Siber Muhbir

İki İngiliz genç, Londra'daki bir jüri tarafından, kötü şöhretli LAPSUS$ (diğer adıyla Slippy Spider) ulusötesi çetesinin bir parçası olmaktan ve büyük teknoloji firmalarına karşı bir dizi, yüksek profilli hack düzenlemekten ve çalınan bilgileri sızdırmamak karşılığında fidye talep etmekten mahkum edildi.

BBC'nin bu hafta bildirdiğine göre, buna Oxford'dan 18 yaşındaki Arion Kurtaj (diğer adıyla White, Breachbase, WhiteDoxbin ve TeaPotUberHacker) ve çevrimiçi tanıştıktan sonra Temmuz 2021'de işbirliği yapmaya başlayan isimsiz bir reşit olmayan kişi de dahil.

Her iki sanık da ilk olarak Ocak 2022'de tutuklandı ve soruşturma kapsamında serbest bırakıldı, ancak Nisan 2022'de Londra Şehri Polisi tarafından yeniden tutuklandı ve suçlandı. Kurtaj daha sonra kefaletle serbest bırakıldı ve çevrimiçi bir siber suç forumunda doxxed edildikten sonra Bicester'daki bir otele taşındı.

Bununla birlikte, Uber, Revolut ve Rockstar Games gibi şirketleri hedef alan bilgisayar korsanlığı çılgınlığına devam etti ve bunun sonucunda Eylül ayında tekrar tutuklandı. Grubun üyesi olduğu iddia edilen bir başka kişi ise Ekim 2022'de Brezilyalı yetkililer tarafından tutuklandı.

Gasp planlarını gerçekleştirmenin merkezinde, kapsamlı bir sosyal mühendislik aşamasından sonra kurumsal ağlara yetkisiz erişim elde etmek için SIM değiştirme ve hızlı bombalama saldırıları gerçekleştirme yetenekleri vardı.

Finansal olarak motive edilen operasyon, kuruluşlara Sanal Özel Ağ (VPN), Sanal Masaüstü Altyapısı (VDI) veya Citrix kimlik bilgileri sağlayabilecek haydut içeriden kişileri istemek için Telegram kanallarına mesajlar göndermeyi de gerektiriyordu.

ABD hükümetinin yakın tarihli bir raporu, aktörlerin SIM takas saldırılarını gerçekleştirmek için telekomünikasyon sağlayıcılarına erişim için haftada 20.000 dolar teklif ettiğini ortaya koydu. LAPSUS$'ı "etkinliği, hızı, yaratıcılığı ve cesareti" ve "etkili tekniklerin oyun kitabını" silahlandırması nedeniyle benzersiz olarak nitelendirdi.

İç Güvenlik Bakanlığı'nın (DHS) Siber Güvenlik İnceleme Kurulu (CSRB), "Sahte SIM takasları gerçekleştirmek için LAPSUS$, kurbanları hakkında adları, telefon numaraları ve müşteriye ait ağ bilgileri (CPNI) gibi temel bilgileri elde etti" dedi.

"LAPSUS$, telekomünikasyon sağlayıcısı çalışanlarının ve yüklenicilerinin hesaplarını ele geçirmek için hileli [Acil Durum Açıklama Talepleri] yayınlamak ve hesap ele geçirme tekniklerini kullanmak da dahil olmak üzere çeşitli yollarla bilgileri öğrendi."

"Daha sonra telekomünikasyon sağlayıcısının müşteri yönetimi araçları aracılığıyla sahte SIM takasları gerçekleştirdi. Sahte SIM takaslarını gerçekleştirdikten sonra LAPSUS$, SMS veya sesli aramalar yoluyla tek seferlik bağlantılar veya MFA şifreleri gönderen oturum açma ve hesap kurtarma iş akışları aracılığıyla çevrimiçi hesapları devraldı."

Diğer ilk erişim yöntemleri, ilk erişim aracılarının (IAB'ler) hizmetlerini kullanmaktan güvenlik açıklarından yararlanmaya kadar uzanıyordu, ardından aktörler ayrıcalıkları yükseltmek, ağ üzerinde yanal olarak hareket etmek, AnyDesk ve TeamViewer gibi uzak masaüstü yazılımları aracılığıyla kalıcı erişim kurmak ve güvenlik izleme araçlarını devre dışı bırakmak için adımlar attı.

LAPSUS$'ın sızdığı firmalar arasında BT, EE, Globant, LG, Microsoft, NVIDIA, Okta, Samsung, Ubisoft ve Vodafone yer aldı. Fidyelerin ihlal edilen şirketlerden herhangi biri tarafından ödenip ödenmediği şu anda belli değil. Gençlerin daha sonraki bir tarihte ceza alması bekleniyor.

"Grup, son derece etkili sosyal mühendislik kullanarak iyi savunulan kuruluşlara başarılı bir şekilde saldırdığı için ün kazandı; iş süreci dış kaynak kullanımı (BPO'lar) ve telekomünikasyon sağlayıcılarından ödün vererek hedeflenen tedarik zincirleri; ve operasyonlarını, hedeflerini ve başarılarını tartışmak ve hatta hedefleriyle iletişim kurmak ve şantaj yapmak için halka açık Telegram kanalını kullandı" dedi.