Bir Hacker Kümesi Kurumsal e-Posta ve FTP Trafiğini İzliyor

Şirketin bildirdiğine nazaran iki farklı küme bulunuyor. İki hacker kümesinden birincisinin daha karmaşık olduğu görülüyor. Qihoo'ya nazaran kümenin, geçen yıl 4 Aralık'ta DrayTek aygıtlarına epeyce karmaşık bir akın yaptığı radarlar tarafından belirlendi. Qihoo, tıpkı kümenin yönlendiricinin kullanıcı ismi ve oturum açma alanındaki makus gayeli kodu gizlemek için DrayTek aygıtlarının RSA şifreli oturum açma sistemindeki bir güvenlik açığını berbata kullandığını söyledi.

Araştırmacılar, bilgisayar korsanlarının 21 numaralı irtibat noktası (FTP – evrak aktarımı), 25 numaralı ilişki noktası (SMTP – e-posta), 110 numaralı temas noktası (POP3 – e-posta) ve 143 numaralı temas noktası (IMAP – e-posta) üzerinden gelen trafiği kaydeden bir komut belgesi kullandığını kelamlarına ekledi. Qihoo araştırmacıları, bilgisayar korsanlarının neden FTP ve e-posta trafiği topladığını kestirim etmediklerini, lakin yapılan görüşmelerde, bir güvenlik araştırmacısı bunun klasik bir keşif operasyonu üzere göründüğüne dikkat çektikten sonra durumun açığa çıktığını söyledi.

Ek olarak, öbür bir kaynaktan, kümenin akın kampanyasının fark edilmediğinin ve öteki siber güvenlik firmaları tarafından müşahede altında tutulduğunun da anlaşıldığı bildirildi. Ancak kümenin rastgele bir sunucu altyapısını yahut makus gayeli yazılım örneğini bilinen öbür bir bilgisayar korsanlığı kümesiyle paylaşmadığı söylendi; bu nedenle şimdilik yeni bir küme üzere göründüğü paylaşıldı.

Bir küme hacker daha var

DrayTek aygıtları Qihoo'nun ‘Saldırı Kümesi B’ ismini verdiği ikinci bir küme tarafından da berbata kullanıldı. Bu küme farklı günlerde ortaya çıktı, lakin bilgisayar korsanları bunu kendileri keşfetmedi. Qihoo'ya nazaran, bilgisayar korsanları bu ikinci saldırıyı, muhakkak yönlendiricilerde art kapı hesapları oluşturmak için “rtick” sürecindeki bir yanlıştan yararlanarak gerçekleştirdi. Bu hesaplarla ne yaptıkları ise hala tam olarak bilinmiyor. Şirket, hususla ilgili araştırmalarını sürdürmeye ve yeni bilgiler yayınlamaya devam ediyor.