Kuzey Koreli bir hackerın iş başvurusu yaparak sızmaya çalıştığı nasıl tespit edildi

• Kripto para borsası Kraken, yakın zamanda Kuzey Koreli bir hackerın iş başvurusu üzerinden sızma girişimini önceden tespit edip analiz etti
• Aday, çoklu kimlik kullanımı, VPN ve uzak masaüstü kombinasyonu, çalınmış kimlik belgesi kullanarak içeri sızmaya çalıştı
• Güvenlik ekibi, onu işe alım sürecine bilerek dahil etmeye devam ederek tespit ve istihbarat toplama çalışması yürüttü
• E-posta, GitHub hesabı, OSINT analizi vb. yollarla Kuzey Koreli hacking gruplarıyla bağlantı kanıtlandı
• Bu olay, biyometrik kimlik doğrulama ve gerçek zamanlı doğrulamanın öneminin yanı sıra kurum genelinde güvenlik farkındalığı gereğini vurguluyor

---

Olayın özeti

• Kraken’in güvenlik ve BT ekipleri, rutin olarak çeşitli saldırı girişimlerini engelliyor
• Yakın zamanda işe alım sürecini kullanan bir Kuzey Koreli hackerın sızma girişimini tespit edip buna karşılık verdi
• Söz konusu aday bir mühendislik pozisyonuna başvurdu ve sıradan bir işe alım süreci bir istihbarat toplama operasyonuna dönüştü
• Kuzey Koreli hackerların 2024’te kripto para şirketlerinden 650 milyon dolardan fazla çaldığı tahmin ediliyor

Şüpheli işaretler

• Çevrim içi mülakata özgeçmişte yazandan farklı bir adla katıldı ve adı görüşme sırasında değiştirildi
• Mülakat sırasında sesinin değişmesi, gerçek zamanlı koçluk alma ihtimalini ortaya çıkardı
• Kuzey Koreli hackerların kripto para şirketlerine aktif biçimde başvurduğuna dair bilgi alınmıştı; Kraken’e yapılan başvuruda kullanılan adres de önceden edinilen Kuzey Koreli hacker e-posta listelerinden biriyle aynıydı

İç soruşturma ve bulgular

• Red Team, OSINT analiziyle saldırganın e-postasını ve faaliyet geçmişini inceledi
• Veri sızıntısı kayıtları analiz edilerek çok sayıda sahte kimlikle ilişkili e-postalar doğrulandı
• Birden fazla sahte kimliğin başka şirketlerde de işe alındığı, bazılarının ise yaptırım altındaki yabancı ajanlar olduğu belirlendi

Teknik anormallik işaretleri

• Aday, konumunu gizlemek için VPN ile uzak bir Mac masaüstünü birlikte kullandı
• GitHub hesabına bağlı e-posta, geçmişte sızdırılmış verilerle eşleşiyordu
• Gönderilen kimlik belgesinin iki yıl önce çalınmış bilgilere dayanarak değiştirilmiş olabileceğinden şüphelenildi

Kurumun yanıt yöntemi

• Adayı doğrudan elemek yerine bilerek işe alım sürecinde tutmaya devam ettiler
• Güvenlik testleri, teknik görevler ve doğrulama talepleri üzerinden taktiklerini anlamaya odaklandılar
• Son mülakat, Kraken Güvenlikten Sorumlu Yöneticisi (CSO) ile yapıldı ve içine gerçek zamanlı doğrulama soruları eklendi

Gerçek zamanlı doğrulama sorularına örnekler

• Mevcut konumunu doğrulama talebi
• Devlet tarafından verilmiş kimliğin fiziksel olarak gösterilmesi talebi
• Yaşadığı şehirde restoran önerisi isteme gibi doğaçlama soruların anlık olarak eklenmesi
• Sonuç olarak, aday doğrulamayı geçemedi

CSO Nick Percoco’nun açıklaması

• “Güvenme, doğrula” ilkesi bugün her zamankinden daha önemli
• Değerli bir şeyle uğraşan her kişi ve şirket saldırı hedefi olabilir
• Kurum çapında güvenlik farkındalığı ve önleyici yanıt stratejisi kritik önemde

Temel dersler

• Saldırganlar ön kapıdan girmeye çalışır: Teknik sızmanın dışında sosyal yollarla yaklaşım da vardır
• Gerçek zamanlı doğrulama güçlü bir silahtır: Üretken yapay zeka ile kandırmak mümkün olsa da gerçek doğrulamayı aşmak zordur
• Güvenlik yalnızca BT’nin sorunu değildir: İşe alım ekibi dahil tüm organizasyonun güvenlik sezgisine sahip olması gerekir

Şüpheli bir başvuruyla karşılaştığınızda şunu hatırlayın: En büyük tehdit, fırsat kılığına girerek gelir

[ahwjdekf]

Kim Jong-un bir piçtir diye yüksek sesle söyleyebilir misiniz? 5 saniyeniz var.

[cnaa97]

Toplumsal bir kötülük

[GN⁺]

Hacker News yorumu

• Temel sorular ve arka plan araştırmasıyla "OSINT" tekniklerini kullandıklarını iddia ediyorlar

  • Bu, güvenlik sektörünün işe alım sırasında temel güvenlik prosedürlerinden yoksun olduğu izlenimini veriyor
  • İşsiz ama yetenekli insanlar iş bulamazken, sahte kişiliklerin işe alınması sorunlu

• Uzaktan işe alımın büyük bir zayıflık olduğu düşüncesi

  • Harika mühendisler işe alındı ama gerçek iş Pakistan ve Hindistan’daki uzaktan çalışanlara yaptırıldı
  • Uzaktan çalışmanın birçok avantajı var ama güvenlik sorunları da büyük

• İlginç bir yazı, ancak OSINT yöntemiyle araştırdıklarını söylemek, temelde Google’da arama yapmış olmakla aynı şey

• Yazıda o kişinin Kuzey Koreli olduğuna dair bir ifade yok

  • Geçmiş veri sızıntılarında ortaya çıkan e-posta adresi GitHub profiline bağlıydı
  • Bu, özel bir gösterge değil

• Mülakattan önce, Kuzey Koreli hackerların kripto şirketlerine agresif biçimde başvurduğu bilgisi alınmıştı

  • Hacker grupla bağlantılı e-posta listesini almışlardı ve bunlardan biri adayla eşleşiyordu
  • Bu tek uyarı işareti, adayın hemen elenmesi için yeterli olmalıydı

• CSO Nick Percoco’nun açıklaması

  • "Güvenme, doğrula" ilkesi dijital çağda daha da önemli
  • Devlet destekli saldırılar küresel bir tehdit ve dayanıklılık, bu saldırılara hazırlıkla başlar
  • Bir kripto şirketinin CSO’sunun bunu söylemesi ilginç

• 2024’te uzaktan frontend ve backend mühendisi alımı için çok sayıda mülakat yaptım

  • Avrupa isimleri taşıyan çok sayıda aday vardı ve hepsi Asyalıydı
  • İsveç, Finlandiya, Norveç’ten geldiklerini söylüyorlardı ama belirgin bir Asya aksanları vardı
  • Bu durum şüpheli geldi ve mülakatı sonlandırdım

• Eski bir Reddit başlığında biri, "Kim Jong-un ne kadar şişman?" sorusunu önermişti

• Bu hikâye sıkıcı

  • Onların ana cihazlarına implant yerleştirip başka saldırganların cihazlarına geçeceklerinde ya da onları ABD’ye iadesi mümkün bir ülkeye yönlendirecek uzun vadeli bir plana dahil olduklarında haber verin

• Adayın adının, e-postasının ve GitHub hesabının geçmiş sızıntılarda yer aldığını zaten biliyorlardı

  • Daha fazla bilgi almak için mülakat yapma planını anlamıyorum
  • Tutarsızlıkları doğrudan sormak, son mülakat kadar faydalı olurdu