Yıllardır Rus hükümet bilgisayar korsanları izlerini gizlemek ve güvenlik araştırmacılarını ve devlet kurumlarını suçu yanlış yöne yönlendirmeleri için kandırmak için birkaç uydurma kişi kullandılar.
Demokratik Ulusal Komite’yi hacklediklerinde Guccifer 2.0 adlı yalnız bir Rumen bilgisayar korsanı gibi davrandılar; sıradan bir fidye yazılımı gibi görünmek üzere tasarlanmış yıkıcı bir kötü amaçlı yazılımı serbest bıraktı; İranlı bir bilgisayar korsanlığı grubu tarafından kullanılan sunucularda saklandı; Cyber Caliphate adlı İslamcı bir bilgisayar korsanlığı grubu olduğu iddia edildi; 2018 Kış Olimpiyatlarını hackleyerek Kuzey Kore ve Çin’e işaret eden kırıntılar bıraktı; ve Cyber Berkut adlı bilgisayar korsanlığı yanlısı bir grup tarafından gerçekleştirildiği iddia edilen bir hack ve sızıntı operasyonu olarak yayınlanan belgelere yanlış kanıtlar sızdırdı.
Şimdi, güvenlik araştırmacıları yeni bir Rus hükümeti sahte bayrağı bulduklarını iddia ediyorlar.
BlackBerry’deki güvenlik araştırmacılarına göre, daha önce RomCom RAT olarak bilinen bir kötü amaçlı yazılım türüyle bağlantılı olan ve Cuba Ransomware olarak bilinen siber suç grubu, kesinlikle bir siber suç grubu değil. Araştırmacılar, aslında Ukrayna askeri birimlerini ve yerel yönetimleri hedef alan Rus hükümeti için çalışan bir grup olduğunu söyledi.
BlackBerry’nin siber tehdit İstihbarat ekibinin kıdemli direktörü Dmitry Bestuzhev, RomCom RAT ile Küba arasındaki bağlantılara atıfta bulunarak, “Bu yanıltıcı bir atıf,” dedi. “Rus hükümeti için çalışan başka bir birim gibi görünüyor” dedi.
Washington DC’deki Rusya Büyükelçiliği yorum talebine yanıt vermedi.
RomCom RAT, ilk olarak Mayıs 2022’de Palo Alto Networks güvenlik araştırma grubu Unit 42 tarafından keşfedilen bir uzaktan erişim truva atıdır. Şirketin güvenlik araştırmacıları, kötü amaçlı yazılımı “finansal hizmetler” sektörlerindeki hedeflere karşı fidye yazılımı kullanan Küba çetesiyle ilişkilendirdi. , devlet tesisleri, sağlık ve halk sağlığı, kritik üretim ve bilgi teknolojisi,” ABD siber güvenlik ajansı CISA’ya göre.
İsim, karanlık web sitesinde Fidel Castro ve Che Guevara’nın resimlerini kullanan grubun kendisinden geliyor, ancak hiçbir araştırmacı grubun ada ulusuyla herhangi bir ilgisi olduğuna dair herhangi bir kanıt bulamadı.
RomCom RAT’ın kurbanlarını hedef almak için şifre yöneticisi KeePass, BT yönetim aracı SolarWinds, Gelişmiş IP Tarayıcı ve Adobe Acrobat okuyucu gibi popüler uygulamaların sahte sürümlerini kullandığı bildirildi. Bestuzhev ve meslektaşlarına göre, son birkaç ay içinde RomCom RAT, Ukrayna askeri birimlerini, yerel hükümet kurumlarını ve Ukrayna parlamentosunu da hedef aldı.
Bestuzhev, vardıkları sonucun yalnızca hedeflere değil, aynı zamanda bilgisayar korsanlarının operasyonlarının zamanlamasına da dayandığını açıkladı.
Ekibi bir yıl boyunca grubu takip etti ve izini internet üzerinden takip etti. Araştırmalarının bir parçası olarak araştırmacılar, bilgisayar korsanlarının hedeflere kötü amaçlı yazılım yerleştirmek için kullandıkları sahte etki alanlarını kaydetmek için farklı dijital sertifikalar kullandıklarını gözlemlediler.
Bir vakada araştırmacılar, Ukrayna Devlet Başkanı Volodymyr Zelenskyy’nin Avusturya parlamentosuna görüntülü görüşme yoluyla konuşmasından bir hafta önce, 23 Mart’ta bilgisayar korsanlarının bubi tuzaklı bir web sitesini imzalamak için Avusturya’yı sunan bir dijital sertifika oluşturduklarına tanık oldular.
Aynı model başka zamanlarda da oldu. RomCom RAT bilgisayar korsanları, Kasım 2022’de bir SolarWinds web sitesini taklit ettiğinde, Ukrayna kuvvetlerinin kuşatma altındaki Herson şehrine girdiği sıralardaydı. Bilgisayar korsanları, Temmuz 2022’de Advanced IP Scanner’ı taklit ettiğinde, tam da Ukrayna’nın ABD hükümeti tarafından sağlanan HIMARS roketlerini konuşlandırmaya başladığı sıralardaydı. Ardından, Mart 2023’te, bilgisayar korsanları, Ukraynalı pilotların F-16 savaş uçaklarını uçurmak üzere eğitildikleri ve Polonya ile Slovakya’nın Ukrayna’ya askeri teknoloji sağlamaya karar verdiği sıralarda Uzak Masaüstü Yöneticisi’ni taklit etti.
Bestuzhev, “Yani, jeopolitikte ve özellikle askeri alanda büyük bir olay olduğunda, RomCom RAT tam orada, tam oradaydı” dedi.
Bununla birlikte, diğer güvenlik araştırmacılarının yanı sıra Ukrayna hükümetinin kendisi, RomCom RAT ve Cuba Ransomware’in aslında Rus hükümetinin bilgisayar korsanları olduğuna hala tam olarak ikna olmuş değil.
Palo Alto Networks Unit 42’de kıdemli bir araştırmacı olan Doel Santos, RomCom RAT kötü amaçlı yazılımının arkasındaki grubun, özel araçları kullanma açısından “geleneksel fidye yazılımı gruplarından daha karmaşık” olduğunu söyledi.
“Birim 42, Ukrayna’yı hedef alan faaliyeti gördü. Bununla ilgili bir casusluk açısı var ve bu nedenle bir ulus devletten talimat alıyor olabilirler, ”dedi Santos TechCrunch’a. “Ancak, bu ilişkinin boyutunu bilmiyoruz. Bir fidye yazılımı grubunun normal faaliyetlerinin dışına çıkıyor.”
Yine de Santos, “bazı gruplar ek iş almak için ay ışığı alıyor – bu durumda gördüğümüz şey bu olabilir” diye ekledi.
Bestuzhev, kendisinin ve ekibinin bu olasılığı değerlendirdiğini, ancak bilgisayar korsanlarının ısrarı, saldırıların zamanlaması ve hedeflerini temel alarak dışladıklarını ve bunun da gerçek amaçlarının suç değil casusluk olduğunu gösterdiğini söyledi.
Ukrayna Devlet Özel İletişim Servisi veya SSSCIP sözcüsü, RomCom RAT’ın Ukrayna’daki operasyonlarından birinin DELTA adlı belirli bir durumsal farkındalık yazılımının kullanıcılarını hedef aldığını söyledi ve “hedef ve kullanılan kötü amaçlı yazılıma göre, Amaç, Ukrayna ordusundan istihbarat toplamaktı.”
Bir SSSCIP sözcüsü, “Ancak Rusya ile bağlantı kurmak için yeterli kanıt yok (Rusya’nın bu tür bilgilerle en çok ilgilenen hükümet olması dışında),” diye ekledi.
Hacker grubunu takip eden Google’ın tehdit istihbaratı ekiplerinin sözcüsü Mark Karayan, “Ekibimiz bu bulguları görmeden güvenle onaylayamaz veya reddedemez” dedi. [BlackBerry’s] tam araştırma.”
Bestuzhev, grubunun, RomCom RAT bilgisayar korsanlarına ellerini göstermemek ve stratejilerini ve tekniklerini değiştirmelerini engellemek amacıyla bulgularının tüm teknik ayrıntılarını yayınlamayı planlamadığını söyledi. Bestuzhev, bu şekilde bilgisayar korsanlarını izlemeye devam edebileceklerini ve bundan sonra ne yapacaklarını görebileceklerini açıkladı.
Jüri, RomCom RAT ve Cuba Ransomware’in gerçekte kimin arkasında olduğunu hâlâ bilmiyor, ancak Bestuzhev ve diğer şirketlerden araştırmacılar grubu izlemeye devam edecek.
“O adamlar, diyelim ki, bizim bildiğimizi biliyorlar. Birbirimizi seviyoruz. Ve bu yüzden uzun vadeli bir ilişki gibi, ”dedi Bestuzhev gülerek.
Bu bilgisayar korsanlığı grubu hakkında daha fazla bilginiz var mı? Veya Ukrayna’daki savaşa katılan diğer bilgisayar korsanlığı grupları? Sizden haber almak isteriz. Lorenzo Franceschi-Bicchierai ile +1 917 257 1382 numaralı telefondan Signal üzerinden veya Wickr, Telegram ve Wire @lorenzofb aracılığıyla veya lorenzo@techcrunch.com adresine e-posta göndererek güvenli bir şekilde iletişime geçebilirsiniz. TechCrunch ile SecureDrop aracılığıyla da iletişime geçebilirsiniz.
