APT 37, Kuzey Kore destekli bir siber tehdit aktörüdür. ScarCruft, Reaper, InkySquid veya RedEyes olarak da bilinir. Kuzey Kore’nin Reconnaissance General Bureau (RGB) birimine bağlıdır ve 2012’den beri aktiftir. Ana hedefleri Güney Kore, Japonya, Vietnam ve Orta Doğu’daki devlet kurumları, savunma sanayii, teknoloji firmaları ve düşünce kuruluşlarıdır. Casusluk, veri hırsızlığı ve stratejik bilgi toplama faaliyetleri yürütürler.

Neler Yapıyorlar ve Nasıl Yapıyorlar?

APT 37, uzmanlaşmış siber casusluk operasyonları yürütür. Hedeflerine ulaşırken yalnızca klasik saldırı yöntemlerini değil, aynı zamanda kendi geliştirdikleri zararlı yazılımları da kullanır.

• Spear-Phishing: Hedefe özel e-postalar hazırlar. Güvenilir kurum ve kişilerden geliyormuş gibi görünen bu mesajlarda sahte iş teklifleri ya da resmi belgeler kullanarak kullanıcıları kandırır.
• Zararlı Yazılımlar: Grubun en güçlü araçlarıdır:
  • ROKRAT, bulut tabanlı bir truva atıdır. Google Drive ve Dropbox üzerinden komut alır, topladığı verileri bu platformlara yükler.
  • DOGCALL, Android cihazları hedef alır; mesajları, çağrıları ve konum bilgilerini çalar.
  • KARAE, hafif bir backdoor’dur. Sistemde gizlice çalışır, veri toplar ve hızlıca yayılır.
  • FadeStealer, grubun en gelişmiş casus yazılımıdır. Mikrofonları kullanarak ses kaydı alır, ekran görüntüsü çeker, tuş vuruşlarını kaydeder ve bağlı cihazlardaki verileri toplar.
• Sıfır-Gün Exploitleri: Daha önce bilinmeyen güvenlik açıklarını istismar ederek sisteme sızar ve tespit edilmeden ilerler.
• Sosyal Mühendislik: Sahte kimlikler ve sosyal medya profilleriyle kullanıcıların güvenini kazanır.
• Hedefli Ağ Saldırıları: Savunma sanayii ve devlet kurumlarının ağlarına sızar; uzun süre fark edilmeden içeride kalır.

APT 37, özellikle 2017’de Güney Kore’deki savunma şirketlerine yaptığı saldırılarla dikkat çekmiştir. COVID-19 döneminde sahte aşı araştırmaları üzerinden sağlık sektörünü hedef almıştır. 2023’te ise FadeStealer’ı aktif olarak kullanmaya başlamış ve casusluk faaliyetlerini yeni bir seviyeye taşımıştır. (Bu yazılım üzerinde ne zamandan beri çalıştıkları kesin olarak bilinmemektedir; ancak aktif kullanımları 2023 yılında tespit edilmiştir.)

Bağlam ve Etkileri Neler?

APT 37, Kuzey Kore’nin siber savaş stratejisinin kritik bir parçasıdır. Ekonomik yaptırımları aşmak ve istihbarat toplamak için siber operasyonlara bel bağlarlar. Kore Yarımadası’ndaki jeopolitik gerilimler, faaliyetlerini besler. Güney Kore ile yaşanan siyasi ve askeri çatışmalar, saldırılarının ana motivasyonudur.

Grubun etkileri şunlardır:

• Veri Hırsızlığı: FadeStealer gibi araçlarla hassas askeri, teknolojik ve kişisel veriler çalınır.
• Ekonomik Zarar: Şirketler, veri kaybı ve sistem onarımı için milyonlarca dolar harcar.
• Diplomatik Gerilim: Saldırılar, hedef ülkeler arasında güven sorunları yaratır. Örneğin, 2020’de Birleşmiş Milletler’in Kuzey Kore yaptırımlarıyla ilgili belgeleri hedef almışlardır.
• Küresel Tehdit: FadeStealer’ın gizli ses kaydı ve veri toplama yetenekleri, APT 37’nin küresel siber güvenlik için ciddi bir risk olduğunu gösterir.

FadeStealer, özellikle hedeflerin konuşmalarını dinleme yeteneğiyle dikkat çeker. Bu, casuslukta yeni bir boyut açar ve hedef ülkelerin güvenlik politikalarını zorlar.

Sonuç

APT 37, Kuzey Kore’nin siber gücünün çarpıcı bir örneğidir. FadeStealer gibi yeni nesil zararlı yazılımlarla tehdit seviyesini her geçen gün artırmaktadır. Hedef ülkelerin bu konularda çalışan ekiplerini güçlendirmeleri ve çalışmalarını yoğunlaştırmaları gerekmektedir. Ayrıca, her haberde vurguladığımız gibi çalışanların sosyal mühendislik konusunda eğitilmesi kritik öneme sahiptir. İstihbarat paylaşımı ve uluslararası iş birliği de hayati derecede önemlidir.

APT 37 tehdit aktörü, sürekli olarak kendini yenilemektedir. Bu yenilikçi ve gizli taktikler, onların küresel siber güvenlik açısından ciddi bir tehdit olduğunu göstermektedir. Aynı zamanda siber güvenliğin, ülkeler için ne kadar öncelikli hale gelmesi gerektiğini de bir kez daha ortaya koymaktadır.