Geçtiğimiz Nisan ayında DigiCert altyapısına yönelik gerçekleştirilen siber saldırının arkasında, Çin kökenli GoldenEyeDog (APT-Q-27, Dragon Breath, Miuuti Group) grubunun bir alt kolu olan CylindricalCanine adlı tehdit aktörünün olduğu kanıtlandı.
Expel tarafından paylaşılan teknik detaylara göre, saldırganlar kod imzalama sertifikalarını ele geçirerek meşru yazılımların arasına gizlenmiş zararlı kodları yasal gibi göstermeyi hedeflemiş. Bu saldırı, özellikle çevrimiçi oyun ve bahis platformlarını hedef alan GoldenEyeDog grubunun taktiklerine de uyum sağlıyor.
Saldırının Arka Planı ve Tehdit Aktörünün Profili
GoldenEyeDog grubu, uzun süredir Asya bölgesindeki oyun ve bahis endüstrisini hedef alan faaliyetleriyle tanınıyor. Bu grubun alt kolu olan CylindricalCanine, daha önceki saldırılarında da sertifika tabanlı saldırılar ve gizli kalma teknikleri kullanmıştı. DigiCert'in maruz kaldığı saldırı, bu grubun üst düzey güvenlik protokollerini nasıl aşabileceğini gösteren önemli bir örnek olarak kayıtlara geçti.
Araştırmacılar, saldırının sertifika zinciri manipülasyonu ve meşru sertifika yetkililerinin (CA) zayıf noktalarından faydalanma yoluyla gerçekleştirildiğini belirtiyor. Bu yöntem, saldırganlara kurumsal ağlara sızma ve uzun vadeli gizli erişim sağlama imkanı tanıyor.
Kod İmzalama Sertifikası Hırsızlığı: Neden Tehlikeli?
Kod imzalama sertifikaları, yazılımların güvenilirliğini ve bütünlüğünü doğrulamak için kullanılan dijital imzalardır. Bu sertifikaların çalınması durumunda saldırganlar:
- Zararlı yazılımları yasal gibi göstererek güvenlik duvarlarını ve antivirüs sistemlerini atlatabilir.
- Kurumsal ağlara gizlice sızabilir ve veri sızdırma operasyonları yürütebilir.
- Üçüncü parti geliştiricilerin imzalarını taklit ederek tedarik zinciri saldırıları gerçekleştirebilir.
DigiCert saldırısı, bu tehdidin ne kadar ciddi olduğunu bir kez daha gözler önüne serdi. Şirket, saldırının ardından sertifika yönetim sistemlerini güçlendirme ve çok faktörlü kimlik doğrulamasını devreye alma gibi acil önlemler aldığını duyurdu.
İşletmeler İçin Alınması Gereken Önlemler
Bu tür saldırılardan korunmak için işletmelerin aşağıdaki adımları izlemesi kritik önem taşıyor:
- Sertifika Devir Teslim Prosedürleri: Tüm sertifikaların envanterini çıkararak, süresi dolan veya şüpheli sertifikaları derhal iptal edin.
- Sürekli İzleme ve Algılama: Gelişmiş tehdit algılama sistemleri kullanarak, anormal sertifika kullanımlarını tespit edin.
- Personel Eğitimi: Çalışanları, sosyal mühendislik saldırıları ve sahte sertifika kullanımları konusunda bilinçlendirin.
- Tedarik Zinciri Güvenliği: Üçüncü parti geliştiricilerin sertifikalarını doğrulayın ve tedarik zinciri saldırılarına karşı koruma sağlayın.
- Yedekleme ve Kurtarma Planları: Kritik sertifikaların yedeklerini güvenli bir şekilde saklayın ve kurtarma prosedürlerini belirleyin.
GoldenEyeDog grubunun DigiCert'e yönelik saldırısı, siber güvenlik dünyasında yeni bir tehdit dalgasının habercisi olabilir. İşletmelerin, özellikle oyun ve bahis sektöründe faaliyet gösterenlerin, bu tür saldırılara karşı hazırlıklı olması gerekiyor.
Sonuç
Sertifika tabanlı saldırılar, siber suçluların en etkili silahlarından biri haline geliyor. DigiCert olayı, işletmelerin güvenlik protokollerini sürekli olarak güncellemesi ve gelişmiş tehdit algılama sistemlerine yatırım yapması gerektiğini bir kez daha ortaya koydu. GoldenEyeDog grubunun faaliyetleri, uluslararası siber suç örgütlerinin ne kadar organize ve tehlikeli olduklarını gösteriyor.
İşletmelerin, bu tehditlere karşı proaktif bir yaklaşım benimsemesi ve güvenlik stratejilerini sürekli olarak iyileştirmesi hayati önem taşıyor.
