MuddyWater (Seedworm) Tehdit Aktörü Analizi
MuddyWater (diğer adlarıyla Seedworm veya Static Kitten), özellikle devlet destekli siber casusluk faaliyetleriyle tanınan, İran bağlantılı bir tehdit grubudur. Bu grup, Güney Koreli büyük elektronik üreticileri dahil olmak üzere dünya genelinde kritik sektörleri hedef almaktadır. Bu makale, MuddyWater'ın kullandığı TTP'leri (Taktikler, Teknikler ve Prosedürler) anlamanızı ve kurumunuzu korumanızı amaçlar.
Tespit Edilen Tehdit Vektörleri
Grup, genellikle oltalama (phishing) saldırıları, zafiyet barındıran sistemlerin istismarı ve meşru uzaktan yönetim araçlarının (RMM) kötüye kullanımı yoluyla ağlara sızmaktadır. Özellikle PowerShell tabanlı zararlı yazılımlar ve özel geliştirilmiş arka kapılar (backdoors) kullanırlar.
Savunma ve Müdahale Adımları
- Uç Nokta Görünürlüğü: EDR çözümlerini yapılandırarak PowerShell script blok günlüğünü (Script Block Logging) etkinleştirin.
- Ağ İzleme: Şüpheli C2 (Komuta ve Kontrol) trafiğini tespit etmek için DNS sorgularını ve olağandışı dış bağlantıları analiz edin.
- E-posta Güvenliği: Makro içeren belgelerin engellenmesi için GPO politikalarını uygulayın.
İnceleme Komutları
İpucu: Aşağıdaki komutlar, sisteminizde şüpheli PowerShell aktivitesini kontrol etmek için kullanılabilir.
# PowerShell Script Block günlüğünü etkinleştirme
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging' -Name 'EnableScriptBlockLogging' -Value 1
# Şüpheli ağ bağlantılarını listeleme
netstat -ano | findstr "ESTABLISHED"
Kritik Önlemler
MuddyWater, genellikle meşru araçları (Living-off-the-Land) kullanarak tespit edilmekten kaçınır. Bu nedenle, sadece imza tabanlı antivirüsler yeterli değildir. Davranışsal analiz (Behavioral Analysis) ve SIEM entegrasyonu şarttır. Özellikle Atera, ScreenConnect gibi RMM araçlarının kullanımı sıkı denetim altında tutulmalıdır.
Kurumsal ağınızda şüpheli bir dosya veya süreç tespit ettiğinizde, derhal ilgili makineyi izole edin ve bellek dökümü (memory dump) alarak analize başlayın. MuddyWater'ın kullandığı altyapı sürekli değiştiğinden, IOC (Indicator of Compromise) listelerini güncel tutmak hayati önem taşır.
