Kuzey Koreli Hackerlar Dijital Varlıklara Saldırısını Sürdürüyor

İran devlet hackerları fidye yazılımı saldırıları ve kripto madenciliği yaparken, Rusya’nın bazı kapasitelerde özel fidye yazılımı gruplarını kullandığı anlaşılmaktadır, Kuzey Kore hükümeti ise saldırı faaliyetlerinde finansal siber suçları temel bir hedef olarak dahil eden tek büyük düşmandır.

Kuzey Kore’nin siber suç programı çok yönlüdür; banka soygunlarından fidye yazılımı dağıtımına ve çevrimiçi borsalardan kripto para çalmaya kadar çeşitli taktikler kullanır.

Lazarus, Kimsuky ve BeagleBoyz takma adlarıyla anılan Kuzey Koreli hackerlar, dünya çapında askeri, hükümet, kurumsal ve savunma sanayi ağlarına sızmak için giderek daha sofistike araçlar kullanıyor, siber casusluk yapıyor ve sınıflandırılmış verileri dışa aktararak Kuzey Kore silah geliştirmesine yardımcı oluyor.

Kötü niyetli aktörler, bireyleri erişim sağlamaları veya güvenliği ihlal etmeleri için kandırarak internet bağlantılı cüzdanlardan Kuzey Kore’nin kontrolündeki adreslere dijital fonları boşaltıyor. Yaptırımlarla boğuşan ülke, çalınan kriptoyu aklamak için karmaşık yöntemlere yönelmiş, binlerce adresten kripto para toplayıp karıştıran yazılım araçlarının kullanımını artırmıştır.

Geçtiğimiz yıl, Amerika Birleşik Devletleri Adalet Bakanlığı, üç Kuzey Koreli bilgisayar programcısını, finans kurumları ve şirketlerden 1,3 milyar doların üzerindeki para ve kripto parayı çalmak ve fidye talep etmek, bir dizi yıkıcı siber saldırı yürütmek, birden fazla kötü amaçlı kripto para uygulaması oluşturmak ve dağıtmak ve sahte bir blokzincir platformu geliştirmek ve pazarlamak amacıyla geniş kapsamlı bir suç ortaklığına katıldıkları gerekçesiyle suçladı.

Aslında, Kuzey Kore’nin kriptoya yönelik saldırısı devam ediyor; son boğa piyasasından bu yana bir milyardan fazla birikim sağladı.

$1.2 Milyar 2017’den Bu Yana Çalındı

Geçen hafta, Güney Kore Ulusal İstihbarat Servisi (NIS), Kuzey Koreli hackerların son beş yılda tahmini 1,5 trilyon won ($1,2 milyar) kripto para çaldığını belirten yeni bir rapor yayımladı. Bu miktarın yarıdan fazlası sadece bu yıl gerçekleşti ve bu devasa toplamın sadece 78 milyon doları Güney Kore’den geldi.

Güney Kore istihbarat ajansına göre, sadece bu yıl 800 milyar Kore wonu ($620 milyon) değerinde kripto para çalındı. Konuya ilişkin konuşan bir NIS sözcüsü, bu hack’in tamamen yurt dışında gerçekleştiğini belirterek, “Kore’de sanal varlık işlemleri gerçek isimli işlemlere dönüştürüldü ve güvenlik güçlendirildi, bu yüzden bir zarar yok” dedi.

Bu gelişmeyi bilmeyenler için, 2021’de Güney Kore hükümeti kripto ticareti için KYC (müşterini tanı) kurallarını getirdi. Ülke içindeki tüm kripto borsalarının, müşterilerinin fonlarını yatırıp çekmek için kullandıkları aynı banka ile gerçek isimli bir hesap oluşturmalarını zorunlu kılıyor.

Hem borsa hem de banka, müşterinin kimliğini doğrulamak zorundadır. Ayrıca, borsalar faaliyetlerine başlamadan önce Finansal Hizmetler Komisyonu’ndan (FSC) lisans almak zorundadır.

Kuzey Koreli hacker grupları bu yıl birkaç büyük ölçekli kripto ihlaliyle ilişkilendirildi — $100 milyonluk Harmony saldırısı da dahil. Uzmanlar, bu saldırıların ülkenin uluslararası topluluktan gelen sıkı ticari yaptırımlarla karşı karşıya olduğu için yabancı para rezervleri oluşturma yolu olduğunu öne sürüyor.

NIS’e göre, Kuzey Kore dünyanın en iyi dijital varlık hırsızlığı yeteneklerine sahip. Bu, ülkenin 2017’den beri siber suçlara odaklanmasıyla ilgili; o yıl Birleşmiş Milletler ekonomik yaptırımları, nükleer ve füze testlerine yanıt olarak sıkılaştırıldı.

Ajans ayrıca, Kuzey Kore siber saldırılarının önümüzdeki yıl artacağını uyardı: “Saldırıları savunmalar kadar yakından analiz etmek gerekir. Çünkü bir hacker örgütü tüm saldırı bilgilerine sahiptir ve bunu unutmaz. Çeşitli saldırganlar tarafından dağıtılan kötü amaçlı kodla ilgili bilgileri toplamak, anlamlı içgörüler bulmak için gereklidir.”

Kuzey Koreli hackerlar, diğer devlet destekli hack grupları ve siber suçluların kullandığı sosyal mühendislik, phishing ve yazılım açıkları gibi yaygın taktikleri de kullanmaktadır.

Yeni Malware Dağıtım Yöntemlerini Test Etmek

Lazarus’un BlueNoroff alt grubunun, işletmelere karşı çok yönlü saldırılarda çeşitli bir malware envanteri kullandığı ve yasa dışı yollarla fon elde ettiği biliniyor. Bu, sofistike phishing taktikleri ve fonları aklamak için malware kombinasyonunu içeriyor.

Kaspersky siber güvenlik laboratuvarının bu hafta yayımladığı rapor göre, BlueNoroff yılın büyük bir kısmında sessiz kaldıktan sonra risk sermayesi firmalarına, kripto girişimlerine ve bankalara yönelik hedeflemesini yeniledi. Grup şu anda faaliyetlerde bir artış gösteriyor.

BlueNoroff, VC firmalarına benzer 70’ten fazla sahte alan adı oluşturdu. Çoğu sahte, tanınmış Japon şirketleri gibi görünüyor, diğerleri ise ABD ve Vietnam şirketlerinin kimliğini üstlendi.

Son bir rapora göre, grup yeni dosya türleri ve diğer malware dağıtım yöntemleriyle denemeler yapıyor. Kurulduğunda, malware Windows Mark-of-the-Web (MoTW) indirme uyarılarını atlatabiliyor. Ardından “büyük kripto para transferlerini yakalıyor, alıcının adresini değiştiriyor ve transfer miktarını sınıra iterek hesabı tek bir işlemde tamamen boşaltıyor” şeklinde hareket ediyor.

Siber tehditler kötüleştikçe, işletmeler kendilerini korumak için her zamankinden daha dikkatli olmalı. Bu, Kaspersky araştırmacısı Seongsu Park’ın, “gelecek yıl, daha önce görülmemiş bir güçte, en büyük etkiye sahip siber salgınlarla işaretlenecek” uyarısına dayanıyor.

Lazarus BlueNoroff alt grubu ile ilişkilendirilen operatörler, dünya çapında küçük ve orta ölçekli işletmeleri hedef alan çeşitli siber saldırılarla bağlantılı. NFT’ler bile bu hack grubunun radarında; Lazarus Grubu ile ilişkili Kuzey Koreli tehdit aktörleri son birkaç hafta içinde değiştirilemez tokenları çalmaya çalışıyor.

Phishing Yoluyla NFT Hırsızlıkları

Blockchain güvenlik firması SlowMist rapor yayımladı geçen haftanın sonlarında, Kuzey Kore APT gruplarının NFT kullanıcılarını hedef alan büyük ölçekli phishing faaliyetlerine derinlemesine bir bakış sundu.

SlowMist, son bir phishing saldırısında kullanılan tekniklerden birinin, kötü amaçlı Mint’lerle sahte NFT odaklı aldatıcı web siteleri oluşturmak olduğunu buldu. Bu NFT’ler daha sonra OpenSea, Rarible ve X2Y2 gibi popüler platformlarda satıldı.

Gelişmiş Kalıcı Tehdit (APT) grubu, ABD hükümeti tarafından en az 2020’de TraderTraitor olarak tanımlandı ve 500’e kadar farklı alan adı kullanarak kripto ve NFT kullanıcılarını hedef alan bir phishing kampanyası yürüttü.

Bu hackerların yaygın olarak kullandığı benzersiz phishing özellikleri, ziyaretçi verilerini kaydeden ve dış sitelere kaydeden phishing web siteleri, bir NFT öğe fiyat listesi talep etme ve hedef projeye resimleri bağlayan “imgSrc.js” dosyasını içeriyordu.

Phishing yöntemlerinin analizi sırasında, SlowMist hackerların phishing saldırılarında WETH, USDC, DAI ve UNI gibi birden fazla token kullandığını da tespit etti.

Ronin Üzerindeki En Büyük Saldırı

Bu yılın başlarında, Lazarus Grubu ayrıca Ronin blokzincirinden, NFT oyunu Axie Infinity tarafından kullanılan, 600 milyon doların üzerindeki kripto parayı saptı. Blockchain analiz şirketi Chainalysis, bu saldırıyı şimdiye kadarki en büyük kripto para hack’i olarak nitelendirdi.

Vietnamlı bir oyun stüdyosu tarafından oluşturulan Axie Infinity, bir zamanlar bir milyondan fazla aktif oyuncuya sahipti. Ve bu yılın başlarında, oyunun sanal dünyasını destekleyen blokzincir, Kuzey Koreli bir hack çetesi tarafından yağmalandı ve yaklaşık 620 milyon dolar değerinde Ethereum çaldı.

Uygulanan bir kolluk kuvvetleri ve kripto analiz şirketleri ittifakı, çalınan fonların bir kısmını bir dizi DEX ve “kripto karıştırıcı” üzerinden izleyerek, şu ana kadar sadece yaklaşık 30 milyon dolar değerindeki kripto ganimetin geri alındığını bildirdi; bu hizmet, birçok kullanıcının kripto paralarını birleştirerek fonların sahiplerini ve kökenlerini gizler.

ABD, o zamandan beri Tornado Cash karıştırıcısını yaptırım uyguladı; ABD Hazine Bakanlığı, bu karıştırıcının hackerlar tarafından Ethereum ganimetlerinin 450 milyon dolarından fazlasını aklamak için kullanıldığını belirtti.

Kripto Yatırım Startupları da Hedef Alındı

Tüm bu saldırılar arasında, Microsoft (MSFT ) bu ayın başında kripto para yatırım startuplarını hedef alan bir tehdit aktörünü tespit ettiğini duyurdu. Microsoft’un DEV-0139 olarak adlandırdığı grup, Telegram’da bir kripto para yatırım şirketi gibi davranıyor ve uzaktan eriştiği sistemleri enfekte etmek için silahlandırılmış bir Excel dosyası kullanıyor.

Tehdit, kendisini sahte OKX çalışan profilleriyle tanıtarak ve “VIP müşteriler ile kripto para borsa platformları arasında iletişimi kolaylaştırmak” için kullanılan Telegram gruplarına katılarak yüksek bir sofistike seviyesi gösterdi, Microsoft yazdı.

Tehdit aktörünün çok bilgili olduğu ve genellikle yükleri dağıtmadan önce hedefiyle güven inşa ederek hazırlık yaptığı, sofistike saldırılarda bir artış gördüğümüzü ekledi.

Örneğin, birkaç ay önce bir hedef, bir gruba katılmaya davet edildi ve kripto borsaları HTX, Binance ve OKX’in VIP ücret yapılarını karşılaştıran bir Excel belgesi hakkında geri bildirim istedi. Belge doğru bilgi ve kripto para ticareti konusunda yüksek farkındalık sağladı, ancak aynı zamanda gizlice bir kötü amaçlı .dll (Dynamic Link Library) dosyası yan yükleyerek kullanıcının sistemine bir arka kapı oluşturdu. Hedef, tartışma sırasında kötü amaçlı dosyayı kendisinin açmasını istendi.

Microsoft, DEV-0139’un, siber güvenlik firması Volexity’nin Lazarus Grubu ile ilişkilendirdiği aynı aktör olduğunu, AppleJeus malware’ının bir varyantını ve bir Microsoft kurulum dosyasını (MSI) kullandığını öne sürdü.

2021’de AppleJeus, Amerika Birleşik Devletleri federal Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından belgelendi.

Kripto Saldırılarında Süregelen Artış

Chainalysis’e göre, Kuzey Kore hükümeti tarafından gerçekleştirilen kripto para saldırılarının boyutunda son zamanlarda bir artış yaşandı.

Chainalysis’in raporuna göre, Lazarus Grubu 2021’de yalnızca kripto para platformlarına yönelik yedi saldırıyla yaklaşık 400 milyon dolar değerinde dijital varlık elde etti; bu, 2020’deki 300 milyon doların üzerindedir.

Kayıtlara geçen en başarılı yıllarından birinde, Kuzey Kore bağlantılı hack sayısı 2021’de dörtten yediye yükseldi ve bu hack’lerden elde edilen değer %40 arttı.

Rapor, Kuzey Kore fonların kontrolünü ele geçirdikten sonra, parayı tespit edilmeden nakde çevirmek için hemen dikkatli bir aklama sürecine başladığını belirtiyor.

Chainalysis tüm kripto para hack hedeflerini tanımlamasa da, bunların çoğunlukla yatırım firmaları ve merkezi borsalar olduğunu belirtti. Ayrıca, bu borsalardan biri olan Liquid.com, Ağustos ayında yetkisiz bir kullanıcının bazı kripto para cüzdanlarına eriştiğini duyurdu.

Chainalysis’e göre, saldırganlar bu kuruluşların “sıcak” cüzdanlarından fonları Kuzey Kore kontrolündeki adreslere saptırmak için phishing tuzakları, malware, kod açıkları ve gelişmiş sosyal mühendislik kullandı.

Rapor ayrıca, araştırmacıların 2017’den 2021’e kadar 49 ayrı hackten elde edilen, eski ve aklanmamış 170 milyon dolar değerinde kripto para varlıklarını tespit ettiğini ve bunun tümünü nakde çevirmek için dikkatli bir plan olduğunu, “umutsuz ve aceleci bir plan” olmadığını belirtti.

Son Not

Hackerların, Kuzey Kore rejimini desteklemek için fon üretmek ve aklamak amacıyla kripto para teknoloji şirketleri, oyun şirketleri ve borsaların güvenlik açıklarından yararlanmaya devam etmesi bekleniyor.

Bu durumun ciddi bir sorun olduğu açıktır; çünkü Kuzey Kore, nükleer silah programını desteklemek için fon çalmak amacıyla siber saldırılar kullandığı biliniyor. Bu, özellikle devlet destekli hackerların hedef alabileceği işletmeler ve kuruluşlar için siber güvenliğin önemini vurguluyor.

Kuzey Kore hükümeti bu tür faaliyetlerde bulunmayı reddetse de, kanıtlar hackerların rejimin onayıyla hareket ettiğini gösteriyor. Kuzey Koreli hackerların oluşturduğu bu süregelen tehdit göz önüne alındığında, işletmeler ve bireyler uyanık kalmalı ve dijital varlıklarını korumak için önlemler almalıdır.