Cisco: Lazarus grubu Kanada, ABD ve Japonya'daki enerji şirketlerine saldırmak için Log4j açığından yararlanıyor

Cisco’nun yeni raporuna göre tehdit aktörleri, Aralık 2021’de keşfedilen Log4j güvenlik açığını kullanarak ABD, Kanada, Japonya ve dünyanın dört bir yanındaki enerji şirketlerini hedef alan saldırılar düzenliyorlar.

Cisco Talos’un güvenlik araştırmacıları, gerçekleştirdikleri analizler sonucunda bu saldırıların arkasında Kuzey Kore destekli Lazarus grubunun olduğuna inanılan bu saldırıların, bu yılın Şubat-Temmuz ayları arasında keşfetmişler.

Araştırmacılar, grubun ilk saldırı vektörü olarak, açıkta kalan VMware Horizon sunucularında Aralık 2021’de keşfedile Log4j güvenlik açığından yararlanmak olmuş. Başarılı bir atak ve ikinci olarakta da erişim elde edildikten sonra tehdit aktörleri, VSingle ve YamaBot adlı zaralı yazılım implantlarını devreye almışlar. Bu ikisine ek olarak, daha önce bilinmeyen “MagicRAT” adlı yeni bir zaralı yazılım implantı keşfedilmiş. Bunlarla birlikte yakın bir zamanda, VSingle ve YamaBot ile ilgili  Japon CERT tarafından bir rapor yayınlanmış ve o raporda da bunlar Lazarus grubuyla ilişkilendirilmiş.

Lazarus tarafında gerçekleştirilen bu saldırılar öncelikle ABD, Kanada ve Japonya’daki enerji şirketlerini hedeflemişler. Saldırılardaki temel motivasyonun, kurbanların ağlarına erişim gerçekleştirildikten sonra Kuzey Kore hükümetinin hedeflerini desteklemek amacıyla casusluk operasyonlarını yürütmek olduğu belirtiliyor.