Hayalet Hesaplar ve Kötü Amaçlı Yazılım Dağıtımı
Son zamanlarda, hayalet hesapların kullanımı artarak, özellikle Windows kullanıcılarını hedef alan kötü amaçlı yazılımların yayılımını hızlandırdı. Check Point güvenlik araştırmacısı Antonis Terefos, bu ağın bir “hizmet olarak dağıtım” (DaaS) operasyonu olduğunu vurgulayarak, hackerların kötü niyetli bağlantıları ve yazılımları “kurban odaklı kimlik avı havuzları” aracılığıyla paylaştığını belirtti. Terefos, bu hayalet hesapların, Atlantida Stealer, Rhadamanthys, RisePro, Lumma Stealer ve Redline gibi birçok kötü amaçlı yazılım ailesini dağıtan 3.000’den fazla aktif hesaba sahip olduğunu ifade etti.
Bu hayalet hesaplar, diğer kötü niyetli hesaplara ve havuzlara güvenilirlik kazandırmak amacıyla yıldızlama, takip etme, forklama ve izleme gibi işlemler gerçekleştirmekte, bu sayede sahte bir güvenilirlik ortamı oluşturmaktadır.
MuddyWater Hack Grubu ve BugSleep Arka Kapısı
İran hükümeti destekli bir siber casusluk grubu olan MuddyWater, kötü amaçlı yazılımını güncelleyerek, özellikle İsrailli kuruluşları hedef almak için özel bir arka kapı geliştirmiştir. Çetenin Arnavutluk’a yönelik saldırıları ise dikkat çekmektedir. Check Point, 8 Temmuz 2023’te bir reklamcının hizmetlerini dark web üzerinde sunduğunu ve GitHub’da istenilen diğer işlemleri gerçekleştirdiğini tespit etmiştir. Örneğin, bir havuzu 100 hesapla yıldızlamanın maliyetinin yalnızca 10 dolar olduğu öğrenilmiştir.
Mayıs ve Haziran 2024 tarihleri arasında gerçekleştirilen havuz ve işlemler üzerinden yapılan analizlerde, Check Point, Stargazer Goblin’in 8.000 dolar kazandığını hesapladı ve bunun grubun gerçek karının yalnızca küçük bir kısmı olduğunu öne sürdü. Check Point, “Stargazers Ghost Network’ün Temmuz 2023’ten bu yana kamuya açık olarak faaliyet gösterdiği ve muhtemelen Ağustos 2022’den beri daha küçük ölçeklerde faaliyet gösterdiği göz önüne alındığında, toplam kârın yaklaşık 100.000 dolar olduğunu tahmin ediyoruz.” şeklinde bir açıklamada bulundu.
Bu tehdit grubu, GitHub’ı benzersiz yollarla manipüle etmekte oldukça başarılıdır. Checkmarx araştırmacıları, 2024 başlarında, tehdit aktörlerinin GitHub’ın Action aracını kötü amaçlı havuzları güncellemek için kullandığını, küçük değişikliklerle görünürlüğü artırdığını ve sahte hesaplar oluşturarak bu havuzları teşvik ettiğini keşfetmiştir. Lasso Security’nin Nisan 2024’te yayımladığı bir raporda ise hackerların, ChatGPT gibi chatbotlardan sıklıkla yanlış paket önerileri kullanarak zararlı içeriklerini gizlediği belirtilmektedir.
Terefos, GitHub’ın kötü amaçlı içerik dağıtımı için uzun süredir bir platform olarak kullanıldığını, ancak Stargazer Ghost Network’ün bu alandaki sofistike yaklaşımının yeni bir seviyeye ulaştığını ifade etti. Bu ağın, GitHub’ın operasyonlarını bozma girişimlerine karşı dayanıklılık gösterdiğini de sözlerine ekledi.
