CERT Polska ve Askeri Karşı İstihbarat Servisi tarafından birlikte yayınlanan rapora göre gerçekleştirilen analizler sonucunda, kullanılan araçlar ve yöntemler ışığında geçmişte Microsoft tarafından “NOBELIUM”, Mandiant tarafından ise APT29 olarak belirtilen tehdit aktörlerinin bu casusluk kampanyasının arkasında olduğu belirtiliyor.
NOBELIUM yada APT29 olarak anılan bu tehdit aktörünün 2020 yılında dünya çapında binlerce kuruluşu etkileyen ve bir dizi veri ihlaline yol açan SolarWinds tedarik zinciri saldırısı da dahil olmak üzere birçok yüksek profilli olaydan sorumlu olduğu belirtiliyor. Bunlarla birlikte Ukrayna’daki savaşın başlamasıyla da Ukrayna ordusuna ve siyasi partilerine, uluslararası hükümetlere, düşünce kuruluşlarına ve kar amacı gütmeyen kuruluşlara karşı siber saldırılar gerçekleştirdiler.
Gözlemlenen tüm saldırıların başlangıcı olarak kimlik avı saldırı teknikleri kullanılmış. Tehdit aktörleri Avrupa ülkelerinin büyükelçiliklerini taklit eden kimlik avı e-postalarını, diplomatik görevlerdeki seçilmiş personele gönderdiler. Saldırılarda kullanılan e-postaların genellikle mesaj gövdesinde veya ekli bir PDF belgesinde, sözde büyükelçinin takvimine, toplantı ayrıntılarına veya indirilebilir bir dosyaya yönlendiren bir bağlantı yer alıyordu.
Geçmişte gözlemlenen “NOBELIUM” veya “APT29” ile bağlantılı kampanyalarda kullanılan zararlı yazılımı dağıtmak için .ZIP veya .ISO dosyalarını kullanmıştı. CERT Polska tarafından gözlemlenen kampanyaların birinde ise bu dosya formatlarına ek olarak .IMG dosyaları da kullanılmış.
Nobelium, araştırmacılar tarafından yakından takip edilse de CERT Polska tarafından teknik analizleri gerçekleştirilen zararlı dosyaların farklı aşamlarında SNOWYAMBER, HALFRIG ve QUARTERRIG adlı araçlar kullanıldığı gözlemlendi. Bu kapsamda kullanılan araçların, birbirinden bağımsız olması veya etkinliği azalan diğer saldırı araçları yerine kullanılmasıyla casusluk kampanyası sürekli aktif olarak devam etmiş.
CERT Polska ve Askeri Karşı İstihbarat Servisi raporun yayınlandığı sırada casusluk kampanyasının aktif olarak devam ettiğini belirtti.
