16 min readApr 24, 2023

Finans Endüstrisini Hedef Alan Potansiyel Siber Tehditler

Giriş

Internet tarihi 1950’li yıllarda bilgisayarların gelişmesiyle başlamaktadır. Paket ağlarının yani ilkel internetin ilk tasarımları ABD, Ingiltere ve Fransa devletlerindeki laboratuvarlarda başlayarak şekillenmiştir. Günümüzde herkes tarafından bilinen veya en azından kulak aşinalığı olan ARPANET üzerinden ilk mesaj Kaliforniya Üniversitesi (UCLA) bünyesinde çalışan Profesör Leonard Kleinrock’un laboratuvarından Standford Araştırma Enstitüsü bünyesinde bulunan bir bilgisayara iletilmiştir. Daha sonrasında 1980’lerde Tim Berners-Lee’nin “World Wide Web (www)” geliştirmesiyle birlikte günümüzde son kullanıcılara kadar internetin varlığıyla modern internet şekillenmiştir.

İnsanlar interneti ilk etapta iş, eğlence ve hız için kullanmaya başlamış ve büyük ölçüde her alanda hayatlarına sokmaya başlamışlardır. İnternetin son kullanıcıdaki yaygınlaşmasıyla birlikte birçok norm geliştirilmiştir. Genel olarak masum halde kullanılan internet daha sonrasında meraklı insanların yaratıcı zekasıyla birleşip bilinen ilk zararlı yazılımları ortaya çıkarmıştır. Bilinen en eski zararlı yazılım bir Cuckoo’s Egg (Trojan) ve sonrasında bilinen en eski kurtçuk (worm) olan Morris Worm ortaya çıkmıştır. Cuckoo’s Egg’den ziyade Morris Worm, yaratıcısının iddiasına göre aslında ilk olarak eğlence amaçlı yazılmış ve internete yayılabileceği tahmin edilmemiştir. Böylelikle farkında olmadan ilk siber saldırılar gerçekleşmiştir. Temelinde bu şekilde başlayan siber saldırılar bugün çok büyük karmaşık yöntemler ve şekillere bürünmüş, devlet arası çıkar ve savaş durumlarında, politik olarak, şirketler arası rekabet doğrultusunda, endüstriyel hırsızlıkta

kullanılır boyutlara gelmiştir. Bu kadar ilerlemesinin temelinde elbette ki bilgisayar ve internet dünyasındaki yıkıcı gelişmeler sayesinde olmuştur.

İş dünyasında şirketler birbirleriyle rekabet edebilmek için bilgisayar sistemlerini, ağları ve yazılımları en üst düzeyde aktif olarak kullanmaya gayret edip, güç eşittir hız mantığıyla hareket etmektedir. Günün sonunda tüm bu sistemleri yaratan, bu yazılımları yazan insan beyniyle kurgulanıp, insan eliyle düzenlenip, yazılmaktadır. Artık klişe olabilecek bir söz olan “En zayıf halka insandır” kalıbı geçerliliğini korumaktadır. İnternette gölgelerde dolaşan aktörler insanların sistemlerindeki basit bir konfigürasyon hatasını, yazılımlardaki basit bir zafiyetli betik veya insanın en temel duygularını sömürerek organizasyonların sistemlerine sızıp, kimi zaman politik, kimi zaman ise finans odaklı saldırılar gerçekleştirmektedirler. Sektör bağımsız her yıl milyarlarca dolar zarara uğratmaktadır.

Finans sektörünün hedef alınması birden fazla açıdan devletleri etkilemekte ve bu sebepten ötürü birçok devletin kritik altyapı sistemleri sınıfında bulunmaktadır. Finans sektörüne gelebilecek herhangi bir zarar devletleri çok güç durumlara düşürebilmektedir. Bu argümanı destekleyecek en güzel örnekler Estonya DDoS saldırısı (2007) ve Gürcistan-Rusya savaşı (2008) olaylarıdır. Her iki olayda da devletin kritik altyapısı olan enerji, sağlık vb. kurumlar hedef alınırken aynı zamanda ülkelerdeki bankalar ve finans kurumları da hedef alınmış ve büyük ölçüde krize yol açmıştır.

Bizzat içinde bulunduğumuz finans sektörünün karşı karşıya kaldığı tehlike ve riskleri ele alacak, yakın ve güncel tarihte finans sektörü özelinde gerçekleşen siber olaylar, bu olayların sektöre etkileri, sektörün hali hazırdaki konumu, finans sektörünü hedef alan APT gruplarının listesi, kullandıkları teknikler ve yazılımlar, alınabilecek önlemler, olası bir siber olay sonrası müdahale planı ve sonuç aşaması ele alınacaktır.

Finans Sektörünün Halihazırdaki Durumu

inans sektörü, İngilizce terminolojisi olarak APT (Advanced Persisten Threat) olan Türkçe terminolojiye çevirecek olursak Gelişmiş Kalıcı Tehdit grupları için cezbedici bir sektördür. Bunun en büyük sebebi tahmin edilebileceği üzere paranın bir şekilde kaynağı ya da kanalı olmasıdır. Finans sektörüne yapılan bir saldırıdan sonraki ortalama zarar her bir veri sızıntısı için 230$ civarı bir rakama tekabül etmektedir. Bu rakam sağlık sektörüne verilen birim başına zarardan sonraki en büyük orandır. Ancak burada paradan ziyade en büyük zarar şirketlerin saygınlığıdır. Siber saldırılardan sonra gerçekleştirilen sızıntılar, şirketleri rakipleri ve halkın karşısında küçük düşürmektedir. Bir başka örnek vermek gerekirse 2016 yılında hackerlar Bangladesh Merkez Bankasını hedef alıp SWIFT sistemindeki zafiyeti sömürerek küresel finans sisteminin ana elektronik ödeme mesajlaşma sistemi, 1 milyar dolar çalmaya çalışmıştır.

Güncel zamanda finans sektörünü hedef alan siber tehdit aktörleri genel olarak devlet destekli gruplar, siber suç örgütleri, terörist, hacktivist ve iç tehdit unsurlarıdır. Temelde motivasyonları, jeopolitik konular, ideolojik konular ve finansaldır. IMF’nin sitesinde bu husus güzel bir görsel ile ele alınmıştır.

Kaynak: https://www.imf.org/external/pubs/ft/fandd/2021/03/global-cyber-threat-to-financial-systems-maurer.htm

Yukarıdaki görselde de anlatıldığı gibi günümüzde siber tehdit aktörlerinin motivasyonlar, hedefleri ve örnekleri bu çerçevede şekillenmektedir. Tabi bu siber saldırıları gerçekleştirmek için her bir tehdit aktörünün kendine ait gelişmiş ve karmaşık saldırı yöntemleri mevcuttur. Ancak finans sektöründeki tehdit trendlerine bakıldığı zaman ana tehditler şu şekilde sıralanabilir:

Fidye Yazılımı (Ransomware)
Zararlı Yazılım (Malware)
Sosyal Mühendislik (Social Engineering)
Verilere Yönelik Tehditler (Threats against data)
Kullanılabilirliğe Yönelik Tehditler: Hizmet Aksatma (Threats against availability: Denial of Service)
Kullanılabilirliğe Yönelik Tehditler: İnternet Tehditleri
Dezenformasyon — Yanlış Bilgilendirme (Disinformation — misinformation)
Tedarik Zinciri Saldırıları (Supply Chain Attacks)

Yukarıdaki infografikte verilen değerler incelendiğinde yeşil olarak belirtilen finans sektörü gözle görülebilir bir şekilde yer kaplamaktadır. 2021–2022 Yılları arasını gösteren bu görsel günümüzde de güncelliğini korumakla birlikte her geçen gün artmaktadır.

Aşağıda bankacılık ve finans sektörüne yönelik 2023 yılında gerçekleştirilen bazı saldırılar sonrası veri sızıntısı örneklerini görebilirsiniz:

Hint menşeili HDFC bankasının hacklenip, elde edilen verilerin dark & deep web forumlarında verilerinin satışa çıkarılmasına dair bir gönderi paylaşılmış durumda.

Bir diğer örnek olarak Afrika bankasına ait veriler yine açık arttırma yöntemiyle alıcılarını beklemektedir.

Aşağıda verilen görselde Türkiye’yi aktif olarak finans sektöründe hedef alan tehtid aktörlerinin örnekleri verilmiştir. Görüldüğü üzere birbirinden farklı grup isimleri, hedef aldıkları sektörler, hedef aldıkları ülkeler ve kaynak olarak belirlenen ülkelerin listesi yer almaktadır.

Bilinen En Büyük Bankacılık Hacking Olayı Carbanak

Finans / Bankacılık sektöründe bilinen en büyük hacklenme olayı Carbanak & Cobalt ‘a aittir. Siber suç çetesi, 2013’ten bu yana, tasarladıkları Carbanak ve Cobalt olarak bilinen kötü amaçlı yazılımları kullanarak bankalara, e-ödeme sistemlerine ve finans kurumlarına saldırmaya çalıştı. Suç operasyonu 40'tan fazla ülkedeki bankaları vurdu ve finans sektörü için toplam 1 milyar Euro’nun üzerinde kayıpla sonuçlandı. Kayıpların boyutu önemli: Tek başına Cobalt kötü amaçlı yazılımı, suçluların soygun başına 10 milyon Euro’ya kadar çalmasına izin verdi.

Kaynak: https://www.europol.europa.eu/media-press/newsroom/news/mastermind-behind-eur-1-billion-cyber-bank-robbery-arrested-in-spain#downloads

Organize suç grubu, yüksek teknolojili suç faaliyetlerine 2013 yılının sonlarında, dünya genelindeki finans kurumlarının finansal transferlerini ve ATM ağlarını hedef alan Anunak kötü amaçlı yazılım kampanyasını başlatarak başladı. Ertesi yıl, aynı geliştiriciler, Anunak kötü amaçlı yazılımını, 2016 yılına kadar kullanılan ve Carbanak olarak bilinen daha gelişmiş bir sürüme dönüştürdü. Cobalt Strike penetrasyon testi yazılımına dayalı özel yapım kötü amaçlı yazılımı geliştirmişlerdir.

Tüm bu saldırılarda benzer bir yöntem kullanıldı. Suçlular, banka çalışanlarına gerçek şirketlerin kimliğini taklit ederek kötü amaçlı bir ek içeren hedef odaklı kimlik avı e-postaları gönderirdi. Kötü amaçlı yazılım indirildikten sonra, suçluların kurbanların virüslü bilgisayarları uzaktan kontrol etmelerine, dahili bankacılık ağına erişmelerine ve ATM’leri kontrol eden sunuculara bulaşmalarına izin verdi. Bu onlara parayı nakde çevirmek için ihtiyaç duydukları tüm bilgiyi sağlamış oldu. Günün sonunda birden fazla ülkede yapılan İnterpol operasyonlarında ele başı tutuklandı.

Finans sektörü de dahil olmak üzere genel olarak tehdit aktörleri zarar vermek istedikleri kurumlara belirli yöntemlerle sızmaktadır. Konumuz olan Carbanac’ın nasıl dünyanın en büyük bankaları ve kurumlarına sızdığını adım adım aşağıda gösterilmiştir.

Nasıl Çalışır?

Yukarıdaki görselde, ilk adım olarak grubun yazılımcıları zararlı yazılımı geliştirmiştir. Daha sonrasında geliştirilen zararlı yazılım, özenle hazırlanmış bir Spear-Phishing (Belirli kişi veya grubu hedef alan oltalama saldırısı) e-postasını banka çalışanlarına makinelerini enfekte etmek için gönderilmiştir. İkinci aşama olarak sızma ve enfekte adımı gerçekleşmektedir. Bu adımda zararlı yazılım iç ağda ATM’leri kontrol eden sunuculara bulaşmıştır.

İkinci görsel sızma ve bulaşma işlemleri tamamlandıktan sonra gerçekleşen kısımdır. Siber suç grubu, çaldıkları paraları kendilerine ait yabancı banka hesaplarına aktarmışlardır aynı zamanda banka hesaplarındaki parayı arttırarak ATM’lerden çekmiştir. Son olarak çekilen bütün paralar kripto paraya çevrilerek aklanmakta ve takip edilebilirliği yok edilmektedir.

Buradan farkındalık alınması gereken nokta, çoğu siber saldırıda ortak olarak kullanılan yöntemin varlığını anlamaktır. İlgili zararlı, bir e-posta ile şirket çalışanına yem olarak gönderilip açılmasıyla ilk erişime sahip olmuşlardır. Bu noktada çalışanların siber güvenlik farkındalıklarının yüksek olması şirketleri çok büyük zararlardan korumaktadır. Her şirket çalışanı aslında fiilen şirketin siber güvenliğinden de sorumludur.

Finans Sektörünü Hedef Alan Global APT Grupları

admin@338:

“admin@338”, Çin merkezli bir siber tehdit grubudur. Daha önce haber değeri taşıyan olayları kötü amaçlı yazılım dağıtmak için yem olarak kullandı ve genellikle PoisonIvy gibi halka açık RAT’leri ve bazı kamuya açık olmayan arka kapıları kullanarak finansal, ekonomik ve ticaret politikasıyla ilgili kuruluşları hedef aldı.

Kullanılan Teknikler:

T1087, T1059, T1203, T1083, T1036, T1069, T1566, T1082, T1016, T1049, T1007, T1204

Kullandıkları Zararlı Yazılımlar:

BUBBLEWRAP, ipconfig, LOWBALL, Net, netstat, Poisonlvy, Systeminfo

Andariel:

“Andariel, en az 2009'dan beri faaliyet gösteren, Kuzey Kore devlet destekli bir tehdit grubudur. Andariel, yıkıcı saldırılar da dahil olmak üzere operasyonlarını öncelikle Güney Kore devlet kurumlarına, askeri kuruluşlara ve çeşitli yerel şirketlere odaklamıştır. Ayrıca ATM’lere, bankalara ve kripto para borsalarına karşı siber finansal operasyonlar yürüttüler.

Andariel’in dikkate değer faaliyetleri arasında Kara Maden Operasyonu, GoldenAxe Operasyonu yer alır.

Andariel, Lazarus Group’un bir alt kümesi olarak kabul edilir ve Kuzey Kore’nin Genel Keşif Bürosuna atfedilir.

Kuzey Kore grup tanımlarının önemli ölçüde örtüştüğü biliniyor ve bazı güvenlik araştırmacıları, kümeleri veya alt grupları izlemek yerine tüm Kuzey Kore devlet destekli siber faaliyetleri Lazarus Grubu adı altında rapor ediyor.

Kullanılan Teknikler:

T1005, T1119, T1203, T1592, T1590, T1105, T1027, T1588, T1566, T1057, T1049, T1204

Kullandıkları Zararlı Yazılımlar:

gh0stRAT, Rifdoor

APT-C-36:

APT-C-36, en az 2018'den beri faaliyet gösteren şüpheli bir Güney Amerika casusluk grubudur. Grup, ağırlıklı olarak Kolombiya devlet kurumlarının yanı sıra finans sektörü, petrol endüstrisi ve profesyonel imalat sektörlerindeki önemli şirketleri hedef almaktadır.

Kullanılan Teknikler:

T1059, T1105, T1036, T1571,T1027, T1588, T1566, T1053, T1204

Kullandıkları Zararlı Yazılımlar:

Imminent Monitor

APT19:

APT19, savunma, finans, enerji, ilaç, telekomünikasyon, yüksek teknoloji, eğitim, üretim ve yasal hizmetler dahil olmak üzere çeşitli sektörleri hedef alan Çin merkezli bir tehdit grubudur. 2017'de yedi hukuk ve yatırım firmasını hedef alan bir kimlik avı kampanyası kullanıldı. Bazı analistler APT19 ve Deep Panda’yı aynı grup olarak izliyor, ancak açık kaynak bilgilerinden grupların aynı olup olmadığı net değil.

Kullanılan Teknikler:

T1071, T1547, T1059, T1543, T1132, T1140, T1189, T1564, T1574, T1112, T1027, T1588, T1566, T1218, T1082, T1016, T1033, T1204

Kullandıkları Zararlı Yazılımlar:

Cobalt Strike, Empire

APT38:

APT38, finansal siber operasyonlarda uzmanlaşmış, Kuzey Kore devlet destekli bir tehdit grubudur; yani aslında Genel Keşif Bürosu’na atfedilmiştir. 2014'ten beri aktif olan APT38, dünya çapında en az 38 ülkede bankaları, finans kurumlarını, kumarhaneleri, kripto para borsalarını, SWIFT sistem uç noktalarını ve ATM’leri hedef aldı.

Önemli operasyonlar arasında APT38'in 81 milyon dolar çaldığı 2016 Bank of Bangladeş soygununun yanı sıra Bancomext (2018) ve Banco de Chile’ye (2018) yönelik saldırılar; saldırılarından bazıları yıkıcı oldu. Kuzey Kore grup tanımlarının önemli ölçüde örtüştüğü bilinmektedir ve bazı güvenlik araştırmacıları, kümeleri veya alt grupları izlemek yerine Kuzey Kore devlet destekli tüm siber etkinlikleri Lazarus Group adı altında rapor etmektedir.

Kullanılan Teknikler:

T1071, T1217, T1110, T1115, T1059, T1543, T1485, T1486, T1005, T1565, T1561, T1189, T1083, T1562, T1070, T1105, T1056, T1112, T1106, T1135, T1027, T1588, T1566, T1057, T1053, T1105, T1518, T1218, T1082, T1049, T1033, T1569, T1529, T1204

Kullandıkları Zararlı Yazılımlar:

DarkComet, ECCENTRICBANDWAGON, HOPLIGHT, KillDisk, Mimikatz, Net

APT41:

APT41, araştırmacıların Çin devleti destekli casusluk grubu olarak değerlendirdiği ve mali amaçlı operasyonlar da yürüten bir tehdit grubudur. 2012'den beri aktif olan APT41'in 14 ülkede sağlık, telekom, teknoloji, finans ve video oyun sektörlerini hedef aldığı gözlemlendi. APT41, en azından kısmen, BARIUM ve Winnti Group dahil olmak üzere gruplara ilişkin kamuya açık raporlarla eşleşmektedir.

Kullanılan Teknikler:

T1071, T1560, T1197, T1547, T1110, T1059, T1136, T1543, T1486, T1005, T1568, T1546, T1480, T1190, T1203, T1133, T1008, T1083, T1574, T1070, T1105, T1056, T1036, T1112, T1104, T1046, T1135, T1027, T1566, T1542, T1055, T1090, T1021, T1496, T1014, T1053, T1553, T1195, T1195, T1218, T1016, T1049, T1033, T1569, T1078, T1102, T1047

Kullandıkları Zararlı Yazılımlar:

ASPXspy, BITSADMIN, BLACKCOFFEE, certutil, China Copper, Cobalt Strike, Derusbi, Empire, ftp, ipconfig, MESSAGETAP, Mimikatz, Net, netstat, njRAT, Ping, PlugX, PowerSploit, pwdump, ROCKBOOT, ShadowPad, Winni for Linux, ZxShell

BlackTech:

BlackTech, 2013'ten beri öncelikle Doğu Asya’daki kuruluşları (özellikle Tayvan, Japonya ve Hong Kong) ve ABD’yi hedef alan şüpheli bir Çin siber casusluk grubudur. BlackTech, özel kötü amaçlı yazılım, çift kullanımlı araçlar ve medya, inşaat, mühendislik, elektronik ve finans şirketi ağlarını tehdit etmektedir.

Kullanılan Teknikler:

T1190, T1203, T1574, T1036, T1106, T1046, T1588, T1566, T1021, T1204

Kullandıkları Zararlı Yazılımlar:

Flagpro, Kivars, PLEAD, PsExec, TSCookie, Waterbear

Carbanak:

Carbanak, 2013'ten beri finansal kurumları hedef almak için Carbanak kötü amaçlı yazılımını kullanan bir siber suç grubudur. Carbanak, aynı zamanda Carbanak kötü amaçlı yazılımını kullanmış olan Cobalt Group ve FIN7 olarak ayrı ayrı izlenen gruplarla bağlantılı olabiliceği tahmin edilmektedir.

Kullanılan Teknikler:

T1543, T1562, T1036, T1588, T1219, T1218, T1078, T1102

Kullandıkları Zararlı Yazılımlar:

Flagpro, Kivars, PLEAD, PsExec, TSCookie, Waterbear

Cobalt Group:

Cobalt Group, 2016'dan bu yana öncelikle finansal kurumları hedef alan, mali amaçlı bir tehdit grubudur. Grup, ATM sistemlerini, kart işlemeyi, ödeme sistemlerini ve SWIFT sistemlerini hedef alarak para çalmak için izinsiz girişler gerçekleştirmiştir. Cobalt Group, ağırlıklı olarak Doğu Avrupa, Orta Asya ve Güneydoğu Asya’daki bankaları hedef aldı. İddia edilen liderlerden biri 2018'in başlarında İspanya’da tutuklandı, ancak grup hala aktif görünüyor. Grubun, erişimlerini kullanmak ve daha sonra ek kurbanları tehlikeye atmak için kuruluşları hedef aldığı biliniyor. Raporlar, Cobalt Group ile hem Carbanak kötü amaçlı yazılımı hem de Carbanak grubu arasında bağlantılar olabileceğini gösteriyor.

Kullanılan Teknikler:

T1548, T1071, T1547, T1037, T1059, T1543, T1573, T1203, T1068, T1070, T1105, T1559, T1046, T1027, T1588, T1566, T1055, T1572, T1219, T1021, T1053, T1518, T1195, T1218, T1204, T1220