Hükümet Tarafından Desteklenen Siber Suç – Lazarus Grubu Nedir?

Siber suç, bir tehdittir. Tahminlere göre, siber suçun dünya çapındaki sistemlere verebileceği toplam zarar 2021 yılında 6 trilyon ABD dolarına kadar çıkmıştır. Ve eğer sayı zaten korkutucu görünüyorsa, 2025 yılına kadar 10,5 trilyon ABD dolarına ulaşması beklenmektedir. 2015 yılında, bu rakam 3 trilyon ABD dolarıydı. On yıl içinde yüzde 300’ün üzerinde büyüme, hepimizin endişe etmesi gereken bir şeydir. Evet, doğru oku!

Siber Suç Nedir?

Siber suç, ağları ve sistemleri bozmaya, zarar vermeye ve zarara neden olmaya yönelik bir dizi scheme ve çabanın kapsayıcı bir terimidir. Bilgisayar, bilgisayar ağı veya ağa bağlı bir cihaza yönelik herhangi bir kötü niyetli faaliyet olabilir. Bir malware saldırısı olabilir, saldırgan bir sistemi virüsle enfekte eder.

Bir phishing kampanyası, veri gizliliği konusunda aldatmak için spam e-postalar, mesajlar veya diğer iletişim biçimlerini kullanır. Bir dağıtılmış DoS saldırısı, genellikle IoT cihazlarına uygulanır ve bir sistemi veya ağı devre dışı bırakır.

Siber suç türleri, mali veri hırsızlığı, kart veya ödeme verisi hırsızlığı, siber şantaj, siber casusluk, telif hakkı ihlali, yasadışı kumar, ransomware saldırısı ve daha fazlasını içerebilir.

Küresel olarak saygıdeğer bir siber güvenlik şirketi olan Kaspersky’nin sunduğu verilere göre, bir saldırı, yani veri ihlali, malware, ransomware veya DDoS saldırısı, herhangi bir boyuttaki bir şirkete ortalama 200.000 ABD doları maliyet getirebilir. Aslında, sigorta şirketi Hiscox’un verilerine göre, etkilenen şirketler, saldırıdan altı ay içinde iflas edebilir.

Kuşkusuz, siber suç, ciddi ve ağır sonuçları olan bir şeydir. Saldırganlar veya hackerlar küresel olarak yayılmış durumda ve herhangi bir uzaktan konumdan herhangi bir sistemi veya ağı hedef alabilecek donanıma sahipler.

Ancak, suç genellikle hükümet destekli kurumlarla ilişkilendirilmez. Kanunları uygularlar. Onları suçlular olarak düşünmeyiz. Ve eğer bu noktada hükümet tarafından desteklenen siber suç vakasını gündeme getirirsek, kesinlikle şaşıracaksınız. Ancak siber suçu siyasi amaçlar için kullanmak ve mali kazançların ötesine bakmak alışılmadık bir şey değildir. Burada, böyle bir üne sahip bir vakayı ele alacağız, bu vaka, siber suç işleme konusunda devlet komplosu iddiasını içermektedir.

Jon Chang Hyok ve Kim Il’in İlginç Vakası

Federal Bureau of Investigation’ın web sitesinde, iki Kuzey Koreli birey, Most Wanted listesinde yer almaktadır. Her iki Jon Chang Hyok ve Kim Il, tel ve banka dolandırıcılığı ve bilgisayar ile ilgili suçlar konusunda komplo yapmakla suçlanmaktadır. Her ikisi de, tarihin en pahalı bilgisayar ihlallerinden bazılarına yol açan iddia edilen bir suç komplosunun parçası olan iddia edilen devlet destekli hackerlardı. Ancak bunlar sıradan sanıklar değildir. Bunlar, basit bir şekilde para çalmak için çalışan suçlular değildir. Amaçları daha derindir ve beklentilerin ötesindedir.

Her iki birey de, Kuzey Kore Hükümeti’nin Reconnaissance General Bureau adlı bir grup hackerın üyesi olmakla suçlanmaktadır. Aralarında yer aldıkları komplo, birçok siber güvenlik araştırmacısı tarafından Advanced Persistent Threat 38 (APT38) veya “Lazarus Grubu” olarak adlandırılan Kuzey Koreli hacker gruplarını içermektedir.

Lazarus Grubu ve İddia Edilen Kötü İşleri

Lazarus Grubu’nun en recent gündeme gelişi, FBI’nin, Ocak 2022’nin sonunda, Haziran 2022’de 100 milyon ABD doları değerindeki Harmony Bridge Hack’i düzenlediğini onayladığı zaman gerçekleşti.

23 Haziran 2022’de, Harmony protokol ekibi, Horizon köprüsünde yaklaşık 100 milyon ABD doları değerinde bir hırsızlık tespit etti. 23 Ocak’taki açıklamasında, FBI, Lazarus Grubu ve APT38’in, “Kuzey Kore ile ilgili siber aktörlerin” 100 milyon ABD doları değerindeki sanal para hırsızlığını gerçekleştirdiğini açıkça belirtti. Saldırganlar, Harmony’nin Horizon Ethereum köprüsündeki güvenlik açıklarını kullanarak köprüdeki çeşitli varlıkları 11 işlemle çaldı.

Harmony Horizon Köprüsü hack’inden önce, infamous Lazarus grubunun adı, Mart 2022’de 600 milyon ABD doları değerindeki Ronin Köprüsü hack’i raporlarında da geçti. Ronin Köprüsü hack’i, 2022 yılında gerçekleşen en büyük sanal varlık ihalesiydi. Çalınan fonlar 612 milyon ABD dolarına ulaştı ve 173.600 ETH ve 25,5 milyon USD coin’i içeriyordu.

Axie Infinity, Ronin’i bir Ethereum sidechain olarak kullanan bir play-to-earn non-fungible token (NFT) oyunudur. Saldırının doğasını açıklarken, Axie Infinity’nin geliştiricileri, Sky Mavis, saldırganların özel anahtarları ele geçirdiklerini ve doğrulanmış işlemleri sahte bir şekilde onaylayarak köprüden fonları boşalttıklarını belirtti.

Amerika Birleşik Devletleri Hazine Bakanlığı’nın Dış Varlıklar Kontrol Ofisi, Nisan 2022’nin ortalarında, Specially Designated Nationals and Blocked Persons (SDN) listesini güncelleyerek, Lazarus Grubu’nun bu hack’i düzenleyebileceği olasılığını öne sürdü. Saldırganlar, eylemlerini gerçekleştirmekte o kadar sofistike ve gizliydiler ki, bu, kripto uzayındaki en büyük hırsızlıklarından biri olmasına rağmen, birkaç gün sonra keşfedildi.

Aynı durum, Lazarus Grubu’nun RAILGUN adlı bir gizlilik protokolünü kullanarak, hack sırasında çalınan 60 milyon ABD doları değerindeki Ethereum’u yönlendirdiği Harmony Horizon Köprüsü hack’inde de yaşandı. FBI soruşturmasına göre, bu fonların bir kısmı, bazı VASP’lerle işbirliği içinde donduruldu, kalan Bitcoin ise daha sonra diğer adreslere taşındı.

FBI, bu Kuzey Koreli grubun çabalarını tanımlamak, engellemek ve bozmak için siber ve sanal varlık birimlerini, ABD Başsavcılığını ve ABD Adalet Bakanlığı’nın Kripto birimi ile birlikte görevlendirmiştir. Büro, grubun sanal para hırsızlığı ve para aklama faaliyetlerinin, Kuzey Kore’nin balistik füze ve kitle imha silahları programlarını desteklemek amacıyla gerçekleştirildiğine inanmaktadır.

Ortak Siber Güvenlik Danışma Belgesi Yayınlandı

18 Nisan 2022’de, Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), FBI ve ABD Hazine Bakanlığı ile birlikte, “Kuzey Kore devletinin blockchain teknolojisini ve kripto para endüstrisini hedef alan faaliyetleri” hakkında bir danışma belgesi yayınladı.

Tehditler

Danışma belgesi, kripto para hırsızlığı ile ilgili siber tehdidin en az 2020 yılından beri aktif olduğunu belirtmektedir. Belge, bu Advanced Persistent Group (APT) tehdidini hiçbir şekilde belirsiz bırakmadan, Kuzey Kore devletinin desteğini almıştır. Ajanslar, bu grubu Lazarus Grubu, APT 38, BlueNoroff ve Stardust Chollima olarak işaretlemiştir.

Amerika Birleşik Devletleri Hükümeti’nin tehdit analizi, bu kötü niyetli siber aktörlerin, blockchain ve kripto endüstrisindeki çeşitli organizasyonları hedef aldığını belirtmektedir. Hiçbirini es geçmezler. Hedef listesi, kripto borsaları, DeFi protokolleri, P2E kripto para video oyunları, kripto ticaret şirketleri, VC fonları ve büyük miktarda kripto para veya değerli NFT’ler sahip bireyleri içermektedir.

Lazarus Grubu ve benzeri siber aktörler, çeşitli iletişim platformlarını kullanarak kurbanlarını sosyal mühendislik yoluyla hedef almada uzmanlaşmışlardır. Bu şekilde, Windows ve macOS işletim sistemlerinde Truva atı gibi kripto uygulamalarını indirmeye ikna ederek, son kullanıcıların bilgisayarlarına ve tüm ağ ortamına malware bulaştırmaktadırlar.

Danışma belgesi, Lazarus Grubu’nun, blockchain ve kripto endüstrisindeki çeşitli şirketleri, kuruluşları ve borsaları hedef aldığını ve spear-phishing kampanyaları ve malware kullanımı yoluyla kripto para çaldığını belirtti.

AppleJeus Malware

FBI, CISA ve DoT, Lazarus Grubu’nun, son birkaç yıl içinde 30’dan fazla ülkede kripto para hırsızlığı için AppleJeus malware kullanmasını özellikle vurgulamıştır. Ajans raporuna göre, Kuzey Kore, “en az 2018 yılından beri kripto para ticaret platformları olarak gizlenen AppleJeus malware” kullanmaktadır.

Kötü niyetli uygulama, meşru bir kripto para ticaret şirketinden gelen üçüncü taraf bir uygulama gibi görünmektedir. ve bireyler, bu uygulamayı yasal bir web sitesinden indirdiklerine inanarak, malware’e maruz kalırlar.

Kuzey Kore Hükümeti, keşfedildiği 2018 yılından bu yana, son beş yıl içinde AppleJeus malware’nin çeşitli sürümlerini kullanmış olabilir.

İcra Yöntemi

Siber suçlular, operasyonlarına, kripto işlerine çalışan personele yüksek sayıda phishing kampanyaları göndererek başlarlar. Hedefledikleri kişiler genellikle sistem yönetimi veya yazılım geliştirme/I.T. operasyonlarında (DevOps) çalışmaktadır.

Gönderdikleri mesajlar genellikle yüksek ücretli iş teklifleri sunan işe alım uyarılarıdır. Bu teşviklerle, bu personelin malware içerikli kripto uygulamalarını, hükümet tarafından TraderTraitor olarak adlandırılan uygulamaları indirmelerini sağlarlar. TraderTraitor kampanyaları, modern tasarım sunan web siteleri içerir.

Jon Chang Hyok’u FBI’nin en çok arananlar listesine eklerken, ajans, benzer suçları onun adına ekledi ve “çeşitli kripto para borsaları ve şirketlerine yönelik kötü niyetli kripto para uygulamalarının geliştirilmesinde ve dağıtılmasında doğrudan yer aldığını” belirtti.

Kim Il’in alleged suçu, “finansal kurumlardan siber ermögülü soygunlar” ve Marine Chain ICO dolandırıcılığına karıştı.

Marine Chain ICO dolandırıcılığı, 2018 ICO patlaması sırasında yaklaşık 12 milyar dolar toplandığında, üç Kuzey Koreli istihbarat operatörü tarafından başlatılan bir dolandırıcılık planıydı. Kendilerini “blok zinciri teknolojisi ile etkinleştirilen bir sonraki nesil küresel denizcilik yatırım pazarı” olarak sundular ve gemi sahiplerinin gemilerinin kısmi mülkiyetini tokenleştirebileceklerini ve bu kısmi mülkiyet coin’lerini bireylere ve kurumlara satabileceklerini vaat ettiler. Bunu Vessel Token Offerings olarak adlandırdılar ve Ethereum blockchain üzerinde gerçekleşeceğini söylediler.

Kim Il ve Jon Chang Hyok, Park Jin Hyok ile birlikte – hepsi Kuzey Koreli – Marine ICO’nun kurucularıydı. Kuzey Koreli askeri ajansının, Reconnaissance General Bureau (RGB) üyesi olduklarını gizlediler. Sahte isimler kullandılar ve ICO’dan elde edilen tüm parayı, ABD yaptırımlarını atlatarak Kuzey Kore’ye yönlendirdiler. Üçlü, birçok siber saldırı ve şantaj girişimi yoluyla 1,3 milyar ABD doları değerinde çaldı.

Ne Olacak?

Amerika Birleşik Devletleri soruşturma ajansları, düzenli olarak hack’leri ve şantaj girişimlerini keşfederken, hem Kim Il hem de Jon Chang Hyok, FBI’nin en çok arananlar listesinde kalıyorlar. Tutuklama emirleri çıkarıldı. Ancak CISA, ifşaatında, “bu aktörlerin, kripto para teknoloji şirketlerinin, oyun şirketlerinin ve borsaların zayıflıklarını kullanarak, Kuzey Kore rejimini desteklemek için fonları üretmek ve aklamak için devam edeceğine” dair kesin bir görüşü vardı.