer konu ise grubun gelecekteki kuantum tehditlerine dayanıklı olacak şekilde tasarlanan kriptografik yöntemleri benimsemesi. Bulgularımız, bu teknolojinin en az Eylül 2024’ten bu yana kullanıldığını ortaya koyuyor. Bu da söz konusu yeteneklerin, bulgularımız kamuoyuyla paylaşılmadan bir yıldan uzun süre önce grubun zararlı yazılım iletişimini korumak için devrede olduğunu gösteriyor.”

Araştırmanın tamamına Securelist.com üzerinden ulaşılabilirsiniz.

Kaspersky, kuruluşların Operation FlashHole gibi Lazarus saldırılarına ve kampanyalarına karşı korunmak için aşağıdaki en iyi uygulamaları hayata geçirmesini öneriyor:

• Çalışanları hedef odaklı oltalama girişimlerini tanımaları için eğitin. Profesyonel ve inandırıcı görünen web sitelerine yönlendirenler dâhil olmak üzere, beklenmedik e-postaları ve bağlantıları doğrulayın. Şüpheli mesajların güvenlik ekibine bildirilmesini sağlayın.


• Yazılımları güncel tutun ve güvenlik yamalarını gecikmeden uygulayın. İş açısından kritik uygulamalardaki güvenlik açıklarını düzenli olarak değerlendirin. Saldırganların bu açıklardan yararlanma riskini azaltmak için gereksiz bileşenleri devre dışı bırakın.


• Kullanıcı yetkilerini sınırlandırın ve bulut hizmetlerine yönelik bağlantıları izleyin. Bu hizmetlerin komuta-kontrol iletişimi amacıyla kötüye kullanılabileceğini göz önünde bulundurun.


• Kuruluşunuzu Operation FlashHole’da kullanılan araçlar da dâhil olmak üzere çeşitli tehditlere karşı korumak için  Kaspersky Next ürün ailesinden yararlanın. Her ölçekten ve sektörden kuruluş için geliştirilen bu ürün ailesi; gerçek zamanlı koruma, tehdit görünürlüğü, olay inceleme ve EDR ile XDR çözümlerinin sunduğu müdahale olanaklarını sağlar. Mevcut ihtiyaçlarınıza ve kaynaklarınıza uygun ürün seviyesini seçebilir, siber güvenlik gereksinimleriniz değiştiğinde başka bir seviyeye kolayca geçebilirsiniz. Ayrıntılı bilgi için Kaspersky Next sayfasını ziyaret edebilirsiniz.


• Kaspersky’nin Yönetilen Güvenlik Hizmetlerinden yararlanın. Bu hizmetler arasında Compromise Assessment, Managed Detection and Response (MDR) ve/veya Incident Response bulunuyor. Olay yönetiminin tehditlerin belirlenmesinden sürekli koruma ve iyileştirme çalışmalarına kadar tüm aşamalarını kapsayan bu hizmetler, tespit edilmesi zor siber saldırılara karşı korunmaya ve güvenlik olaylarının incelenmesine yardımcı oluyor. Ayrıca kendi bünyesinde yeterli sayıda siber güvenlik uzmanı bulunmayan kuruluşlara ek uzmanlık desteği sağlıyor.


• Bilgi güvenliği ekiplerinizin kuruluşunuzu hedef alan siber tehditleri kapsamlı biçimde görebilmesini sağlayın.  Kaspersky Threat Intelligence, olay yönetiminin tüm aşamalarında kapsamlı ve anlamlı tehdit bağlamı sunarak siber risklerin zamanında belirlenmesine yardımcı oluyor.

Kaynak: (BYZHA) Beyaz Haber Ajansı