Web3 tarihinin en büyük soygununun başlatıcısı olan Lazarus Group'un hikayesi
Orijinal kaynak: Wikipedia
Orijinal çeviri: Yobo, Foresight News
Aşağıdaki içerik "Lazarus Group" adlı Wikipedia maddesinden çevrilmiştir:
Lazarus Group (aynı zamanda "Guardians" veya "Peace veya Whois Team" olarak da bilinir), Kuzey Kore hükümeti tarafından kontrol edildiği iddia edilen, sayısı bilinmeyen kişilerden oluşan bir hacker grubudur. Grup hakkında çok az şey bilinmesine rağmen araştırmacılar, 2010'dan bu yana gerçekleştirilen çok sayıda siber saldırının bu gruba ait olduğunu ileri sürüyor.
Aslen bir suç çetesi olan grup, saldırı amacı, oluşturduğu tehditler ve operasyonlarında kullandığı çeşitli yöntemler nedeniyle artık gelişmiş bir sürekli tehdit grubu olarak tanımlanıyor. Siber güvenlik kurumları onlara "Gizli Kobra" (ABD İç Güvenlik Bakanlığı'nın Kuzey Kore hükümeti tarafından başlatılan kötü niyetli siber faaliyetleri tanımlamak için kullandığı isim) ve "ÇİNKO" veya "Elmas Karla Kar" (Microsoft'un terimi) gibi takma adlar taktı. Ülkeden kaçan Kim Kuk-song'a göre, grup Kuzey Kore'de "414 İrtibat Bürosu" olarak biliniyor.
Lazarus Grubu'nun Kuzey Kore ile yakın bağları var. ABD Adalet Bakanlığı, grubun Kuzey Kore hükümetinin "küresel siber güvenliği baltalamak ve yaptırımları ihlal ederek yasadışı gelir elde etmek" stratejisinin bir parçası olduğunu iddia ediyor. Kuzey Kore'nin siber operasyonlar yürütmekten elde edeceği birçok fayda var ve "küresel" asimetrik bir tehdit (özellikle Güney Kore'ye karşı) oluşturmak için yalnızca çok küçük bir ekip bulundurması yeterli.
Gelişim Geçmişi
Örgütün başlattığı bilinen en eski saldırı, 2009-2012 yılları arasında gerçekleşen "Truva Harekatı"dır. Bu, Seul'deki Güney Kore hükümetini hedef almak için basit dağıtılmış hizmet engelleme (DDoS) teknikleri kullanan bir siber casusluk kampanyasıydı. 2011 ve 2013 yıllarında da saldırılar düzenlediler. Kesin olarak doğrulanamasa da 2007 yılında Güney Kore'ye düzenlenen saldırının onlar tarafından gerçekleştirilmiş olması muhtemel. Grubun dikkat çeken saldırılarından biri 2014 yılında Sony Pictures'ı hedef almasıydı. Bu saldırıda daha sofistike teknikler kullanılmış ve grubun zamanla daha olgunlaştığı ortaya konmuştur.
2015 yılında Lazarus Grubunun Ekvador'daki Banco Ostello'dan 12 milyon dolar ve Vietnam'daki Pioneer Bank'tan da 1 milyon dolar çaldığı bildirildi. Polonya ve Meksika'daki bankaları da hedef aldılar. 2016 yılında bir banka soygunu gerçekleştirerek 81 milyon dolar çalmayı başarmışlardı; bunun da bu grubun işi olduğu düşünülüyor. Lazarus Grubunun 2017 yılında Tayvan'ın Uzak Doğu Uluslararası Ticaret Bankası'ndan 60 milyon dolar çaldığı bildirilmişti ancak çalınan paranın gerçek miktarı henüz bilinmiyor ve paranın büyük kısmı kurtarıldı.
Grubun arkasında kimin olduğu henüz tam olarak bilinmiyor ancak medya raporları grubun Kuzey Kore ile yakın bağları olduğunu gösteriyor. Kaspersky Lab, 2017 yılında Lazarus Grubu'nun casusluk ve sızma amaçlı siber saldırılara odaklandığını, Kaspersky'nin "Bluenoroff" adını verdiği alt organizasyonun ise finansal siber saldırılarda uzmanlaştığını bildirmişti. Kaspersky, dünyanın dört bir yanında gerçekleşen çok sayıda saldırıyı tespit etti ve Bluenoroff ile ülke arasında doğrudan bir IP adresi bağlantısı buldu.
Ancak Kaspersky, kodun yeniden kullanılmasının araştırmacıları yanıltmayı ve Kuzey Kore'nin suçu üstlenmesini amaçlayan bir "sahte bayrak operasyonu" olabileceğini de kabul etti. Sonuçta, küresel "WannaCry" solucan siber saldırısı ABD Ulusal Güvenlik Ajansı'nın teknolojisini kopyaladı. Fidye yazılımı, Nisan 2017'de Shadow Brokers adlı bir hacker grubu tarafından kamuoyuna duyurulan NSA'nın EternalBlue açığını istismar ediyor. Symantec, 2017 yılında "WannaCry" saldırısının büyük ihtimalle Lazarus Group tarafından gerçekleştirildiğini bildirmişti.
Operasyon Troy 2009
Lazarus Grubu'nun ilk büyük bilgisayar korsanlığı olayı, 4 Temmuz 2009'da gerçekleşti ve bu, Operasyon Troy'un başlangıcını işaret ediyordu. Saldırıda, ABD ve Güney Kore'deki internet sitelerine büyük ölçekli ancak basit bir DDoS saldırısı başlatmak için "MyDoomsday" ve "Bulldozer" adlı kötü amaçlı yazılımlar kullanıldı. Saldırıda yaklaşık 36 internet sitesi hedef alındı ve ana önyükleme kaydına (MBR) "Bağımsızlık Günü anması" metni eklendi.
2013 Güney Kore Siber Saldırıları (Operasyon 1/Karanlık Seul)
Zamanla grubun saldırıları daha karmaşık hale geldi; teknikleri ve araçları daha olgun ve etkili hale geldi. Güney Kore'nin medya, finans ve kritik altyapısını hedef alan Mart 2011'deki "On Günlük Yağmur" saldırıları, Güney Kore içindeki tehlikeye atılmış bilgisayarlardan kaynaklanan daha karmaşık DDoS saldırıları içeriyordu. 20 Mart 2013'te Güney Kore'de üç yayıncıyı, finans kuruluşunu ve bir internet servis sağlayıcısını hedef alan bir veri silme saldırısı olan Karanlık Seul Operasyonu başlatıldı. O dönemde kendilerine Yeni Roma Siber Lejyonu ve WhoIs Ekibi adını veren iki grup daha saldırının sorumluluğunu üstlenmişti ancak araştırmacılar saldırının arkasında Lazarus Grubu'nun olduğunu bilmiyordu. Bugün araştırmacılar, bu yıkıcı saldırıların arkasında Lazarus Grubu'nun olduğunu biliyorlar.
2014'ün sonu: Sony Pictures hacklendi
24 Kasım 2014'te Lazarus Grubu'nun saldırıları doruk noktasına ulaştı. Aynı gün Reddit'te Sony Pictures'ın bilinmeyen yollarla hacklendiği ve saldırganların kendilerine "Barışın Muhafızları" adını verdiği bir paylaşım yer aldı. Saldırıdan sonraki günlerde büyük miktarda veri çalındı ve yavaş yavaş sızdırıldı. Kendisinin grup üyesi olduğunu iddia eden bir kişi, verdiği röportajda, bir yıldan uzun süredir Sony'nin verilerini çaldıklarını söyledi.
Bilgisayar korsanları, yayınlanmamış filmlere, bazı film senaryolarına, gelecekteki film planlarına, şirket yöneticilerinin maaş bilgilerine, e-postalara ve yaklaşık 4.000 çalışanın kişisel bilgilerine erişebildi.
2016 yılı başındaki soruşturma: “Operasyon Blockbuster”
Novetta liderliğindeki bir güvenlik şirketleri koalisyonu, “Operasyon Blockbuster” kod adıyla, farklı siber güvenlik olaylarında bulunan kötü amaçlı yazılım örneklerini analiz etti. Ekip, bu verileri kullanarak bilgisayar korsanlarının çalışma yöntemlerini analiz etti. Kod tekrar kullanım kalıpları aracılığıyla Lazarus Grubu'nu birden fazla saldırıyla ilişkilendirdiler. Örneğin internette pek bilinmeyen bir şifreleme algoritması olan "Karacas" şifresini kullandılar.
2016'da bir banka siber hırsızlığı vakası
Şubat 2016'da bir banka hırsızlığı vakası meydana geldi. Güvenlik korsanları, New York Federal Rezerv Bankası'ndaki bir merkez bankasının hesabından yaklaşık 1 milyar doları yasadışı olarak transfer etmek amacıyla Dünya Bankalararası Finansal Telekomünikasyon Derneği (SWIFT) ağı üzerinden 35 sahte talimat gönderdi. 35 sahte talimatın beşinde toplam 101 milyon dolar transfer edildi; bunların 20 milyon doları Sri Lanka'ya, 81 milyon doları ise Filipinler'e gitti. New York Merkez Bankası, yanlış yazılmış bir talimattan şüphelenerek 850 milyon dolar değerindeki kalan 30 işlemi bloke etti. Siber güvenlik uzmanları, saldırının arkasında ülke merkezli Lazarus Group'un olduğunu söyledi.
Mayıs 2017'deki "WannaCry" Fidye Yazılımı Saldırısı
"WannaCry" saldırısı, 12 Mayıs 2017'de gerçekleşen, İngiltere'nin Ulusal Sağlık Hizmeti'nden (NHS) Boeing'e ve hatta Çin'deki bazı üniversitelere kadar dünyanın dört bir yanındaki çok sayıda kurumu etkileyen büyük ölçekli bir fidye yazılımı siber saldırısıydı. Saldırı 7 saat 19 dakika sürdü. Europol, saldırının 150 ülkede yaklaşık 200 bin bilgisayarı etkilediğini, etkilenen bölgelerin başında Rusya, Hindistan, Ukrayna ve Tayvan'ın geldiğini tahmin ediyor. Bu, ilk kripto-solucan saldırılarından biriydi. Kripto solucanlar, bir ağ üzerinden bilgisayardan bilgisayara yayılan ve kullanıcının doğrudan bir eylemi olmadan (bu durumda TCP 445 portunu kullanarak) bilgisayarları enfekte eden bir tür kötü amaçlı yazılımdır. Virüsü bir bilgisayara bulaştırmak için kötü amaçlı bir bağlantıya tıklamaya gerek yoktur; kötü amaçlı yazılım otomatik olarak bir bilgisayardan bağlı bir yazıcıya, kablosuz bir ağa bağlı diğer yakındaki bilgisayarlara vb. yayılabilir. 445 numaralı porttaki güvenlik açığı, kötü amaçlı yazılımın dahili ağ içerisinde serbestçe yayılmasına ve kısa sürede binlerce bilgisayarı etkilemesine olanak sağladı. WannaCry saldırısı, kripto solucanının büyük ölçekte kullanıldığı ilk saldırılardan biriydi.
Saldırı yöntemi: Virüs, Windows işletim sistemindeki bir güvenlik açığından yararlanıyor ve ardından bilgisayar verilerini şifreliyor ve şifre çözme anahtarı için yaklaşık 300 dolar değerinde Bitcoin ödemesi talep ediyor. Mağdurları ödeme yapmaya teşvik etmek için fidye üç gün sonra iki katına çıkarılıyor ve bir hafta içinde ödenmezse kötü amaçlı yazılım şifrelenmiş veri dosyalarını siliyor. Kötü amaçlı yazılım, dosyaları şifrelemek için Microsoft tarafından geliştirilen "Windows Crypto" adlı meşru bir yazılımı kullanıyordu. Şifreleme tamamlandıktan sonra dosya ismine "WannaCry" isminin kökeni olan "Wincry" eki eklenecektir. Şifrelemenin temeli Wincry'di ancak kötü amaçlı yazılım aynı zamanda EternalBlue ve DoublePulsar adlı iki güvenlik açığını da istismar ederek onu bir kripto solucanı haline getiriyordu. "EternalBlue" virüsü internet üzerinden otomatik olarak yayabiliyorken, "Double Pulsar" virüsün kurbanın bilgisayarında etkinleşmesini tetikliyor. Başka bir deyişle, EternalBlue virüslü bağlantıyı bilgisayarınıza iletti ve Double Pulsar sizin için tıkladı.
Güvenlik araştırmacısı Marcus Hutchins, bir güvenlik araştırma şirketinde çalışan bir arkadaşından virüs örneğini aldıktan sonra, virüste saldırıyı sonlandıran sabit kodlu bir "öldürme anahtarı" keşfetti. Kötü amaçlı yazılım, belirli bir etki alanının daha önce kayıtlı olup olmadığını periyodik olarak kontrol eder ve yalnızca etki alanı mevcut değilse şifreleme işlemine devam eder. Hutchins çeki keşfetti ve ardından söz konusu alan adını UTC saatiyle 15:03'te tescil ettirdi. Kötü amaçlı yazılımın yayılması ve yeni cihazlara bulaşması hemen durduruldu. Bu durum oldukça ilginç olduğu gibi, virüsün yaratıcısının bulunmasına yönelik de ipuçları veriyor. Normalde kötü amaçlı yazılımları engellemek, bilgisayar korsanları ile güvenlik uzmanları arasında aylarca süren ileri geri mücadeleleri gerektirir, bu nedenle bu kadar kolay bir zafer beklenmedik bir durumdu. Bu saldırının bir diğer sıra dışı yanı ise fidye ödendikten sonra bile dosyaların kurtarılamaması: Saldırganlar sadece 160 bin dolar fidye alabildiler ve bu da birçok kişinin amaçlarının finansal olmadığını düşünmesine yol açtı.
“Kill switch”in kolayca kırılabilmesi ve ödenen fidye miktarları, birçok kişiyi saldırının devlet tarafından desteklendiğine inandırdı; saldırının amacı maddi tazminat değil, kaos yaratmaktı. Saldırının ardından güvenlik uzmanları, Double Pulsar'daki güvenlik açığını ABD Ulusal Güvenlik Ajansı'na kadar takip etti ve bunun aslında bir siber silah olarak geliştirildiğini tespit etti. Daha sonra, "Shadow Brokers" hacker grubu bu açığı çaldı ve önce açık artırmaya çıkarmaya çalıştı, ancak başarısız oldu. Sonunda, bunu ücretsiz olarak herkese açık hale getirdiler. NSA daha sonra Microsoft'u güvenlik açığı konusunda bilgilendirdi ve Microsoft, saldırıdan bir aydan kısa bir süre sonra, 14 Mart 2017'de bir güncelleme yayınladı. Ancak bu yeterli değildi. Güncelleme zorunlu olmadığından, 12 Mayıs'a kadar, güvenlik açığına sahip çoğu bilgisayar hala yamalanmamıştı ve bu da saldırının inanılmaz bir hasara yol açmasına neden oldu.
Sonraki etki: ABD Adalet Bakanlığı ve İngiliz yetkililer daha sonra "WannaCry" saldırısının Kuzey Koreli hacker grubu Lazarus Group tarafından gerçekleştirildiğini tespit etti.
2017'de kripto para saldırıları
2018'de Recorded Future, Lazarus Group'u, öncelikle Güney Koreli kullanıcıları hedef alan Bitcoin ve Monero kripto para kullanıcılarına yönelik saldırılarla ilişkilendiren bir rapor yayınladı. Saldırıların teknik olarak WannaCry fidye yazılımı kullanılarak daha önce gerçekleştirilen saldırılara ve Sony Pictures'a yapılan saldırıya benzediği bildirildi. Lazarus Grubu hackerlarının kullandığı taktiklerden biri de Hancom tarafından geliştirilen Korece kelime işlem yazılımı Hangul'daki bir güvenlik açığını istismar etmekti. Bir diğer taktik ise Güney Koreli öğrencileri ve Coinlink gibi kripto para borsalarının kullanıcılarını hedef alan kötü amaçlı yazılım içeren hedefli kimlik avı tuzakları göndermek.
Kullanıcılar kötü amaçlı yazılımı açarsa e-posta adresleri ve parolaları çalınabilir. Coinlink, web sitesinin veya kullanıcılarının e-posta adreslerinin ve şifrelerinin hacklendiği iddialarını reddetti. Raporda şu sonuca varıldı: "2017 sonlarında gerçekleşen bu saldırı dizisi, ülkenin kripto paralara olan ilgisinin sürdüğünü gösteriyor. Artık bunun madencilik, fidye yazılımı saldırıları ve açık hırsızlık gibi çok çeşitli faaliyetleri içerdiğini biliyoruz..." Raporda ayrıca ülkenin bu kripto para saldırılarını uluslararası mali yaptırımları aşmak için kullandığı belirtildi.
Şubat 2017'de belirli bir ülkedeki bilgisayar korsanları, Güney Koreli kripto para ticaret platformu Bithumb'dan 7 milyon dolar çaldı. Bir diğer Güney Koreli bitcoin borsası Youbit, 2017 yılının nisan ayında saldırıya uğramış ve aynı yılın aralık ayında varlıklarının %17'si çalındıktan sonra iflas başvurusunda bulunmak zorunda kalmıştı. Saldırıların arkasında Lazarus Grubu ve Çinli hackerların olduğu iddia ediliyor. Aralık 2017'de kripto para bulut madenciliği pazar yeri Nicehash 4.500'den fazla Bitcoin kaybetti. Yapılan soruşturmada saldırının Lazarus Grubu ile bağlantılı olduğu ortaya çıktı.
Eylül 2019 Saldırıları
Eylül 2019'un ortalarında, Amerika Birleşik Devletleri "ElectricFish" adlı yeni bir kötü amaçlı yazılımın keşfiyle ilgili bir kamuoyu uyarısı yayınladı. 2019 yılı başından bu yana bir ülkenin ajanları dünya genelinde beş büyük siber hırsızlık gerçekleştirdi, bunlardan biri de Kuveyt'teki bir kuruluştan 49 milyon dolarlık başarılı hırsızlıktı.
2020'nin sonlarında ilaç şirketlerine yönelik saldırılar
COVID-19 salgını yayılmaya devam ederken, ilaç şirketleri Lazarus Group'un önemli bir hedefi haline geldi. Lazarus Grubu üyeleri, sağlık görevlileri gibi davranarak, ilaç şirketlerinin çalışanlarına kötü amaçlı bağlantılar göndermek için hedefli kimlik avı teknikleri kullandı. Birkaç büyük ilaç şirketinin hedef alındığı düşünülüyor ancak şu ana kadar doğrulanan tek şirket İngiliz-İsveç şirketi AstraZeneca. Reuters'a göre hedef alınan çok sayıda çalışanın birçoğu yeni koronavirüs aşısının geliştirilmesinde yer alıyordu. Lazarus Grubunun bu saldırıları başlatmasındaki amacın ne olduğu belirsiz ancak bunların, kâr amacıyla hassas bilgileri çalmak, gasp planları yapmak ve yabancı rejimlerin koronavirüsle ilgili tescilli araştırmalara erişmesini sağlamak olabileceği düşünülüyor. AstraZeneca olayla ilgili henüz bir açıklama yapmazken, uzmanlar hassas bir verinin sızdırılmadığına inanıyor.
Ocak 2021'de siber güvenlik araştırmacılarına yönelik saldırılar
Ocak 2021'de hem Google hem de Microsoft, belirli bir ülkeden bir grup hacker'ın sosyal mühendislik yoluyla siber güvenlik araştırmacılarına saldırı başlattığını kamuoyuna duyurdu. Microsoft, saldırının Lazarus Group tarafından gerçekleştirildiğini açıkça belirtti.
Bilgisayar korsanları, Twitter, GitHub ve LinkedIn gibi platformlarda birden fazla kullanıcı profili oluşturarak kendilerini meşru yazılım güvenlik açığı araştırmacıları olarak tanıttılar ve güvenlik araştırma topluluğundaki diğer kişiler tarafından gönderilen gönderiler ve içeriklerle etkileşime girdiler. Daha sonra, araştırmaya katkıda bulunuyormuş gibi davranarak doğrudan belirli güvenlik araştırmacılarıyla iletişime geçiyorlar ve kurbanları kötü amaçlı yazılım içeren dosyaları indirmeye veya bilgisayar korsanlarının kontrolündeki web sitelerindeki blog yazılarını ziyaret etmeye kandırıyorlar.
Blog yazısını ziyaret eden bazı mağdurlar, tam yama uygulanmış Google Chrome tarayıcılarını kullanmalarına rağmen bilgisayarlarının tehlikeye atıldığını söyledi; bu da bilgisayar korsanlarının daha önce bilinmeyen bir Chrome sıfır günlük güvenlik açığından yararlanmış olabileceklerini düşündürüyor; ancak Google, raporun yazıldığı sırada, belirli bir tehlikeye atma yöntemini belirleyemediğini belirtti.
Mart 2022'de blockchain oyununa Axie Infinity saldırısı
Mart 2022'de Lazarus Group, Axie Infinity oyunu tarafından kullanılan Ronin ağından 620 milyon dolar değerinde kripto para çalmakla suçlandı. FBI şunları söyledi: "Soruşturmamız sonucunda, Lazarus Group ve APT38'in (Kuzey Kore ile ilişkili siber aktörler) hırsızlığın arkasında olduğunu belirledik."
Haziran 2022 Horizon Bridge Saldırısı
FBI, 24 Haziran 2022'de bildirildiğine göre, Harmony'nin Horizon Bridge'inden çalınan 100 milyon dolarlık sanal para biriminin arkasında Kuzey Koreli kötü niyetli siber aktör grubu Lazarus Group'un (APT38 olarak da bilinir) olduğunu doğruladı.
2023'te diğer ilgili kripto para saldırıları
Blockchain güvenlik platformu Immunefi tarafından yayınlanan bir raporda, Lazarus Group'un 2023'teki kripto para korsanlığı olaylarının 300 milyon ABD dolarından fazla kayba yol açtığı ve bu rakamın o yılki toplam kayıpların %17,6'sını oluşturduğu belirtildi.
Haziran 2023'te Atomic Wallet saldırısı: Haziran 2023'te Atomic Wallet hizmetini kullananların 100 milyon dolardan fazla değerinde kripto para birimi çalındı; olay daha sonra FBI tarafından doğrulandı.
Eylül 2023 Stake.com saldırısı: Eylül 2023'te FBI, çevrimiçi kumarhane ve kumar platformu Stake.com'dan 41 milyon dolar değerinde kripto para biriminin çalındığını ve failin Lazarus Group olduğunu doğruladı.
ABD Yaptırımları
14 Nisan 2022'de, ABD Hazine Bakanlığı'nın Yabancı Varlıkları Kontrol Ofisi (OFAC), belirli bir ülkenin yaptırım düzenlemelerinin 510.214. Bölümü uyarınca Lazarus Group'u Özel Olarak Belirlenmiş Vatandaşlar Listesi'ne (SDN Listesi) ekledi.
2024'te kripto para saldırıları
Hindistan medyasında yer alan haberlere göre, WazirX adlı yerel bir kripto para borsası, örgüt tarafından saldırıya uğradı ve 234,9 milyon ABD doları değerinde kripto varlık çalındı.
Personel eğitimi
Söylentilere göre, bazı Kuzey Koreli bilgisayar korsanları, bilgisayarlara, bilgisayar ağlarına ve sunuculara çeşitli kötü amaçlı yazılım türlerini nasıl yerleştireceklerini öğrenmek için profesyonel eğitim almak üzere Çin'in Shenyang kentine gönderilecek. Kuzey Kore'de, Kim Chaek Teknoloji Üniversitesi, Kim Il Sung Üniversitesi ve Mangyongdae Üniversitesi ilgili eğitim görevlerinden sorumludur. Bu üniversiteler ülke genelindeki en iyi öğrencileri seçer ve onlara altı yıllık özel eğitim verir. Üniversite eğitiminin yanı sıra, "en iyi programcıların bir kısmı... daha ileri çalışmalar için Mangyongdae Üniversitesi'ne veya Mirim Koleji'ne gönderiliyor."
Kuruluşun Şubeleri
Lazarus Grubunun iki şubesi olduğuna inanılıyor.
·BlueNorOff
BlueNorOff (APT38, “Starry Sky”, “BeagleBoyz”, “NICKEL GLADSTONE” olarak da bilinir), Dünya Bankalararası Finansal Telekomünikasyon Derneği (SWIFT) talimatlarını taklit ederek yasadışı fon transferleri gerçekleştiren finansal amaçlı bir gruptur. Mandiant buna APT38 adını verirken, Crowdstrike ise buna "Star Maxima" adını veriyor.
ABD Ordusu'nun 2020 raporuna göre, BlueNorOff'un düşman ağlarının ve sistemlerinin uzun vadeli değerlendirilmesi ve istismarına odaklanan, ülke rejimine ekonomik fayda sağlamak veya ilgili sistemleri kontrol etmek amacıyla finansal siber suç faaliyetlerinde bulunan yaklaşık 1.700 üyesi bulunmaktadır. 2014-2021 yılları arasında hedefleri arasında Bangladeş, Şili, Hindistan, Meksika, Pakistan, Filipinler, Güney Kore, Tayvan, Türkiye ve Vietnam olmak üzere en az 13 ülkede bulunan 16 kurum yer alıyordu. Yasadışı gelirin ülkenin füze ve nükleer teknoloji geliştirme faaliyetlerini finanse etmek için kullanıldığı düşünülüyor.
BlueNorOff'un en kötü şöhretli saldırısı, 2016 yılında SWIFT ağı üzerinden bir ülkenin merkez bankasının New York Federal Rezerv Bankası'ndaki hesabından yaklaşık 1 milyar doları yasadışı olarak transfer etmeye çalıştıkları banka soygunuydu. İşlemlerin bir kısmı başarıyla tamamlandıktan sonra (20 milyon dolar Sri Lanka'ya, 81 milyon dolar Filipinler'e gitti), New York Federal Rezerv Bankası bir talimattaki yazım yanlışı nedeniyle şüphelendi ve geri kalanını engelledi.
BlueNorOff ile ilgili kötü amaçlı yazılımlar şunlardır: "DarkComet", "Mimikatz", "Nestegg", "Macktruck", "WannaCry", "Whiteout", "Quickcafe", "Rawhide", "Smoothride", "TightVNC", "Sorrybrute", "Keylime", "Snapshot", "Mapmaker", "net.exe", "sysmon", "Bootwreck", "Cleantoad", "Closeshave", "Dyepack", "Hermes", "Twopence", "Electricfish", "Powerratankba" ve "Powerspritz".
BlueNorOff'un yaygın yöntemleri arasında şunlar yer alır: kimlik avı, arka kapılar kurma, güvenlik açıklarından yararlanma, sulama deliği saldırıları, sistemde kod çalıştırmak için güncel olmayan ve güvenli olmayan Apache Struts 2 sürümlerini kullanma, web sitelerine stratejik olarak girme ve Linux sunucularına erişme. Bazen suçlu bilgisayar korsanlarıyla birlikte çalıştıkları yönünde haberler var.
· AndAriel
Andarial olarak da yazılan, Sessiz Chollima, Karanlık Seul, Tüfek ve Wassonite olarak da bilinen AndAriel, mantıksal olarak Güney Kore'yi hedef almasıyla karakterize edilir. Andril'in "Sessiz Maxima" lakabı grubun gizli yapısından kaynaklanmaktadır.[70] Andril, Güney Kore'deki hükümet daireleri, savunma ajansları ve çeşitli ekonomik dönüm noktaları da dahil olmak üzere herhangi bir kuruma saldırabilir.
2020 ABD Ordusu raporuna göre Andril'in, keşif yapmak, ağdaki güvenlik açıklarını değerlendirmek ve düşman ağlarını potansiyel saldırılara karşı haritalamakla görevli yaklaşık 1.600 üyesi bulunuyor. Güney Kore'nin yanı sıra diğer ülkelerdeki hükümetleri, altyapıları ve işletmeleri de hedef aldılar. Saldırı yöntemleri arasında; ActiveX kontrollerinin istismarı, Kore yazılım açıkları, watering hole saldırıları, mızraklı kimlik avı (makro virüs yöntemi), BT yönetim ürünlerine (antivirüs yazılımları, proje yönetim yazılımları gibi) yönelik saldırılar ve tedarik zinciri (yükleyiciler ve güncelleyiciler) aracılığıyla yapılan saldırılar yer almaktadır. Kullanılan kötü amaçlı yazılımlar arasında şunlar yer alıyor: Aryan, Gh0st RAT, Rifdoor, Phandoor ve Andarat.
İlgili kişilerin kovuşturulması
Şubat 2021'de ABD Adalet Bakanlığı, Kuzey Kore askeri istihbarat teşkilatının Keşif Genel Bürosu'nun üç üyesini - Park Jin Hyok, Jon Chang Hyok ve Kim Il Park - Lazarus Grubu (Lazarus) tarafından gerçekleştirilen çok sayıda bilgisayar korsanlığı faaliyetine karıştıkları gerekçesiyle suçladı. Park Jin-hyuk hakkında 2018 yılının Eylül ayında dava açılmıştı. Şüphelilerden hiçbiri şu anda ABD'de gözaltında değil. Ayrıca, bir Kanadalı ve iki Çin vatandaşı da Lazarus Grubu adına para transferi ve kara para aklama faaliyetinde bulunmakla suçlandı.
BlockBeats Resmi Topluluğuna Katılın:
Telegram Abonelik Grubu: https://t.me/theblockbeats
Telegram Sohbet Grubu: https://t.me/BlockBeats_App
Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia
