APT42: İran Destekli Gelişmiş Tehdit Operasyonları
Siber güvenlik dünyasında bazı gelişmiş tehdit aktörleri (APT), bilgi sızdırır, sistemleri çökertir ve geride izler bırakır. Ancak bazıları vardır ki sessizdir, tek bir alarm çalmadan aylarca ağın içinde gizlice dolaşır, veri sızdırır ve hedefinin davranışlarını gözlemler. Bu tehlikeli gruplardan biri de son yıllarda aktivitelerini sıkça artıran APT42’dir. Bu blog yazısı, APT42'nin operasyonlarını, tekniklerini ve çeşitli sektörlere yönelik saldırıları incelemektedir.
APT42 Kimdir ? Genel bakış
Charming Kitten, Charming Cypress, TA453, Yellow Garuda, Phosphorus ve Mint Sandstorm gibi birçok takma adla da bilinen APT42, 2015 yılından beri faaliyet gösteren İran Devrim Muhafızları İstihbarat ve Güvenlik Komutanlığı’na (IRGC-ISC) bağlı, İran devleti tarafından desteklenen bir tehdit aktörüdür.
Bu grubun hedefleri genellikle:
- Orta Doğu ve Batı’daki düşünce kuruluşları,
- Gazeteciler, araştırmacılar, politik danışmanlar,
- Ve özellikle İran politikasıyla ilgilenen, tehdit oluşturan akademik çevrelerdir.
APT42, kimlik avı kampanyalarında, kötü amaçlı içerik bağlantıları göndermeden önce hedeflerle e-posta üzerinden uzun sohbetler yapmak gibi alışılmadık ileri düzey sosyal mühendislik taktikleri kullanır. APT42'nin, sürekli yazışmalar yoluyla kurbanlarıyla güven oluşturmak ve konferanslara veya meşru belgelere davetiye göndermek için gazeteci ve etkinlik organizatörü gibi davrandığı, sonrasında kişiye/kuruma özel sahte bir web semineri platformu / haber sitesi oluşturarak (Spear Phishing) bilgilerinin alındığı, sistemlerine sızıldığı gözlemlendi.
Saldırı Yöntemleri ve Teknikleri
APT42, sosyal mühendisliğe ve istismara büyük ölçüde dayanan çok aşamalı bir saldırı metodolojisi kullanır, bunları detaylıca inceleyelim:
- Sosyal Mühendislik ve İlk Erişim
- Kimlik Bilgisi Toplama
- Kalıcılık Sağlama Mekanizmaları
- Teknik Saldırı Vektörleri
Sosyal Mühendislik ve İlk Erişim
Grup, ikna edici sosyal mühendislik kampanyaları oluşturmasıyla ünlü. Kurban kitleyle güven oluşturmak için genellikle gazetecileri, konferans organizatörlerini veya akademik araştırmacıları taklit eden sahte kimlikler oluşturuyorlar ve hedefleri doğrultusunda iletişimleri e-posta yoluyla haftalarca hatta aylarca süren ilişki kurmaya kadar gidebiliyor.
APT42, hedef tarafı sahte web seminerlerine, konferanslara veya mülakat fırsatlarına davet ederek sıklıkla etkinlik tabanlı tuzaklar kullanır. Bu davetler, Microsoft 365, Google Meet, Zoom gibi hizmetleri taklit eden ve önceden hazırlanmış sahte domainler üzerinden kimlik bilgisi toplama sayfalarına yönlendiren aldatıcı bağlantılar içerir.
Gerçek Saldırıdan Bir Örnek: Sahte Google Meet Sayfası
APT42 tarafından dağıtılan sahte Google Meet sayfası
Yukarıdaki görsele ilk baktığınızda bir gariplik görüyor musunuz ?
Mart 2023'te APT42, İranlı gazetecilerin hesaplarını ele geçirmek için sahte bir Google Meet davetiyesi içeren bir kimlik avı e-postası gönderdi. Bu e-postanın, APT42 tarafından kullanılan ve muhtemelen sahte bir karakter olan Mona Louri adına gönderildiği iddia ediliyordu.
Kullanıcıya giriş sırasında sahte bir Gmail giriş sayfası gösterildi ve kimlik bilgilerini girmesi istendi. Sonrasında Google Meet sayfasına yönlendirildi. Bu bilgiler daha sonra saldırganlara gönderildi. Sahte sayfa, meşruiyetini artırmak için Google Sites (sites[.]google[.]com) web sayfası oluşturma aracında barındırılıyordu ve aşağıdaki şekillerde görülebileceği gibi HTML içeriklerine özel bir APT42 etki alanına referans yerleştirilmişti. Yapılan bu saldırı denemesi, Twitter’dan da kamuoyuna duyuruldu.
APT42, sahte kullanıcı e-postaları ve arayüzler aracılığıyla Dropbox, Youtube, Yandex, Yahoo ve Microsoft gibi birçok büyük kuruluşun e-posta ve bulut hizmetlerini taklit ederek çok sayıda kullanıcıyı başarıyla kandırmışlardır.
Bu blog yazısında söz konusu saldırıların tüm detaylarına değinmeyeceğiz ancak konu ilginizi çekiyorsa, APT42 grubunun gerçekleştirdiği saldırılar hakkında daha fazla bilgiye Google’ın yayınlamış olduğu makaleden ulaşabilirsiniz.
Kimlik Bilgisi Toplama
Başarılı bir spear phishing saldırısından sonra bu aşamada temel amaç, kurbanların kullanıcı adı, parola ve oturum bilgilerini ele geçirerek sistemlere yetkili kullanıcı gibi erişim sağlamaktır. Peki bu aşamada APT42 ne uyguluyor ?
Kurbanlar kimlik bilgilerini girdiğinde, APT42 bunları gerçek zamanlı olarak yakalar ve genellikle çok faktörlü kimlik doğrulamayı atlatmak için aracı saldırı (AitM vb.) tekniklerini uygular. Giriş sağlandıktan sonra oturum çerezleri ve kimlik doğrulama verileri çalınarak, kullanıcı şifresini değiştirse bile erişimlerini sürdürebildiler.
Kalıcılık Sağlama Mekanizmaları (Persistence)
Sisteme başarılı bir şekilde sızdıktan sonra APT42’nin bir sonraki hedefi, erişimini kalıcı hale getirmek ve uzun süreli izinsiz varlığını sürdürebilmektir. Bu aşamada uygulanan yöntemler sayesinde, sistem yeniden başlatılsa bile saldırgan erişimini koruyabilir. Bu da daha derinlemesine ve kalıcı zarar verme potansiyelini oluşturur.
APT42, sistemde uzun süreli kalıcılık sağlamak için özel olarak geliştirilmiş arka kapı yazılımları kullanır.
Bunlardan bazıları:
- POWERSTAR — Powershell tabanlı backdoor
- POWERLESS — Powershell analizinden kaçan bir script motoru
- NOKNOK — MacOs tabanlı backdoor
- BASICSTAR — Uzaktan kod yürütme zararlısı
- EYEGLASS — Bilgi toplama zararlısı
Teknik Saldırı Vektörleri
APT42, kurbanlarına saldırırken fark edilmekten ve tespit edilmekten kaçınmak için karmaşık çeşitli saldırı yöntemleri kullanır. Sıkça başvurdukları saldırı taktiklerini görelim ve bunlardan bazılarını detaylı olarak ele alalım:
- Oltalama bağlantıları (Spear Phishing)
- Yazım hatası ile alan adı taklidi (Typo-squatted Domains)
- Sahte oturum saçma sayfaları
- Kötü amaçlı RAR arşivleri ve LNK Dosyaları Dağıtımı (RAR + LNK Combo)
- Sahte Webinar Platformları ve Zararlı VPN Uygulamaları
Yazım Hatası ile Alan Adı Taklidi (Typo-squatted Domains)
APT42 kurumlara ait alan adlarının harfleriyle oynayarak sahte domain’ler alırlar. Kurbanlar bu sitelere yönlendirilerek farkında olmadan giriş bilgilerini saldırgana teslim eder.
Buna günümüze en yakın örnek son zamanlarda çokça karşımıza çıkan Microsoft örneği. Saldırganlar, gerçek alan adı olan “@microsoft[.]com” yerine görsel olarak benzer görünen “@rnicrosoft[.]com” adresinden e-posta göndererek kullanıcıları yanıltır.
RAR + LNK Kombinasyon Saldırısı
APT42 grubu, saldırılarında fark edilmeden sistemlere sızmak için alışılmamış, karmaşık bir RAR + LNK (Windows kısayol) kombinasyonu yöntemi geliştirmiştir. Şimdi bu tekniğin nasıl çalıştığını adım adım inceleyeceğiz, yazının sonunda ise bu yöntemin gerçek bir saldırı örneği yaparak, nasıl uygulandığını detaylı olarak ele alacağız.
LNK dosyası, Windows işletim sistemlerinde kullanılan bir kısayol dosyasıdır. Asıl dosya, klasör ya da uygulamanın konumuna işaret eder ve kullanıcı bu dosyaya tıkladığında hedef içerik açılır. Örneğin masaüstünüzde bulunan tarayıcı ikonu bir kısayoldur. Windows, kullanıcıların kendi kısayol dosyalarını oluşturmalarına ve bunlara görevler atamalarına izin verir. Ancak, sistemde diğer ikili dosyaları çalıştırma yeteneği gibi nispeten basit görünen bir özellik, tehdit aktörleri tarafından kötüye kullanıldığında büyük zararlara yol açabilir.
Normal gibi gözüken LNK dosyaları
Bu yöntem, sosyal mühendislik ile birleştirildiğinde oldukça etkili hale gelir:
- Saldırgan, normal görünen belgelerle birlikte kötü amaçlı bir LNK dosyası içeren bir RAR arşivi oluşturur.
- LNK dosyası normal bir belge (PDF veya Word dosyası gibi) gibi görünür, ancak aslında gizli komutları çalıştıran bir kısayoldur.
- Kurban, belge olduğunu düşündüğü dosyayı açıp tıkladığında, LNK dosyası kullanıcıya vaad ettiği belgeyi gösterirken arka planda PowerShell komutlarını çalıştırır.
- Bu komutlar, saldırganın kontrolündeki sunuculardan kötü amaçlı yazılım indirip çalıştırır.
Bu yöntem etkili olmasının nedenleri:
- RAR dosyaları şifrelendiği zaman içerikleri tam olarak taranmayabilir.
- LNK dosyaları belge simgeleriyle gizlenebilir, çift uzantı yapılabilir böylece normal gibi görünürler.
- Kurban beklenen içeriği görürken, kötü amaçlı yazılım sessizce yüklenir.
- Antivirüs yazılımı sıkıştırılmış arşivlerin içini kapsamlı bir şekilde taramayabilir.
APT42'nin bu saldırısı, Microsoft tarafından yayınlanan yazısında da kısmen ele alınmıştır. Microsoft’un analizinde, bu yöntemin gelişmiş tehdit aktörleri tarafından nasıl kullanıldığına dair teknik detaylara da yer verilmektedir.
Zararlı VPN Uygulamaları
APT42, hedef sistemlere sızmak için sahte VPN uygulamaları geliştirme ve dağıtma taktiğini zaman zaman kullanmaktadır.
Saldırgan, hedef kullanıcıya sahte bir web semineri veya portal bağlantısı gönderir. Kullanıcı bu bağlantı üzerinden portala giriş yaptığında, sistem kullanıcının IP adresini kontrol eder.
Eğer IP adresi, saldırganın belirlediği hedef coğrafi konumlara veya kullanıcı profiline uygunsa, kullanıcıya vaad edilen içerikler sunulur. Ancak IP kontrolü başarısız olursa, saldırgan bu kez kullanıcıyı, kendi geliştirdiği sahte bir VPN uygulamasını indirip kullanmaya yönlendirir.
Kullanıcı VPN uygulamasını çalıştırdığında, arayüz meşru bir hizmet izlenimi verirken arka planda zararlı yazılım etkinleştirilir ve saldırının bir sonraki aşamasına geçilir.
Indicators of Compromise (IOCs)
AP42 saldırılarıyla ilişkilendirilen zararlı dosya, alan adı ve IP adresleri gibi teknik göstergelere (IOCs) aşağıdaki tablodan göz atabilirsiniz.
+------------------------------------------------------------------+--------+------------------------------------------+
| Indicator | Type | Context |
+------------------------------------------------------------------+--------+------------------------------------------+
| 464c5cd7dd4f32a0893b9fff412b52165855a94d193c08b114858430c26a9f1d | SHA256 | Dropper (Abraham Accords & MENA.pdf.lnk) |
| ddead6e794b72af26d23065c463838c385a8fdff9fb1b8940cd2c23c3569e43b | SHA256 | Archive (Abraham Accords & MENA.rar) |
| 1fb7f1bf97b72379494ea140c42d6ddd53f0a78ce22e9192cfba3bae58251da4 | SHA256 | NokNok Backdoor |
| e98afa8550f81196e456c0cd4397120469212e190027e33a1131f602892b5f79 | SHA256 | Applications NokNok Module |
| 5dc7e84813f0dae2e72508d178aed241f8508796e59e33da63bd6b481f507026 | SHA256 | Persistence NokNok Module |
| b6916b5980e79a2d20b4c433ad8e5e34fe9683ee61a42b0730effc6f056191eb | SHA256 | Processes NokNok Module |
| acfa8a5306b702d610620a07040262538dd59820d5a42cf01fd9094ce5c3487c | SHA256 | Informations NokNok Module[ADJ1] [CG2] |
| library-store[.]camdvr[.]org | Host | NokNok C2 |
| 144.217.129[.]176 | IP | NokNok C2 |
| filemanager.theworkpc[.]com | Host | Spoofed FTP Server website |
| fuschia-rhinestone.cleverapps[.]io | Host | GorjolEcho C2 |
+------------------------------------------------------------------+--------+------------------------------------------+
Tespit Ve Analiz
Bu bölümde MalwareBazaar’dan aldığımız örnek LNK uzantılı zararlı üzerinden ilerleyerek saldırıyı adım adım inceliyor, arka planda ne yaptığını sahip olduğunu ve nasıl tespit edeceğimizi inceleyeceğiz.
İnceleyeceğimiz Zararlı Bilgileri
+ - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
| SHA256 hash: | 075d39cc0b27cbdb32eaffbf1a4536fdafc5238c7eba1e32c2001d9862e0fe7b |
+ - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
| File Name: | Offer Docuent.lnk |
| File Type: | .lnk |
+ - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
Any.Run Analizi
Any Run, gerçek zamanlı, birçok uzantıyı, programı analiz etmemize olanak sağlayan bir sandbox ortamıdır. Şüpheli dosyamızı any.run içerisine atıp kurban bilgisayar olarak çalıştırıyoruz, sandbox sistemimizde canlı olarak bizlere bazı loglar düşüyor.
Rar dosyasından çıkardığımız zararlımız, ilk bakışta dışarıdan normal bir shortcode gibi duruyor.
Dosyayı çalıştırdığımızda ekranda sıradan bir doküman görülüyor. Gelin şimdi ANY.RUN loglarını inceleyip bu “normal” görünümün arkasında neler yaşandığını adım adım ortaya çıkaralım.
Grafikte, kullanıcı zararlı dosyaya tıkladığında başlatılan işlem zinciri gösteriliyor. Dosyanın çalıştırılmasıyla arka planda PowerShell ve mshta[.]exe uygulamalarının tetiklendiği ve payload’ların buradan yürütüldüğü gözlemleniyor.
Process ekranından yürütülen işlemlerin detaylarına, hangi komutların yürütüldüğüne bakalım.
İlk olarak kullanıcının tıklamasıyla winrar[.]exe içerisindeki dosya devreye giriyor ve kendisini C:\Users\admin\AppData\Local\Temp dizinine kopyalıyor. Any.Run analizinde bu dosya %100 Malicious olarak değerlendirilmiş.
Ardından bu dosyanın alt process’i olarak powershell[.]exe başlatılıyor ve “hxxps[://]eduaiqi[.]uz/wordpress/room5[.]hta” adresinden bir .HTA dosyasını indiriyor. PowerShell sürecinin hemen ardından mshta[.]exe devreye giriyor ve indirilen room5[.]hta dosyasını çalıştırarak zararlının ikinci aşamasını aktive ediyor.
İndirilen dosyaya ve web sitesine erişmeye çalıştığımızda domain artık erişilebilir olmadığı için doğrudan URL’den payload’a ulaşamadım, bunun yerine urlscan.io’nun geçmiş taramalarına bakarak bahsi geçen dosyaya erişim sağladım.
“Offer Document.lnk” dosyasının indirdiği room5[.]hta adlı zararlı HTML Uygulaması dosyasıydı. Bu dosya, içeriğinde obfuscate edilmiş VBScript kodu barındırıyor. Obfuscate işlemi, yazılım geliştirmede kullanılan ve insanların veya bilgisayarların kodu anlamasını zorlaştırmak için kullanılan bir yöntemdir. Bu yöntemle saldırganlar, zararlıları antivirüslerden gizlemeye çalışır.
room5[.]hta, içindeki obfuscate edilmiş VBScript ile gizli bir PowerShell komutu oluşturup çalıştıran bir dosyadır. PowerShell kodu obfuscate edilip incelendiğinde “eduaiqi[.]uz/wordpress/rooma[.]exe” linki üzerinden uzaktan dosya indirip çalıştırdığı görülmekte.
Domain aktif olmadığı için yine urlscan.io sitesinden eski taramalara ulaşmaya çalışıyorum ve zararlımızın hash değerini buluyorum.
Room[.]exe dosyasının bulunan hash değeri: 77e14caae3daf05c1f5a6a3d10e4936cc58944d6ae9ec6943b1be6d995e94b5c
Dosyanın orijinali elimizde olmasa da bulduğumuz hash değerini VirusTotal’e attığımızda karşımıza ilginç bir sonuç çıkıyor:
Programın en son yüklediği dosyayı VirusTotal üzerinde gerçekleştirilen analize bakarak, dosyanın 60/72 gibi yüksek bir oranla güvenlik motorları tarafından malware olarak tespit edildiği görülmektedir.
Sonuç
APT42 gibi gelişmiş tehdit aktörleri teknik yöntemleri sosyal mühendislikle birleştirip fark edilmeden uzun süre içinde kalabiliyor, bu yüzden savunma yalnızca antivirüs taramalarıyla sınırlı olmamalı. Sürekli tehdit takibi, şüpheli sıkıştırılmış dosya ve kısayolların izlenmesi, görsel olarak benzer sahte alan adları ve kimlik avı linklerinin engellenmesi, bu tür sessiz ve hedefli saldırıları erkenden tespit edip etkisiz hâle getirme şansını artırır.
Daha fazla teknik detay ve APT42 grubunun bilinen TTP’leri için MITRE ATT&CK sayfasını inceleyebilirsiniz.
Referanslar
- Google Cloud Threat Intelligence Group. Untangling Iran: APT42 Operations.
- Volexity. Charming Cypress: Innovating Persistence
- Microsoft Security Blog. New TTPs observed in Mint Sandstorm campaign targeting high-profile individuals at universities and research orgs.
- MITRE ATT&CK. “APT42 (G1044).”
- Vectra AI. APT42 Threat Actor Profile.