ABD Adalet Bakanlığı ve Federal Soruşturma Bürosu, Çin merkezli Integrity Technology Group ile bağlantılı aktörlerin kullandığı ileri sürülen iki siber aracın çalıştırıldığı yedi internet alan adına el koydu. 8 Ekim’de açıklanan ve mahkeme kararıyla yürütülen operasyon, Microscan adlı güvenlik açığı tarama platformu ile FishHub adlı hedefli kimlik avı sistemini kapsıyor.
Pensilvanya Batı Bölgesi’nde açıklanan mahkeme belgelerine göre araçlar, ABD’deki ve diğer ülkelerdeki kritik altyapı sistemlerini ve çeşitli ağları taramak, bazı durumlarda bu ağlara erişmek için kullanıldı. Adalet Bakanlığı, operatörleri Integrity Technology Group ile ilişkili “Flax Typhoon” aktörleri olarak tanımladı; şirketin Çin hükümetiyle sözleşmeleri bulunduğunu ileri sürdü. Bunlar ABD makamlarının iddialarıdır. Reuters, Integrity Tech’in yorum talebine yanıt vermediğini; Çin’in Washington Büyükelçiliği’nin ise suçlamaları reddederek ülkesinin yasa dışı bilgisayar faaliyetlerine karşı olduğunu söylediğini aktardı.
El konulan araçlar ne için kullanılıyordu?
Adalet Bakanlığına göre Microscan, keşif ve güvenlik açığı tespiti amacıyla geliştirildi. Araç, ele geçirilmiş nesnelerin interneti cihazlarından oluşan bir botnet ve başka altyapılar üzerinden ağlardaki zayıflıkları aradı; bulunan açıkların daha sonra müşteriler tarafından kullanılmasına imkân sağladığı iddia edildi. Mahkeme belgelerinde Güney Carolina’daki bir elektrik şirketi, çok uluslu bir sivil toplum kuruluşu, Japonya ve Polonya’daki havalimanları, Tayvan’ın doğal gaz ve elektrik sektörlerindeki kritik altyapı şirketleri ile iki Tayvan üniversitesi hedefler arasında sayıldı.
FishHub’ın ise saldırının sonraki aşamasını desteklediği öne sürüldü. Hedefli kimlik avı saldırısıyla ilk erişim sağlandıktan sonra sistem, mağdur ağa ek kötü amaçlı yazılımlar indirebiliyordu. ABD makamları bu yazılımın kurban ağlara yetkisiz uzaktan erişim sağladığını veya belirli dosyaları arayıp Integrity Tech tarafından kontrol edilen sunuculara gönderdiğini belirtti. Adalet Bakanlığına göre yaklaşık 20 Tayvan üniversitesi FishHub faaliyetinin doğrulanmış mağdurları arasındaydı.
Çok uluslu ayrı bir siber güvenlik uyarısı, Integrity Tech ile bağlantılı aktörlere atfedilen daha geniş faaliyetleri de anlattı. Bunlar arasında güvenlik açığı taraması, Microsoft 365 ve Exchange hesaplarına yönelik parola saldırıları ve e-posta toplamaya dönük araçlar yer aldı. Bağımsız siber güvenlik yayını The Hacker News, uyarının Güneydoğu Asya, Afrika ve Kuzey Amerika’daki hedeflerle bağlantı kurduğunu bildirdi. Uyarıda ayrıca savunma ekiplerinin olası ihlalleri tespit etmesine yardımcı olacak teknik göstergeler paylaşıldı.
İki yıl içindeki ikinci kamuya açık operasyon
Son el koyma kararı, ABD makamlarının Eylül 2024’te Integrity Tech’e atfettiği bir botnete karşı yürüttüğü operasyondan sonra geldi. Reuters’a göre önceki botnet dünya genelinde ele geçirilmiş 250 binden fazla tüketici cihazından oluşuyordu. ABD yetkilileri o dönemde altyapının, yaygın olarak Flax Typhoon adıyla izlenen kümeyle ilişkili keşif ve istihbarat toplama faaliyetlerini desteklediğini söylemişti.
Yeni operasyon bir bakıma daha dar: Ceza mahkûmiyeti açıklamak yerine belirli alan adlarına ve araçlara erişimi kesiyor. Alan adına el konulması komuta sistemlerini aksatabilir, operatörlerin altyapıya ulaşmasını engelleyebilir ve soruşturmacılara teknik kanıt sağlayabilir. Ancak bu adım tek başına tüm atıf iddialarının mahkemede kesinleştiği anlamına gelmez. Açıklanan belgeler hem savunma amaçlı bir uyarı hem de altyapının çalışma biçimine ilişkin ABD hükümetinin anlatımı olarak değerlendirilmeli.
Kuruluşlar açısından pratik önem hedef profilinde yatıyor. Resmi ve bağımsız haberlere göre kritik altyapı, üniversiteler, kamu hizmetleri, sağlık, teknoloji sağlayıcıları ve dini kuruluşlar hedef alınan sektörler arasında. Savunma ekiplerine sızma göstergelerini inceleme, bilinen açıkları kapatma, olağan dışı oturum açma hareketlerini izleme ve internete açık hizmetlerle e-posta hesaplarının korumasını güçlendirme çağrısı yapılıyor.
Gelişme, Washington ile Pekin arasındaki siber faaliyet tartışmasının sürdüğünü de gösteriyor. ABD kurumları iddia edilen devlet destekli operasyonları ifşa etmek ve kesintiye uğratmak için alan adı el koymalarını, yaptırımları ve teknik uyarıları birlikte kullanıyor. Çin ise suçlamaları reddediyor. Operasyonla birlikte Integrity Tech hakkında yeni bir ceza mahkûmiyeti açıklanmadı; doğrulanmış güncel gelişme, Microscan ve FishHub’ı destekleyen yedi alan adının mahkeme kararıyla devre dışı bırakılmasıdır.
