Eylül 2022'nin başlarında, daha önce Lazarus grubuyla ilişkilendirilen MATA kümesiyle bağlantılı yeni kötü amaçlı yazılım örnekleri tespit edilmişti. Bir düzinenin üzerinde Doğu Avrupa şirketini hedef alan bu kampanya Ağustos 2022 ortasından Mayıs 2023'e kadar devam etti. Saldırganlar, CVE-2021-26411 istismarını kullanan spear-phishing e-postaları ve web tarayıcıları aracılığıyla Windows çalıştırılabilir kötü amaçlı yazılım indirmelerini kullanmıştı.MATA bulaşma zinciri, yükleyici, ana Truva atı ve kimlik hırsızlarını istismarlar, rootkitler ve hassas doğrulama süreçleriyle entegre eden karmaşık bir yapıya sahipti. Komuta ve Kontrol (C&C) sunucuları olarak kullanılan dahili IP adresleri, saldırganların kurbanların altyapısına kendi kontrol ve sızma sistemlerini yerleştirdiğini gösteren önemli bir keşfe karşılık geliyordu. Kaspersky, durumdan etkilenen kuruluşları derhal uyararak hızlı bir şekilde müdahale edilmesini sağladı.Bir fabrikadaki kimlik avı e-postasıyla başlatılan saldırı, ağa sızarak ana şirketin etki alanı denetleyicisini tehlikeye attı. Saldırganlar daha sonra güvenlik sistemlerine müdahale etmek için güvenlik açıklarından ve rootkitlerden faydalanarak iş istasyonları ve sunucular üzerinde kontrol sahibi oldular. Özellikle güvenlik çözümü panellerine erişerek, bilgi toplamak ve kötü amaçlı yazılımları yan kuruluşlara ve kurumsal etki alanı altyapısına bağlı olmayan sistemlere dağıtmak için güvenlik açıklarından ve zayıf yapılandırmalardan yararlandılar.Kaspersky ICS CERT Kıdemli Güvenlik Araştırmacısı Vyacheslav Kopeytsev, şunları söyledi: "Sanayi sektörünü hedefli saldırılardan korumak, sağlam siber güvenlik uygulamalarını proaktif bir zihniyetle birleştiren dikkatli bir yaklaşım gerektiriyor. Kaspersky'deki uzmanlarımız, yeni taktiklerini ve araçlarını tespit edebilmek için APT'nin gelişimini takip ediyor ve hareketlerini tahmin ediyor. Siber güvenlik araştırmalarına olan bağlılığımız, kurumlara sürekli gelişen siber tehditler hakkında kritik bilgiler sağlama taahhüdümüzden kaynaklanıyor. Konu hakkında bilgilendirilerek ve en son güvenlik önlemlerini uygulayarak, işletmeler bu gibi saldırganlara karşı savunmalarını güçlendirebilirler ve ağlarını ve sistemlerini koruyabilirler." Diğer kayda değer bulgular arasında şunlar yer alıyor:
- Üç yeni MATA Kötü Amaçlı Yazılım Nesli - 3, 4 ve 5: Bunlar gelişmiş uzaktan kontrol yetenekleri, modüler mimari ve esnek proxy sunucu zincirleri ile birlikte çeşitli protokoller için destek sundu.
- Linux MATA Generation 3: Linux versiyonu, Windows muadili ile yeteneklerini paylaştı ve güvenlik çözümleri aracılığıyla sunuldu.
- USB Yayılma Modülü: Dış dünyayla bağlantısı olmayan ağlara sızmayı kolaylaştıran bu modül, özellikle hassas bilgiler içeren sistemlerde çıkarılabilir medya aracılığıyla veri aktarımı yapıyordu.
- Veri Hırsızları: Bunlar, ekran görüntüleri ve depolanan kimlik bilgileri gibi hassas bilgileri belirli koşullara göre özelleştirerek ele geçirmek için kullanıldı.
- EDR/Güvenlik Bypass Araçları: Saldırganlar, ayrıcalıklarını artırmak ve uç nokta güvenlik ürünlerini atlamak için genel istismarlardan yararlandı. Ayrıca, CVE-2021-40449 güvenlik açığı yamasının yüklü olduğu sistemlerde BYOD (Kendi Savunmasız Sürücünü Getir) tekniğini kullandı.
- En son MATA sürümleri, 5-eyes APT grupları tarafından kullanılanlara benzer teknikleri kullandı. Bu nedenle atıf sürecinde bazı sorular ortaya çıktı.
- SOC ekibinizin en yeni tehdit istihbaratına (TI) erişimini sağlayın. Kaspersky Threat Intelligence, şirketin tehdit istihbaratına ortak erişim noktasıdır ve Kaspersky tarafından 20 yılı aşkın bir süredir toplanan siber saldırı verilerini ve içgörüleri sağlar.
- GReAT uzmanları tarafından geliştirilen Kaspersky çevrimiçi eğitimi ile siber güvenlik ekibinizi en son hedefli tehditlerle mücadele edecek şekilde geliştirin
- Etkili güvenlik açığı yönetimi sürecine temel olarak sürekli güvenlik açığı değerlendirmesi ve triyajının oluşturulmasında Kaspersky Industrial CyberSecurity gibi özel çözümler, etkili bir yardımcı olarak kamuya açık olmayan benzersiz eyleme geçirilebilir bilgi kaynağı haline gelebilir.
- Uç nokta düzeyinde tespit, araştırma ve olayların zamanında düzeltilmesi için Kaspersky Endpoint Detection and Response gibi EDR çözümlerini kullanın.
- Temel uç nokta korumasını benimsemenin yanı sıra, Kaspersky Anti Targeted Attack Platform gibi gelişmiş tehditleri ağ düzeyinde erken aşamada tespit eden kurumsal nitelikte bir güvenlik çözümü uygulayın
- Birçok hedefli saldırı kimlik avı veya diğer sosyal mühendislik teknikleriyle başladığından, ekibinize güvenlik farkındalığı eğitimi verin ve pratik becerilerini geliştirin. Örneğin, Kaspersky Otomatik Güvenlik Farkındalığı Platformu aracılığıyla bunu yapabilirsiniz.
- Ekibinizin, araçlarınızın ve süreçlerinizin tesisinizin atölye katında sofistike bir olay müdahalesine hazır olduğundan emin olmak için Kaspersky ICS CERT tarafından ICS'de Dijital Adli Tıp ve Olay Müdahalesi gibi özel eğitimler almanızı öneririz.
