Scattered Spider, tek ve organize bir tehdit grubu yerine bağımsız kümelerden oluşan merkezi olmayan bir siber suç topluluğu olarak yeniden sınıflandırıldı.
7 Haziran'da yayınlanan Grup-IB analizi, birden fazla aktörün ayrı ayrı çalışırken taktikleri, araçları ve toplulukları paylaştığını öne sürerek, faaliyetin tek bir koordineli operasyon olduğu yönündeki geleneksel görüşe meydan okuyor.
Firma, bu modelin, Scattered Spider'a atfedilen faaliyetin, bazı iddia edilen üyeleri hedef alan tutuklamalara ve engelleme çabalarına rağmen neden devam ettiğini açıklamaya yardımcı olduğunu söyledi.
Farklı güvenlik sağlayıcıları tarafından 0ktapus, Muddled Libra, Octo Tempest ve UNC3944 gibi isimler altında da takip edilen grup, 2022'den bu yana çok sayıda yüksek profilli olayla ilişkilendirildi.
Dağınık Örümcek saldırıları hakkında daha fazlasını okuyun: Dağınık Örümcek Üyesinin ABD'ye İade Edildiği İddiası
Sistem Güvenliği
Yapıdan ziyade Taktiklerle Birbirine Bağlı Bir Kolektif
Group-IB'nin araştırması, Scattered Spider'ın merkezi bir hiyerarşi veya paylaşılan liderlik yapısıyla çalışmadığını savundu. Bunun yerine firma, bunu ortak teknikler, araçlar ve çevrimiçi topluluklar yoluyla birbirine bağlanan bir dizi daha küçük kümelenme olarak tanımladı.
Sonuç ve Değerlendirme
Analiz, yapıyı, ayrı grupların doğrudan koordinasyon gerektirmeden ortak bir kimlik altında faaliyet gösterdiği Anonim hacktivist kolektif yapısıyla karşılaştırdı.
Raporda ayrıca daha önce Scattered Spider'a atfedilen bazı faaliyetlerin alakasız aktörler tarafından gerçekleştirilmiş olabileceği de belirtildi.
Detaylar ve Etkileri
Group-IB, 0ktapus takibini Marks & Spencer ve Co-op saldırılarıyla bağlantılı kümeden özellikle ayırdı ve bunların aynı kişiler tarafından gerçekleştirildiğine dair hiçbir kanıt bulunmadığını belirtti.
Teknik Analiz
Firma, gözlemlenen kümeler arasında aşağıdakiler de dahil olmak üzere yinelenen birkaç hedefleme modeli belirledi:
Erişim noktası olarak kullanılan teknoloji ve iletişim şirketlerindeki çalışanlar
SIM değiştirme operasyonları için hedeflenen mobil operatör personeli
Gelecekte Ne Bekleniyor?
Dolandırıcılık kampanyalarıyla hedeflenen kripto para birimi kullanıcıları
Gasp ve fidye yazılımı faaliyeti nedeniyle riske atılan şirketler
Sosyal Mühendislik Operasyonların Merkezinde Kalmaya Devam Ediyor
Gruplar arasındaki farklılıklara rağmen Grup-IB, sosyal mühendisliğin Dağınık Örümcek etkinliğinde ortak bir konu olmaya devam ettiğini buldu. Saldırganlar, çalışanları kimlik bilgileri veya erişim sağlamaya ikna etmek için sıklıkla BT, güvenlik veya insan kaynakları ekiplerinin kimliğine bürünür.
Araştırma, saldırganların genellikle Okta, Microsoft, Citrix ve Google gibi kimlik sağlayıcıların kimliğine bürünen kimlik avı sayfalarını kullandığını ortaya çıkardı.
Group-IB ayrıca kurumsal uzlaşmaları kripto para hırsızlığı operasyonlarıyla birleştiren bazı kümeleri de gözlemledi. Saldırganlar, kripto para birimi kullanıcılarını hedef almak için çalıntı kimlik bilgilerini, SIM takaslarını ve kimlik avı kampanyalarını kullanırken aynı zamanda potansiyel kurbanlar hakkında istihbarat toplamak için kuruluşların güvenliğini tehlikeye attı.
Uzmanların Görüşleri
Raporda, bazı kümelerin aynı zamanda AnyDesk gibi ticari uzaktan erişim araçlarını kullandığı ve yetkisiz erişime yardımcı olmak için telekomünikasyon şirketlerinden içerideki kişileri işe aldığı belirtildi.
Group-IB, Dağınık Örümcek'in merkezi olmayan yapısının, bireysel üyeleri hedef alan tutuklamaların daha geniş tehdidi ortadan kaldırma ihtimalinin düşük olduğu anlamına geldiği sonucuna vardı.
Bunun yerine kuruluşlar, kümeler arasında kullanılan ortak taktiklere, özellikle de kimlik temelli saldırılara ve sosyal mühendislik girişimlerine karşı savunmaya odaklanmalıdır.
