Rus bağlantılı hacker grubu 50 Batılı şirketi hedef aldı: Shell ve Philips de listede

Rusya bağlantılı olduğu değerlendirilen siber suç örgütü Cl0p, aralarında enerji devi Shell, tıbbi teknoloji üreticisi Philips, General Electric (GE) ve finansal teknoloji şirketi Fiserv’in de bulunduğu yaklaşık 50 Batılı şirketin sistemlerini hedef aldığını ve büyük miktarda şirket içi veriyi ele geçirdiğini öne sürdü.

Birleşik Krallık merkezli Reuters haber ajansının haberine göre grup, 12 Ağustos’ta yayımladığı açıklamada Shell’den yaklaşık 89 gigabayt, Philips’ten ise 13,5 gigabayt veri çaldığını iddia etti. Ancak haberin yayımlandığı sırada saldırganlar ele geçirdiklerini öne sürdükleri verilere ilişkin herhangi bir örnek paylaşmadı. Şirketler de siber saldırı girişimlerini doğrularken veri hırsızlığının gerçekleştiğini henüz teyit etmedi.

SHELL VE PHİLİPS SALDIRIYI DOĞRULADI

Shell, yakın zamanda olası bir siber güvenlik olayı yaşandığını doğrulayarak konuyla ilgili soruşturma başlattığını açıkladı. Şirket, güvenlik ekipleri ve uzmanlarla birlikte olayın kapsamını araştırdığını bildirdi.

Cl0p, Shell’den çalındığını öne sürdüğü veriler arasında şirketin işlettiği enerji tesislerine ait proje çizimleri, sanayi tesislerinin fotoğrafları, teknik denetim raporlarının taranmış kopyaları ve proje planlama belgelerinin bulunduğunu iddia etti.

Philips de ayrı bir kurumsal sunucuya yönelik yetkisiz erişim girişimini tespit ettiğini ve saldırıyı sınırlandırdığını açıkladı. Şirket, olayın müşteri ortamlarını etkilemediğini belirtti. Ancak Cl0p, Philips’e ait olduğu öne sürülen şema, teknik çizim ve PDF formatındaki diyagramların ele geçirildiğini iddia ediyor.

General Electric ise hacker grubunun açıklamasından haberdar olduğunu ve olası tehdidin değerlendirilmesi için siber güvenlik müdahale protokollerini devreye soktuğunu bildirdi.

Finansal teknoloji şirketi Fiserv de Cl0p’un iddialarını incelediğini açıkladı. Şirket, mevcut kapsamlı incelemelerde müşteri, banka, işlem veya kişisel verilerinin ele geçirildiğine ilişkin herhangi bir kanıt bulunmadığını duyurdu.

SALDIRILARIN KAYNAĞI ARAŞTIRILIYOR

Saldırıların hangi yöntemle gerçekleştirildiği henüz kesin olarak belirlenmedi. Ancak siber güvenlik uzmanları, Cl0p’un son dönemde belirli şirketleri doğrudan hedeflemekten ziyade yaygın kullanılan kurumsal yazılımlardaki güvenlik açıklarından yararlanarak geniş çaplı saldırılar gerçekleştirdiğine dikkat çekiyor.

Ascent Solutions Tehdit Analizi Başkanı Brandon Parsons, grubun “profesyonel veri gaspçıları” gibi hareket ettiğini belirterek belirli şirketlerden ziyade güvenlik açığı bulunan yazılımları hedef aldığını ifade etti.

Sektörel fidye yazılımı bilgi paylaşım kuruluşu Ransom-ISAC da 22 Temmuz’da Cl0p’un üretim süreçlerinde kullanılan PTC Windchill ve FlexPLM mühendislik yazılımlarındaki güvenlik açıklarından aktif şekilde yararlandığı konusunda uyarıda bulunmuştu.

KRİTİK ALTYAPI İÇİN GÜVENLİK RİSKİ

Uzmanlara göre saldırının doğrulanması hâlinde özellikle Shell’den çalındığı iddia edilen teknik belgeler ciddi güvenlik riski oluşturabilir. Enerji tesislerine ait proje çizimleri, sanayi komplekslerinin görüntüleri ve teknik denetim raporlarının kötü niyetli kişilerin eline geçmesi, kritik altyapıya yönelik sabotajların planlanmasında kullanılabilecek hassas bilgilerin açığa çıkmasına neden olabilir.

Philips açısından ise teknik çizim ve mühendislik belgelerinin sızdırılması, şirketin fikrî mülkiyetinin korunması bakımından önemli riskler doğurabilir.

Bununla birlikte, söz konusu verilerin gerçekten ele geçirilip geçirilmediği ve hacker grubunun yayımladığı iddiaların ne ölçüde gerçeği yansıttığı henüz bağımsız olarak doğrulanmış değil.

CL0P KİMDİR?

Cl0p, 2019’dan bu yana faaliyet gösterdiği belirlenen ve Rusça konuşulan siber suç dünyasıyla ilişkilendirilen en tehlikeli hacker gruplarından biri olarak biliniyor. Siber güvenlik araştırmacıları grubu, TA505 ve FIN11 olarak tanımlanan hacker kümeleriyle ilişkilendiriyor.

Grup, özellikle “çifte gasp” olarak bilinen yöntemiyle öne çıkıyor. Bu yöntemde saldırganlar yalnızca şirketlerin sistemlerine erişmek veya verileri şifrelemekle kalmıyor, aynı zamanda ele geçirdikleri hassas verileri kamuoyuna açıklamakla tehdit ederek kurbanlardan fidye talep ediyor.

Son yıllarda Cl0p’un geleneksel fidye yazılımı saldırıları yerine, kurumsal yazılımlardaki sıfırıncı gün güvenlik açıklarından yararlanarak çok sayıda kuruluşu aynı anda hedef alan saldırılara ağırlık verdiği belirtiliyor.

Grubun 2021’de Accellion FTA, 2023’te ise GoAnywhere MFT ve MOVEit Transfer platformlarındaki güvenlik açıklarından yararlandığı geniş çaplı saldırılar, dünya genelinde yüz milyonlarca kullanıcıya, şirketlere ve kamu kurumlarına ait verilerin tehlikeye girmesine yol açmıştı.

Cl0p’un son iddiaları da grubun Batılı şirketlerin yaygın kullandığı kurumsal yazılımlardaki açıkları kullanarak geniş çaplı veri hırsızlığı operasyonlarına devam ettiğine işaret ediyor.