"SolarWinds" saldırısının "Kazuar arka kapısı"yla ilgili olduğunu tespit edildi

Kaspersky açıklamasına göre, 13 Aralık 2020'de FireEye, Microsoft ve SolarWinds, SolarWinds'in Orion BT müşterilerine karşı kullanılan, önceden bilinmeyen yeni bir kötü amaçlı yazılım olan "Sunburst" isimli büyük ve karmaşık bir tedarik zinciri saldırısını keşfettiğini duyurdu. Kaspersky uzmanları, Sunburst ile kurbanın makinesine uzaktan erişim sağlayan kötü amaçlı yazılım türü olan Kazuar arka kapılarının bilinen sürümleri arasında özel kod benzerlikleri buldu. Yeni bulgular, araştırmacıların saldırının kaynağını ortaya çıkarmasına yardımcı olabilecek yeni ipuçları sağlıyor. Kodlardaki benzerlikler, Kazuar ve Sunburst arasında bir bağlantı olduğunu düşündürüyor.

YÜZDE 100 ÖZDEŞ DEĞİL

Sunburst ve Kazuar arasındaki örtüşen özellikler, kurbana yönelik UID oluşturma algoritmasını, uyku algoritmasını ve FNV-1a hash değerinin kapsamlı kullanımını içeriyor. Uzmanlara göre, bu kod parçaları yüzde 100 özdeş değil. Bu da Kazuar ve Sunburst'un ilişkili olabileceğini düşündürse de ikisi arasındaki ilişkinin doğası hala tam olarak netleşmiş değil.

Sunburst kötü amaçlı yazılımı ilk kez devreye alındıktan sonra Şubat 2020'de Kazuar gelişmeye devam etti. Kazuar'ın 2020 varyantları, bazı açılardan Sunburst'a daha da benziyor.

PEK ÇOK İHTİMAL VAR

Genel olarak Kazuar'ın evrimleştiği dönemde uzmanlar, Sunburst'a benzer önemli özelliklerin eklendiği sürekli bir geliştiğini gözlemledi. Kazuar ve Sunburst arasındaki bu benzerlikler dikkate değer olmakla birlikte bunun sebebine dair pek çok ihtimal bulunuyor. Bunlar arasında Sunburst ve Kazuar'ın aynı grup tarafından geliştirilmesi, Sunburst geliştiricilerinin Kazuar'dan ilham alması, Kazuar geliştiricilerinden bir kısmının Sunburst ekibine geçmesi veya Sunburst ve Kazuar'ın aynı kötü amaçlı kaynaktan beslenmesi sayılabilir.

Açıklamada görüşlerine yer verilen Kaspersky Küresel Araştırma ve Analiz Ekibi Direktörü Costin Raiu, "Belirlenen bağlantı SolarWinds saldırısının arkasında kimin olduğunu açığa çıkarmıyor, ancak araştırmacıların ilerlemesine yardımcı olabilecek daha fazla bilgi sağlıyor. Dünyadaki diğer araştırmacıların bu benzerlikleri araştırmasının, Kazuar ve SolarWinds ihlalinde kullanılan Sunburst'un kökeni hakkında daha fazla bilgi edinme noktasında önemli olduğuna inanıyoruz. Geçmiş deneyimlerden yola çıkarak WannaCry saldırısına dönüp baktığımızda, saldırının ilk günlerinde onları Lazarus grubuna bağlayan çok az ipucu vardı. Zamanla daha fazla kanıt ortaya çıktı ve bizim ve diğerlerinin bu ikisini birbirine bağlamamıza izin verdi. Bu konu hakkında daha fazla araştırma yapılması, eksik halkaları birleştirmek adına çok önemli." ifadelerini kullandı.

(AA)