OilRig Kampanyası

OilRig Kampanyası

İlgili kampanyanın 2016 yılında ilk defa tespit edildiği ve o günden bu güne orta doğu başta olmak üzere bir çok farklı hedefe operasyonlar düzenlediği tahmin edilmektedir.

İran temelli olduğu düşünülen ve APT34, Oilrig, or HelixKitten şeklinde isimlendirilen grup tarafından kullanılan zararlı yazılımlara ait kaynak kodları Dookhtegan kullanıcı adı ile telegram üzerinden ifşa edilmiştir. Kaynak kodun dışında şimdiye kadar hedef alınan kurum/kuruluşlar ve buradaki kullanıcı bilgileri, ve iran istihbarat ajansı çalışanları ve ajanlarına ait olduğu iddia edilen kişisel bilgileri de ifşa etmiştir. Kaynak kodun çok sofistike olması devlet destekli bir kampanya olduğu izlenimini vermektedir. [1]

İlgili kampanyanın 2016 yılında ilk defa tespit edildiği ve o günden bu güne orta doğu başta olmak üzere bir çok farklı hedefe operasyonlar düzenlediği tahmin edilmektedir. [2]

Saldırganlar hedefli oltalama saldırıları ile son kullanıcı makinalarını ele geçirdikten sonra bir webshell üzerinden komuta kontrol sunucularına bağlanmaktadır. Ve verileri çoğunlukla DNS tünelleme ile ilgili C2 sunucularına aktarmaktadırlar.

Saldırganlar, webshell kullanımı ile kurumların Outlook Web Access (OWA) sistemlerini istismar edebilmektedirler.

Çözüm / Öneri

• Son kullanıcı makinalarındaki uygulamaların güvenlik güncellemelerinin yapılması
• Sunucu ve son kullanıcı makinalarında güçlü parola kullanılması
• Son kullanıcı makinalarında powershell çalışmasının engellenmesi
• OWA sunucularında web shell taraması yapılması
• OWA erişimlerine özel güvenlik kontrollerinin uygulanması (yurtdışından erişimin engellenmesi, çok faktörlü kimlik doğrulama kullanılması vb.)
• Dışarı doğru DNS trafiklerinin engellenmesi veya izlenmesi

İşletim Sistemleri

• Windows İşletim Sistemleri

Sürümler

• Tüm Windows işletim sistemi sürümleri

CVE / CWE

• Yok

Ek Bilgi

1. [1] https://www.zdnet.com/article/source-code-of-iranian-cyber-espionage-tools-leaked-on-telegram/
2. [2] https://unit42.paloaltonetworks.com/dns-tunneling-in-the-wild-overview-of-oilrigs-dns-tunneling/
3. https://misterch0c.blogspot.com/2019/04/apt34-oilrig-leak.html
4. https://attack.mitre.org/groups/G0049/