DarkVishnya saldırısı siber suçluların kurumlara gizlice girip, fiziksel bağlantı yapan cihazlar monte etmesiyle gerçekleşiyor
Doğu Avrupa’daki finans kuruluşlarını hedef alan bir dizi yeni siber hırsızlık vakası saptanmış durumda. Şimdiye kadar 2017 ve 2018’de en az sekiz bankanın saldırıya uğradığı anlaşılan bu vakaların hepsinin can sıkıcı ortak bir yanı var. Hepsinde kurumsal ağlara saldırganlar tarafından kontrol edilen bilinmedik bir cihazla giriş yapıldığı keşfedilmiş. Ağa bağlanan bu gizemli cihazların şirket binalarına gizlice sokulduğu ve içeriden fiziksel bağlantı kurulduğu anlaşılmış. DarkVishnya adı verilen saldırı tekniği yüzünden, toplamda on milyonlarca dolarlık kayıp yaşandığı tahmin ediliyor.
Kaspersky Lab uzmanlarının müdahale ettiği vakalarda, saldırıların donanım kısmının çözüldüğü ifade edlilmekte. Saldırganlar dizüstü bilgisayar, Raspberry Pi (kredi kartı boyutunda, yalnızca devre kartından oluşan bir bilgisayar) veya Bash Bunny (USB saldırıları düzenlemek ve bunları otomatik hale getirmek için özel olarak tasarlanan bir araç) olmak üzere üç tür cihaz kullanıyor. Bunlara ek olarak, finans kuruluşunun kurumsal ağına uzaktan bağlanmayı sağlayan bir GPRS, 3G veya LTE modem kullanılıyor.
Siber saldırganlar DarkVishnya saldırılarında önce bir banka veya şirket binasına giriyor. Bu aşamada bir çalışan, bir müşteri veya kurye gibi sahte bir kimlik kullanılmakta. Saldırgan bir toplantı odası veya fiziksel bir ağ portu olan bir mekanda, ağ erişimi yapacak özel cihazı gizlice monte ediyor. Cihazın çevredeki başka cihazların arasına gizlenmesi, şüphe yaratmaması açısından önemli. Saldırgan cihazı monte ettikten sonra ilk aşama tamamlanıyor ve bağlantı kuruluyor.
Bağlantı kurulduktan sonra, siber suçlular belirli bir bilgisayarda uzak masaüstü protokolü çalıştırmak için gereken veriler çalmak için web sunucularına erişmeye çalışıyor. Ardından da para veya veri hırsızlığını gerçekleştiriyorlar. Bu dosyasız saldırı yönteminde Impacket, winexesvc.exe veya psexec.exe uzaktan çalıştırma araç kitleri kullanılıyor. DarkVishnya saldırısının son aşamasında ise, saldırganlar ele geçirdikleri bilgisayara erişimlerini korumak için uzaktan kontrol yazılımı kullanıyor.
Kaspersky Lab Güvenlik Uzmanı Sergey Golovanov konuyla ilgili şu açıklamayı yapmış: “Son bir buçuk yıldır bankalara yönelik yeni bir saldırı türüyle karşı karşıyayız. Çok karmaşık olan bu saldırıları tespit etmek de bir hayli zor. Herhangi bir bölgedeki herhangi bir ofiste gerçekleşebildiği için kurumsal ağlara nereden girildiği uzun süre belirlenemedi. İçeri gizlice sokulan bu cihazlar uzaktan tespit edilemedi. Ayrıca, tehdit gruplarının yasal araçlar kullanması vakalara müdahale edilmesini daha da zorlaştırdı.”