ESET Research, halen büyümekte olan ve en az 15 yıllık faaliyeti boyunca yüz binlerce sunucuyu ele geçiren, en gelişmiş sunucu tarafı kötü amaçlı yazılım kampanyalarından biri olan Ebury grubuna yönelik derinlemesine araştırmasını yayımladı.
Kötü şöhretli Ebury grubunun ve botnetinin yıllar boyunca gerçekleştirdiği faaliyetler arasında spam yayma, web trafiğini yeniden yönlendirme ve kimlik bilgisi çalma yer alıyor. Son yıllarda kredi kartı ve kripto para hırsızlığına da yöneldi. Ebury, yaklaşık 400 bin Linux, FreeBSD ve OpenBSD sunucusunu tehlikeye atmak için bir arka kapı olarak kullanıldı; 2023’ün sonlarında 100 binden fazlası hala tehlikedeydi.
ESET on yıl önce, merkezinde Ebury kötü amaçlı yazılım ailesinin yer aldığı ve birden fazla kötü amaçlı yazılım ailesinin bir arada kullanıldığı Windigo Operasyonu hakkında bir teknik doküman yayımlamıştı. 2021 yılının sonlarında, Hollanda ulusal polisinin bir parçası olan Hollanda Ulusal Yüksek Teknoloji Suç Birimi (NHTCU), Ebury kötü amaçlı yazılımıyla ele geçirildiğinden şüphelenilen Hollanda’daki sunucularla ilgili olarak ESET’e ulaştı. Bu şüphelerin haklı olduğu ortaya çıktı ve NHTCU’nun yardımıyla ESET Araştırma, Ebury tehdit aktörleri tarafından yürütülen operasyonlar hakkında önemli ölçüde görünürlük kazandı.
Ebury’yi on yıldan uzun bir süredir araştıran ESET araştırmacısı Marc-Etienne M. Léveillé; “Windigo makalesinin 2014 yılı başlarında yayımlanmasının ardından, faillerden biri 2015 yılında Finlandiya-Rusya sınırında tutuklandı ve daha sonra ABD’ye iade edildi. Başlangıçta masum olduğunu iddia eden bu kişi, Minneapolis’teki ABD Bölge Mahkemesi’nde görülecek ve ESET araştırmacılarının tanıklık yapacağı duruşmadan birkaç hafta önce, 2017 yılında suçlamaları kabul etti.” dedi.
Ebury botneti, kripto para cüzdanlarını, kimlik ve kredi kartı bilgilerini çalmak için kullanıldı
En az 2009’dan beri aktif olan Ebury, bir OpenSSH arka kapısı ve kimlik bilgisi hırsızı. Ek kötü amaçlı yazılımları dağıtmak için kullanılır: Botnetten para kazanmak (web trafiği yeniden yönlendirme modülleri gibi), spam için proxy trafiği, ortadaki düşman saldırıları (AitM) gerçekleştirmek ve destekleyici kötü amaçlı altyapıyı barındırmak. ESET, AitM saldırılarında Şubat 2022 ile Mayıs 2023 arasında 34 farklı ülkede 75’ten fazla ağda 200’ün üzerinde hedef gözlemledi. Operatörleri Ebury botnetini, kripto para cüzdanlarını, kimlik ve kredi kartı bilgilerini çalmak için kullandı. ESET, Apache modülleri ve web trafiğini yeniden yönlendirmek için bir çekirdek modülü de dahil olmak üzere, çete tarafından finansal kazanç için yazılan ve dağıtılan yeni kötü amaçlı yazılım ailelerini ortaya çıkardı. Ebury operatörleri ayrıca sunucuları toplu olarak tehlikeye atmak için yönetici yazılımındaki sıfır gün güvenlik açıklarını kullandı.
Bir sistem ele geçirildikten sonra bir dizi ayrıntı dışarı sızar. Bu sistemde elde edilen parolalar ve anahtarlar kullanılarak kimlik bilgileri, ilgili sistemlere giriş yapmayı denemek için yeniden kullanılır. Ebury’nin her yeni ana sürümü bazı önemli değişiklikler ve yeni özellikler ve gizleme teknikleri sunar.
“Barındırma sağlayıcılarının altyapısının Ebury tarafından tehlikeye atıldığı vakaları belgeledik. Bu vakalarda, Ebury’nin bu sağlayıcılar tarafından kiralanan sunuculara, kiracılara hiçbir uyarı yapılmadan yerleştirildiğini gördük. Bu durum Ebury aktörlerinin aynı anda binlerce sunucuyu tehlikeye atabildiği vakalarla sonuçlandı,” diyor Léveillé. Ebury için coğrafi bir sınır yok; dünyanın neredeyse tüm ülkelerinde Ebury ile tehlikeye atılmış sunucular var. Bir barındırma sağlayıcısı tehlikeye girdiğinde aynı veri merkezlerinde çok sayıda sunucunun tehlikeye girmesine yol açtı. Aynı zamanda, hiçbir dikey alan diğerlerinden daha fazla hedef alınmış görünmemektedir. Mağdurlar arasında üniversiteler, küçük ve büyük işletmeler, internet servis sağlayıcıları, kripto para tüccarları, Tor çıkış düğümleri, paylaşılan barındırma sağlayıcıları ve özel sunucu sağlayıcıları yer almaktadır.
2019’un sonlarında, ABD merkezli büyük ve popüler bir alan adı kayıt şirketi ve web barındırma sağlayıcısının altyapısı tehlikeye girdi. Toplamda yaklaşık 2 bin 500 fiziksel ve 60 bin sanal sunucu saldırganlar tarafından ele geçirildi. Bu sunucuların hepsi olmasa da çok büyük bir kısmı, 1,5 milyondan fazla hesabın web sitelerini barındırmak için birden fazla kullanıcı arasında paylaşılmaktadır. Bir başka olayda, söz konusu barındırma sağlayıcısına ait toplam 70.000 sunucu 2023 yılında Ebury tarafından ele geçirilmiştir. Linux çekirdeğinin kaynak kodunu barındıran Kernel.org da Ebury’nin kurbanı olmuştu.
Léveillé “Ebury, Linux güvenlik topluluğu için ciddi bir tehdit ve zorluk teşkil ediyor. Ebury’yi etkisiz hale getirecek basit bir çözüm yok ancak yayılmasını ve etkisini en aza indirmek için bir dizi hafifletme uygulanabilir. Farkına varılması gereken nokta, bu durumun sadece güvenliği daha az önemseyen kuruluşların ya da bireylerin başına gelmediğidir. Çok sayıda teknoloji meraklısı birey ve büyük kuruluş da kurbanlar listesinde yer alıyor,” diyerek sözlerini tamamladı.