Kaspersky'nin Küresel Araştırma ve Analiz Ekibi (GReAT), Asya, Afrika ve Latin Amerika'daki kamu kurumları, finansal kuruluşlar ve endüstriyel organizasyonları hedef alan bir siber casusluk operasyonunu ifşa etti. Bu operasyona 'PassiveNeuron' adı verildi ve 2024 yılı Aralık ayından itibaren aktif olduğu, 2025 yılı Ağustos ayına kadar devam ettiği tespit edildi.
PassiveNeuron kampanyası, yaklaşık altı aylık bir duraklamanın ardından yeniden faaliyet göstermeye başladı. Bu kampanya, hedef ağlara sızmak ve kalıcı erişim sağlamak için üç ana araç kullanıyor. Bunlardan ikisi, daha önce bilinmeyen yazılımlar. Kullanılan araçlar arasında, modüler bir arka kapı yazılımı olan Neursite, .NET tabanlı bir implant olan NeuralExecutor ve sıkça istismar edilen bir sızma testi aracı olan Cobalt Strike yer alıyor.
Kaspersky GReAT güvenlik araştırmacısı Georgy Kucherin, bu konuyla ilgili olarak, "PassiveNeuron, organizasyonların bilişim altyapısının bel kemiği sayılan sunucuları hedef almasıyla öne çıkıyor. İnternete açık sunucular, gelişmiş kalıcı tehdit (APT) grupları için son derece cazip hedeflerdir; çünkü tek bir sistemin ele geçirilmesi bile kritik sistemlere erişim sağlayabilir. Bu nedenle, bu tür sunucularla ilişkili saldırı yüzeyinin en aza indirilmesi ve olası enfeksiyonların tespiti için sunucu uygulamalarının sürekli izlenmesi büyük önem taşır," şeklinde değerlendirmelerde bulundu.
Neursite arka kapısı, sistem bilgilerini toplayabilen, çalışan süreçleri yönetebilen ve ele geçirilen ana makineler üzerinden ağ trafiğini yönlendirerek ağ içinde yatay hareket etmeye olanak tanıyan bir yazılımdır. Analiz edilen örneklerde, bu aracın dış komuta-kontrol (C2) sunucuları ile iletişim kurduğu ve ele geçirilmiş dahili sistemlerle etkileşime geçtiği gözlemlenmiştir.
Diğer yandan, NeuralExecutor aracı ise ek zararlı yükler dağıtmak için tasarlanmıştır. Bu yazılım, birden fazla iletişim yöntemini destekleyerek, komuta-kontrol sunucusundan aldığı .NET bileşenlerini belleğe yükleyip çalıştırabilmektedir. Böylece, PassiveNeuron kampanyası, hedef aldığı ağların güvenlik önlemlerini aşarak hedefe ulaşmayı başarmaktadır.
PassiveNeuron'un kullandığı araçların çeşitliliği ve yenilikçiliği, bu tür siber casusluk faaliyetlerinin ne kadar karmaşık ve tehlikeli hale geldiğini gözler önüne sermektedir. Özellikle internet üzerinden erişilebilen sunucuların hedef alınması, siber tehdit aktörlerinin başarılı olma olasılığını artırmakta ve bu durum, birçok kurumu zor durumda bırakmaktadır. Kaspersky'nin yayımladığı bu rapor, organizasyonların siber güvenlik önlemlerini gözden geçirmeleri gerektiğinin altını çizmektedir.
Sonuç olarak, PassiveNeuron gibi siber casusluk operasyonlarının günümüzdeki evrimi, hem tehdit yönetimi alanında önemli gelişmelere işaret etmekte hem de organizasyonların bu tehditlere karşı daha etkili savunma stratejileri geliştirmeleri gerektiğini göstermektedir.
