Symantec'in tehdit avcısı ekibine göre, geçen ayki 3CX ihlaline yol açan X_trader yazılım tedarik zinciri saldırısı, ABD ve Avrupa'daki en az birkaç kritik altyapı organizasyonunu da etkiledi.
Ticaret teknolojileri ve 3CX saldırılarına bağlı Kuzey Kore destekli tehdit grubu, kurbanların sistemlerine DepiledSignal Çok Aşamalı Modüler Backdoor'u dağıtmak için X_Trader Software için truva atışçısı kullandı.
Kurulduktan sonra, kötü amaçlı yazılım kötü niyetli kabuk kodu yürütebilir veya tehlikeye atılan sistemlerde çalışan Chrome, Firefox veya Edge işlemlerine bir iletişim modülü enjekte edebilir.
Şirket bugün yayınlanan bir raporda, "Symantec'in tehdit avcısı ekibinin ilk soruşturması, bugüne kadar kurbanlar arasında biri enerji sektöründe, biri ABD'de, diğeri Avrupa'da iki kritik altyapı örgütü olduğunu buldu." Dedi.
Diyerek şöyle devam etti: "Buna ek olarak, finansal ticarete dahil olan diğer iki kuruluş da ihlal edildi."
Ticaret Technologies tedarik zinciri uzlaşması finansal olarak motive olmuş bir kampanyanın sonucu olsa da, çok sayıda kritik altyapı organizasyonunun ihlali endişe vericidir, Kuzey Kore destekli hack gruplarının da siber casusluk için bilindiğini görür.
Bu tedarik zinciri saldırısının bir parçası olarak tehlikeye atılan stratejik kuruluşların sonraki sömürü için de seçilmesi çok muhtemeldir.
Symantec iki enerji sektörü organizasyonunu adlandırmasa da, Symantec Tehdit Hunter Güvenlik Müdahalesi Direktörü Eric Chien, BleepingComputer'a "ızgaraya enerji üreten ve tedarik eden güç tedarikçileri" olduklarını söyledi.
Truva atlı X_Trader yazılımının yardımıyla 3CX dışında en az dört varlığı ihlal ettikten sonra, Kuzey Kore hackleme kampanyasının henüz keşfedilemeyen ek kurbanları zaten etkilemesi de büyük olasılıkla.
Symantec, "3CX'in bir başka, daha önceki tedarik zinciri saldırısı tarafından ihlal edildiği keşfi, daha fazla kuruluşun bu kampanyadan etkilenmesi muhtemeldi, bu da şimdi inanılandan çok daha geniş kapsamlı olmaya başladı."
Diyerek şöyle devam etti: "Bu ihlallerin arkasındaki saldırganların yazılım tedarik zinciri saldırıları için başarılı bir şablona sahip ve daha da, benzer saldırılar göz ardı edilemez."
Perşembe günü Mantiant, UNC4736 olarak izliyor, Mart ayında VoIP şirketi 3CX'i vuran basamaklı tedarik zinciri saldırısına bağladı.
UNC4736, daha önce Google'ın Tehdit Analiz Grubu (TAG) tarafından ticaret teknolojilerinin web sitesinin uzlaşmasına bağlanan Applejeus [1, 2, 3] operasyonunun arkasındaki finansal olarak motive edilen Kuzey Koreli destekli Lazarus grubu ile ilgilidir.
Saldırı altyapısı örtüşmesine dayanarak, Mantiant UNC4736'yı UNC3782 ve UNC4469 olarak izlenen iki APT43 kötü amaçlı etkinlik kümesiyle de bağladı.
Ticaret yazılımı tedarik zinciri saldırısından kaynaklanan 3CX hack
Microsoft: ABD Orgs'taki misilleme siber saldırılarının arkasındaki İranlı Bilgisayar korsanları
3CX, tedarik zinciri saldırısının arkasındaki Kuzey Koreli bilgisayar korsanlarını onayladı
Kripto para birimi şirketleri 3CX tedarik zinciri saldırısında geri yüklendi
Bilgisayar korsanları bir tedarik zinciri saldırısında 3CX masaüstü uygulamasını tehlikeye atıyor
Kaynak: Bleeping Computer