Korsanlar, siyasi, mali veya kişisel nedenlerle hareket edebilirler.
Zararlı Yazılım Geliştiricileri (Malware Developers): Zararlı yazılım (virüsler, solucanlar, truva atları, casus yazılımlar vb.) geliştirerek bilgisayar sistemlerini etkileyen kişiler veya gruplar.
Sosyal Mühendislik Uzmanları (Social Engineering Experts): Sosyal mühendislik, insanları manipüle ederek kişisel bilgileri veya gizli bilgileri elde etmek amacıyla kullanılır. Fiziksel veya dijital yöntemlerle gerçekleştirilebilir.
Devlet Desteği Alan Aktörler (State-Sponsored Actors): Devletler veya devlet destekli gruplar, siber casusluk, sabotaj veya ulusal çıkarlarına zarar vermek amacıyla siber saldırılar düzenleyebilir.
Dolandırıcılar (Scammers): İnternet üzerinde sahte kimliklerle veya hileli yöntemlerle insanları kandıran kişiler. Dolandırıcılar, genellikle maddi kazanç elde etmek veya kişisel bilgileri çalmak için faaliyet gösterir.
Aktivist Gruplar (Activist Groups): Belirli sosyal veya politik amaçları olan gruplar, internet üzerinden hedefledikleri kurum veya bireylere yönelik siber saldırılar düzenleyebilirler.
Şantajcılar (Extortionists): Kişisel veya kurumsal verileri ele geçirip bunları yaymak veya zarar vermekle tehdit ederek fidye talep eden kişiler veya gruplar.
Botnet Operatörleri: Binlerce hatta milyonlarca enfekte cihazdan oluşan botnetler aracılığıyla siber saldırılar düzenleyen kişiler.
Ajanlar (Spies): Dijital casusluk faaliyetleri yürüten istihbarat ajansları veya diğer benzer organizasyonlar.
6 aylık dönemler halinde yayımlanan rapor bu dönemde, Ke3chang ve Mustang Panda gibi Çin bağlantılı tehdit aktörleri Avrupa şirketlerine odaklandı. İsrail’de, İran bağlantılı grup, OilRig, yeni bir özel arka kapı dağıttı. Kuzey Kore ile bağlantılı gruplar, Güney Kore’deki ve Güney Kore ile ilgili şirketlere odaklanmaya devam etti. Rusya ile bağlantılı APT grupları özellikle Ukrayna ve AB ülkelerinde aktifti. Sandworm, siliciler yerleştirdi.
ESET APT Faaliyet Raporunda belirtilen kötü amaçlı faaliyetler, ESET teknolojisi tarafından algılanıyor. ESET Tehdit Araştırma Yöneticisi Jean-Ian Boutin bu konuda şunları söyledi: “ESET ürünleri, müşterilerimizin sistemlerini bu raporda belirtilen kötü amaçlı faaliyetlere karşı koruyor. Burada paylaşılan istihbarat çoğunlukla tescilli ESET telemetrisine dayanıyor ve ESET Research tarafından doğrulanmıştır.”
Çin bağlantılı Ke3chang, yeni bir Ketrican varyantının dağıtılması gibi yöntemlere başvururken Mustang Panda iki yeni arka kapı kullandı. MirrorFace, Japonyayı hedef aldı ve yeni kötü amaçlı yazılım dağıtım yaklaşımları uygularken, ChattyGoblin Operasyonu destek temsilcilerini hedef alarak Filipinler’deki bir kumar şirketini ele geçirdi. Hindistan’a bağlı gruplar SideWinder ve Donot Team, Güney Asya’daki hükumet kurumlarını hedef almaya devam ederken, SideWinder Çin’deki eğitim sektörünü hedef aldı ve Donot Team, kötü üne sahip yty çerçevesini geliştirmeye devam etti ancak aynı zamanda piyasadaki Remcos RAT’ı da devreye aldı. Ayrıca ESET, Güney Asya’da çok sayıda Zimbra web postası kimlik avı girişimi tespit etti.
Kuzey Kore bağlantılı bir grup olan Lazarus, Boeing içeriğine sahip sahte bir iş teklifiyle Polonya’daki bir savunma şirketinin çalışanlarını hedeflemenin yanı sıra, Accenture içerikli bir yem kullanarak her zamanki hedeflerinden farklı olarak Hindistan’daki bir veri yönetimi şirketine odaklandı. Ayrıca ESET, kampanyalarından birinde kullandıkları bir Linux kötü amaçlı yazılımını da belirledi. Bu yeni keşfedilen kötü amaçlı yazılımıyla benzerlikler, 3CX tedarik zinciri saldırısının arkasında kötü bir üne sahip Kuzey Kore bağlantılı grubun olduğu teorisini destekliyor.
Rusya ile bağlantılı APT grupları özellikle Ukrayna ve AB ülkelerinde aktifti. Bu gruplar, silici yerleştiren Sandworm’un (SwiftSlicer olarak ESET’in adlandırdığı yeni bir tane daha) yanı sıra Gamaredon, Sednit ve hedefe yönelik kimlik avı e-postaları gönderen Dukes kullandı. Bunun bir örneğine Dukes’da olduğu gibi Brute Ratel olarak bilinen kırmızı ekip implantının uygulanmasında rastlıyoruz. Son olarak, ESET daha önce bahsettiğimiz Zimbra e-posta platformunun özellikle Avrupa’da aktif bir grup olan Winter Vivern tarafından da suistimal edildiğini tespit etti ve hedefe yönelik kimlik avı e-postaları ile Orta Asya ülkelerinin hükumet üyelerini hedef alan SturgeonPhisher grubunun faaliyetlerinde önemli bir azalma kaydetti. Bu tespitten sonra ESET, grubun kendini yenileme durumuna geçtiğini düşünüyor. (BSHA)