Kaspersky, LinkedIn Üzerinden Yürütülen Sahte İşe Alım Kampanyasını ve Platformlar Arası Casus Yazılımları Tespit Etti

Saldırı Kampanyasının Kapsamı

Kaspersky Global Araştırma ve Analiz Ekibi (GReAT), Mirage Kitten adlı ileri kalıcı tehdit (APT) grubunun yürüttüğü hedefli bir siber saldırı kampanyasını tespit etti. Kampanya Türkiye’nin de aralarında bulunduğu birçok ülkeyi etkilemekte, özellikle havacılık ve finansal teknoloji (fintek) sektörlerini hedef almaktadır.

Bölgesel olarak Mısır, Etiyopya ve Afganistan kampanyanın odak noktasını oluştururken, zararlı yazılımlar Türkiye, Almanya, İsrail, Hindistan ve İrlanda gibi ülkelerde de tespit edilmiştir. Bu gelişme, Kaspersky’nin Temmuz ayında açıklanan Mirage Kitten’a ait Windows arka kapı keşfinin hemen ardından ortaya çıkmıştır.

LinkedIn Üzerinden Sosyal Mühendislik Tuzağı

Saldırı zinciri sosyal mühendislikle başlamaktadır. Saldırganlar LinkedIn platformu üzerinden kendilerini büyük teknoloji şirketlerinde görev yapan yetenek kazanımı uzmanları olarak tanıtarak, havacılık ve fintek sektörlerindeki yazılım mühendisleriyle iletişime geçmektedir.

Hedef alınan adaylara teknik bir değerlendirmeye katılmaları önerilmektedir. Saldırganlar, meşru Amazon bulut depolama hizmetinde barındırılan ve "kodlama görevi" olarak sunulan bir bağlantı göndermektedir. Hiyerarşik olarak:

• Adaylara 1 ila 3 saatlik katı bir zaman sınırı konmaktadır
• Yapay zeka destekli kod asistanlarının kullanılması yasaklanmaktadır (bu araçlar zararlı yazılımları tespit edebilir)
• Kurban, kodlama testini iş istasyonuna indirip çalıştırdığı anda bulaşma süreci başlamaktadır
• Geliştirici, sahte arayüz ve projeler üzerinde çalışmaya odaklanırken, zararlı yazılım arka planda sessizce sisteme kurulmaktadır

Mirage Kitten’ın Gelişen Araç Seti

Mirage Kitten, geçmiş saldırılarda C, C++ veya Go ile geliştirilen yerel programlara dayanmış ve yalnızca Windows ortamlarını hedef almıştır. Grup, araç setini Node.js ve JavaScript kullanarak yeniden geliştirerek Windows, macOS ve Linux sistemlerini tek bir kod tabanı üzerinden eş zamanlı olarak hedefleyebilir hale gelmiştir.

Bu platformlar arası yaklaşım, saldırganın hedef kitlesini önemli ölçüde genişletmiş ve yönetim karmaşıklığını azaltmıştır.

Yeni Zararlı Yazılım Aileleri: NodeRabbit ve PollCat

NodeRabbit RAT

Node.js tabanlı NodeRabbit Uzaktan Erişim Truva Atı, yaygın kullanılan yazılım geliştirme paketlerinin içine gizlenmektedir. Bu zararlı yazılım:

• Ele geçirilen sistem üzerinde kapsamlı kontrol sağlamaktadır
• Geliştiricilere yönelik ileri kalıcılık yöntemleri kullanmaktadır
• Microsoft Visual Studio Code ile uyumlu şekilde sahte çalışma alanı eklentileri yükleyebilmektedir
• Geliştirici yerel kod depolarını değiştirerek, proje kodu her kaydedildiğinde veya birleştirildiğinde otomatik olarak çalışmaktadır

PollCat RAT

JavaScript tabanlı PollCat Uzaktan Erişim Truva Atı, saldırı zincirinin ikinci bileşenidir. PollCat:

• Adayların "işe alım uzmanı" tarafından sağlanan "tek kullanımlık parola"yı girmesini beklemektedir
• Sistem bilgilerini toplayarak hedef ortamın profilini oluşturmaktadır
• Dizinleri tarayarak değerli veriler tespit etmektedir
• Elde edilen tüm verileri saldırganlara iletmektedir

Teknik Önem ve Tehdid Tanısı

Bu kampanya, geleneksel derlenmiş zararlı yazılımlardan JavaScript tabanlı, platform bağımsız çözümlere geçişin saldırganlar tarafından ne denli ciddi bir stratejik tercih olduğunu göstermektedir. Sistemler arası taşınabilirlik, yazılım geliştirme ortamlarına yerleşme kabiliyeti ve geliştirici iş akışlarıyla bütünleşme, Mirage Kitten’ın tehdit seviyesini ve çok yönlülüğünü önemli ölçüde artırmıştır.

Özellikle CI/CD pipeline’larına erişim ve kaynak kod havuzlarının değiştirilebilir olması, tedarik zinciri saldırılarının kapılarını açmakta ve etkilerin potansiyel olarak kurban kuruluşun müşterilerine kadar yayılmasını mümkün kılmaktadır.