NSFocus: MÜREN ve TÜBİTAK'a yönelik siber casusluk operasyonları keşfedildi
Geçtiğimiz günlerde ülkemizdeki başta Türk Deniz kuvvetleri olmak üzere bir çok devlet kuruluşunuda hedef alan yeni bir tehdit aktörü belirmişti. Siber güvenlik ve IT alanında Türkiye’de hizmet veren InfinitumIT tarafından da bununla ilgili de bir rapor yayınlanmıştı. Şirket tarafından yayınlanan raporda bu APT grubunun yeni keşfedildiği ve hakkında yeterli bilgi olmadığı belirtilmişti.
18 Ağustos’da ise Çin merkezli siber güvenlik şirketi NSFocus tarafından yine aynı konuyla ilgili yeni bir rapor yayınlandı ve daha önce InfinitumIT tarafından adı konulmayan APT grubu hakkında da bazı detaylar içeriyordu. NSFocus araştırmacılarına da göre Nisan 2021’de ortaya çıkan ve Actor210426 olarak belirtilen bu tehdit aktörünün ismi MurenShark olarak adlandırılmış.
MurenShark, ilk olarak hedef odaklı kimlik avı saldırılarıyla Nisan ayında ortaya çıkmış olup, Orta Doğu merkezli olduğu ve ana hedefinin de Türkiye olduğu belirtilen yeni bir tehdit aktörüdür. Yapılan analizler sonucunda ana hedeflerinin Türk ordusu, Kuzey Kıbrıs merkezli üniversiteler(şu an için bir tane) ve ulusal araştırmalar yapan diğer Türk kamu kurum ve kuruluşları yer alıyor.
Araştırmacılar, tehdit aktörlerine ilişkin Nisan ayından, Ağustos ayının ortalarına kadar siber casusluk faaliyetleri gözlemlemişler. Ağustos ayında gerçekleşen en son izleme faaliyetlerinde, yukarıdaki resimde görüleceği üzere başta milli denizaltı yönetim sistemi MÜREN ve TÜBİTAK’ın projelerinde çalışan personellere yönelik hedef odaklı kimlik avı saldırılarında kullanılan zararlı kod içeren ofis dosyalarına ulaşmışlar.
InfinitumIT raporunda tehdit aktörleri tarafından oluşturulan zararlı yazılımlarının komuta kontrol sunucularını, daha önce ele geçirdikleri Türk üniversitelerinin sunucularında barındırıldığından söz ediliyordu. NSFocus raporunda tehdit aktörlerinin, Kıbrıs’daki Yakın Doğu Üniversitesi’nin sunucularını bir yıldan fazla bir süre önce ihlal edip, bu süre boyuncada komuta kontrol sunucusu olarak kullandıkları tespit edilmiş. Nisan ayında başladıkları kimlik avı saldırılarından aylar önce üniversitenin sunucularını ihlal edip, kendi amaçları için kullamaya başlamışlar.
Araştırmacılar yaptıkları teknik analizlerde, MurenShark ile İran devlet destekli olduğu düşünülen MuddyWater arasında ilk aşamadaki saldırı şekli ve belirlenen hedefler noktasında bazı karakteristik benzerlikler keşfetmiş. Fakat saldırıların sonraki aşamları için herhangi bir benzerliği ulaşamamışlar.
