Ukraynalı hackerlar Rus drone üreticisinin BT altyapısını yok etti

• Ukraynalı hacker grubu, askeri istihbarat kurumu ile iş birliği içinde Rusya'nın önde gelen drone üreticilerinden Gaskar Integration'ın BT altyapısını felç etti
• 47 TB'tan fazla kritik veri ve yedekleme materyali silindi, bu da temel iş operasyonlarını durdurdu
• Fabrika iç sistemleri ile muhasebe ve üretim programlarının tamamı çalışamaz hale geldi
• Üretim tesisinin giriş kapıları bile bloke edildi, çalışanlar giriş çıkış için acil çıkışları kullanmak zorunda kaldı
• Ele geçirilen veriler arasında çalışanların kişisel bilgileri ve drone teknik belgeleri yer aldı; bunlar Ukrayna Savunma Bakanlığı'na teslim edildi

---

Ana noktalar

• Ukraynalı siber aktivistler, askeri istihbarat kurumu ile iş birliği içinde Rus ordusuna drone tedarik eden en büyük üreticilerden biri olan Gaskar Integration'ın ağını ve sunucu altyapısını hedef aldı
• Bu saldırıyla 47 TB'tan fazla teknik bilgi ve 10 TB yedekleme verisi yok edildi; söz konusu veriler arasında Rusya ile Çin arasındaki yakın iş birliğine dair işaretler de bulunuyordu
• Saldırı nedeniyle internet, üretim programları, muhasebe yazılımları gibi şirket içindeki tüm sistemler devre dışı kaldı ve Gaskar'ın Ar-Ge merkezi de normal şekilde çalışamaz hale geldi
• Tüm drone üretim tesislerindeki giriş kapıları kilitlendiği için çalışanlar işten çıkmak ve tesis içinde hareket etmek için acil çıkışları kullanmak zorunda kaldı
• Ele geçirilen bilgiler arasında çalışanlara ait gizli anketler ve drone üretimine ilişkin teknik belgeler de yer alıyordu; bu bilgiler Ukrayna Savunma Bakanlığı bünyesindeki uzmanlara iletildi

Ek arka plan

• Askeri istihbarat bünyesindeki siber uzmanların daha önce de Rus demiryollarının web sitesini güçlü bir saldırıyla devre dışı bıraktığı biliniyor
• Geçmişte Rusya'daki Regiontransservice'e yönelik saldırıyı da başarıyla gerçekleştirip tüm hizmetleri durdurmuşlardı

[GN⁺]

Hacker News görüşleri

• Evde küçük ölçekli bir lab işletiyorum, yaklaşık 30 servis var
  Bir gün ana diski değiştirirken yedekleri kullanıp her şeyi sıfırdan yeniden kurdum, bir saat içinde tekrar ayağa kalktı
  Ama sonrasında bir hafta boyunca orayı burayı düzeltmekle ve neden bazı şeyleri böyle ayarladığımı bile hatırlamadığım kısımları toparlamakla uğraştım
  Bu, tek kişinin yönettiği basit bir Docker tabanlı lab ve ben de IT'de çalışıyorum
  Ama yıllar boyunca birden fazla kişinin yönettiği tüm bir altyapıyı sıfırdan geri yüklemek gerçekten devasa bir iş
  Yakındaki bir hastane ransomware saldırısına uğradığında gönüllü olarak toparlanmasına yardım ettim; oradaki iki IT çalışanı ne yapacaklarını hiç bilmiyordu, resmi destek ise beklenenin çok altındaydı
  Büyük şirketlerdeki ransomware vakalarında da yardımcı oldum; sistemlerin neden bu şekilde kurulduğunu hatırlamaya çalışmak başlı başına dev bir çabaydı
  Dokümantasyon ve test vardı denebilir ama gerçek durumda duvara tosladığınızı hissediyorsunuz

  • Evimize polis baskını yapılıp masaüstü, dizüstü, NAS, sabit diskler dahil 10 bin dolarlık ekipman götürülmüştü
    Önceki işimde yedekleme ve felaket kurtarma planlarından sorumlu olduğum için hazırlıklıydım

    • Yerinde mirrored yedekler (polis ya bulamadı ya da bırakmayı tercih etti)
    • Eski ekipmanlar (biraz koleksiyon yapıyorum, böyle durumlara karşı da işe yarıyor)
    • Çoklu offsite yedekler
    • Kurulum dokümantasyonu
      Bir iki gün içinde çoğunu geri yükledim ve veri kaybı yaklaşık iki günlük oldu; neyse ki ev kullanımıydı, kritik değildi
      Bu olaydan sonra çeşitli yapısal iyileştirmeler yaptım ve benzer bir durumda ileride daha az zarar göreceğim
      (Ve 8 ay sonra polis suçsuz olduğuma karar verip ekipmanımı geri vermelerini söyledi ama çocuklar travma yaşadı)

  • Dokümantasyonun gerçekten önemli olmasının nedeni bu; yazılım mimarisi düzeyinde de aynı şey geçerli
    Birkaç ay geçince neden bu seçimleri yaptığımı hatırlamamak çok kolay
    Mesela "ORM/SQL aracı olarak neden Kysely seçtik", "neden Deno/Bun kullanıyoruz", "klasör yapısını neden özellik bazlı kurduk", "bir kütüphaneyi neden fork ettik ve nasıl yöneteceğiz", "neden AWS/GCP/Azure/docker seçtik", "neden şu Kubernetes dağıtımını seçtik", "bu projeye neden başladık / hedefimiz ne" gibi
    Bu yüzden README.md içinde bir # Decisions bölümü oluşturup dokümante ediyorum
    Bu sayede kendi kararlarımdan sürekli şüphe edip belgeler arasında sonsuza kadar didiklemekten kurtuluyorum

  • 90'lardaki mainframe'ler o kadar kararlı ve yedekliydi ki 10 yıldan uzun süre yeniden başlatılmadan çalışanlar oluyordu, hatta kernel bile kesintisiz yükseltilebiliyordu
    Ama bir şirkette elektrik kesilip yedek jeneratör de başarısız olunca, güç geri geldiğinde o makinenin aslında ne yaptığını ve nasıl başlatılması gerektiğini anlamaları aylar sürdü
    Bundan sonra çoğu şirket 6 ayda bir mainframe'leri bilerek yeniden başlatıp açılış testleri yapmaya başladı

  • Modern IT pratiklerinde felaket kurtarma neredeyse hiç hesaba katılmıyor
    Yedeklemeyi sıkı yapan kurumlarda bile gerçek geri yükleme testi yapan çok az
    İnsan kaynağı yetersiz olduğu için herkes sadece hızlıca bir şeyler inşa ediyor
    Kolay yeniden kurulabilir bir altyapı tasarlamak, sadece kurup geçmeye göre iki kat emek istiyor

  • Hastanedeki ransomware gönüllülüğü hikâyesini merak ettim
    Healthcare IT'de erişim yetkileri genelde çok sıkı yönetilir; eskiden PHI eğitimi ya da kimlik soruşturması olmadan sistem erişimi mümkün değildi, bu yüzden acil durumda hızlı bir geçici onboarding süreci mi uygulandı, yoksa hastane içinden bağlantılar üzerinden mi gönüllü oldunuz diye sormak isterim

• Almanya'daki bir şirkette çalışıyorum
  Üretim planlama, 3 ay önceden yapılan planı Excel çıktısı alarak yürütüyor
  ERP sistemi migration'ı başarısız oldu ama kimse nasıl çözüleceğini bilmiyor
  Üretim planlama ekibi bunu saklıyor ve engineering bölümüne de söylemiyor
  Bu durum muhtemelen yıllarca sürecek, consultant'lar da bu sistem sayesinde para kazanıyor
  Bu da IT altyapısının üretim için şart olmadığını gösteriyor; olmasa da olur, varsa güzel olur türünden

  • 90'ların sonu ile 2000'lerin başında Danimarka Savunma Bakanlığı SAP ile kurulan yeni tedarik sistemi DeMars'ı devreye almaya çalışıyordu
    Tedarikte çalışan bir arkadaşım, DeMars geçişinden hemen önce sorumlu olduğu malzemelerden aşırı büyük miktarda sipariş verdi ve hatta dolandırıcılık şüphesiyle sorgulandı
    Bunun nedeni DeMars'a güvenmemesi ve elde stok tutmanın önemli olacağını düşünmesiydi
    Gerçekten de DeMars devreye girince tedarik işleri bir yıl boyunca fiilen durdu
    Sonuçta yalnızca arkadaşımın sorumlu olduğu kalemlerde yeni sisteme geçiş süresi boyunca stok korundu

  • 90'ların sonunda bir üreticide firmware geliştiricisi olarak çalışıyordum
    Her şeyin hâlâ kâğıda kaydedildiği zamanlardı
    Şirket içinde Oracle tabanlı bir ERP başarıyla kuruldu ve herkes çok sevindi, ama 6 ay sonra biri makine odasının duvarına forklift çarpınca UPS'te yangın çıktı ve Oracle sunucusu dahil üç rack ekipman tamamen yandı
    Herkes sisteme güvenmediği için kayıtlar hâlâ kâğıt üzerinde tutuluyordu; bu yüzden 6 yıl sonra işten ayrılana kadar da kâğıt + Excel raporlamasıyla çalışıldı
    Sonuç olarak kâğıt tabanlı yöntemin forklift'e karşı daha dayanıklı olduğu kanıtlanmış oldu

  • Excel'i birçok ofis çalışanı sezgisel olarak anlayıp değiştirebiliyor
    IT altyapısının büyük kısmında buna benzer erişilebilir işlevler olsa çok daha kullanışlı olurdu diye düşünüyorum

  • Öte yandan, IT otomasyonu üretime tamamen yerleştiğinde ve eski manuel yönteme alışkın kimse kalmadığında, tekrar el yordamıyla çalışmaya dönmek gerçekten çok zor olabilir
    Tabii bu sipariş/iş akışı karmaşıklığına göre değişir

  • Yazılım olmadan drone'lar da işe yaramaz
    Envanteri ezbere biliyorsanız manuel kontrollü quadcopter montajı belki yapılabilir ama 3D baskı parça üretimi, kararlı uçuş, otonom operasyon, gözetleme ve diğer gelişmiş kullanımlar mümkün olmaz
    Uzaktan kontrol bile zor olurdu

• Ukrayna'daki siber savaş yeni bir eşiğe ulaşıyor gibi, artık sıradan siber saldırıların ötesine geçiyor
  Bu kez saldırıya uğrayan Rus drone üretim tesisi gibi yerler, bu savaşın seyrini değiştiren kilit unsurlar
  Drone'lar keşif, bozma, mühimmat önleme gibi alanlarda yenilik getirdi
  Malzeme maliyetine göre yıkıcı etkileri büyük ve görüntü tanıma teknolojisindeki ilerlemeler sayesinde bazıları sinyal bozma altında da çalışabiliyor
  Adeta casus filmi gibi bir gerçeklik yaşanıyor
  Bu da Ukrayna'nın asimetrik savaşta ne kadar usta olduğunu gösteriyor
  Uzun menzilli bombardıman uçaklarının imhası, drone üretim merkezlerinin devre dışı bırakılması gibi hamlelerle Rusya'nın ana güç unsurları sarsılıyor
  Savaşın nasıl biteceğini bilmiyoruz ama Ukrayna'nın direnişini sürdüreceği açık

  • Ministry of the Future romanında drone'lar öyle gelişiyor ki sonunda kimsenin güvende olmadığı bir dünyada geleneksel savaş anlamsızlaşıyor
    Küçük gruplar bile dünyanın herhangi bir yerinde herhangi birine suikast düzenleyebilir hale geliyor
    İlginç bir fikir ama hikâye zayıf, o yüzden kitabı çok önermek istemem

  • “Sinyal bozma altında da çalışan drone'lar” konusunda, bugünlerde radyo sinyali yerine fiber optik kabloyla kontrol edilen drone'lar da var; gerçeklik daha da ürkütücü

  • Bu savaşta drone'ların önemli rol oynamasının gelecekte başka savaşlara da aynı şekilde yansıyıp yansımayacağını görmek lazım
    Rusya'nın çok yüksek can kaybını göze alarak yavaş yavaş ilerlediği bu özel durum, FPV drone'ların değerini artırıyor
    Çoğu ülke bu kadar kaybı kabul etmeyeceği için bunun savaşın standart biçimi haline geleceğini sanmıyorum
    Ucuz uzun menzilli jet drone'lar daha önemli hale gelebilir

  • Haberde verilen bilgilerde çok fazla varsayım var
    Yalnızca tek tarafın anlatımını dinliyoruz ve propaganda değeri yüzünden abartılmış olabilir
    Version control düzgün kullanılıyorsa, her geliştiricinin kodu ve CAD dosyalarını lokal olarak kopyalaması da yaygındır
    E-posta ve ofis dosyaları kaybolmuş olabilir ama bunun ölümcül bir kayıp olması şart değil
    Web sitesi de hâlâ çalışıyor
    Bu saldırıya uğrayan şirket, drone topluluğunda da çok tanınan bir yer değil; yani devasa model üretiminin durması gibi bir şey olmayabilir
    Version control gibi temel konuları bilmiyor olmaları da pek olası değil; yorumun yazım tarzı biraz ChatGPT tarafından yazılmış gibi de duruyor

• İsviçre'de orta ölçekli bir şirkette çalışıyorum
  Kendi ERP'mizi geliştiriyoruz ve kullandığımız stack tam bir kâbus
  Buna kendi aramızda ‘karmaşa yoluyla güvenlik’ diyoruz
  Bir saldırgan içeri girse bile çıkamaz
  Kodun %90'ı yok olsa bile hizmet etkilenmez, çünkü %95'i zaten işe yaramaz kod

  • Büyük şirketlere yönelik bir MRP sistemini bizzat geliştirmiş biri olarak bunun nereye varacağını merak ediyorum
    Ben genelde önerilen güvenlik/felaket kurtarma yöntemlerinin üstüne OTP-hash tabanlı bir anahtar doğrulama katmanı daha ekliyorum
    Benim biraz abarttığımı düşünürdüm ama bu sistem resmen kıyamet sonrası hayatta kalma senaryosu gibi geliyor

  • Bu bana evrimsel süreçte ortaya çıkmış bir dayanıklılık biçimi gibi görünüyor

  • Gerçek dünyanın ICE duvarı gibi, komik gerçekten

  • Hem korkutucu hem de hayranlık uyandırıcı bir yanı var

• Çoğu şirket, şirket içindeki neredeyse tüm veri depolarının tamamen silinip her şeyin sıfırdan deploy edilmesi gereken bir senaryoya açıkça hazırlıklı değil
  Gerçekten sıfırdan kurtarma yapmayı hiç denemediyseniz, deploy bağımlılıklarında döngüsel yapı olma ihtimali yüksektir
  Jenkins/Puppet/Ansible ile config pusher deploy ederken bir noktada Jenkins'in kendisi de config pusher'a bağımlı hale gelir ve artık işleri sırayla kuramazsınız; geçmişten bugüne tüm değişiklikleri yeniden takip etmeniz gerekir

  • IT'de neredeyse her yerde döngüsel bağımlılık var
    SSO neredeyse tüm sistemlerin bağımlılığı haline geliyor, sonra SSO'nun ağ ve çeşitli sistem yönetimleri içinde de döngüler oluşuyor
    Tamamen sıfırdan açılış yapmak her zaman zor ve zaman alıcıdır
    Tam ayrılmış çift altyapı kurmadığınız sürece bu sorunu kusursuz çözmek pratikte neredeyse imkânsız

  • Bildiğim bir şirket de bir yıl önce bunu yaşadı
    Her şeyin bağlı olduğu ana storage cluster çöktü
    Sonunda her şeyi bir Dev laptop'undan yeniden deploy ederek toparladılar

  • black start (tam başlangıçtan kurtarma) çok zor bir problemdir
    Facebook'un da geçmişte veri merkezi kapılarının kilidini matkapla delip içeri girerek sistem toparladığı olmuştu

  • Böyle bir durumda tam olarak nasıl toparlanılabileceğini merak ediyorum
    Elde kâğıt doküman kalsa bununla bootstrap yapılabilir mi, yoksa onun da yok olduğunu varsaymak mı gerekir?

  • İnşaat sektörü de benzer bir sorun yaşıyor
    Ürün ömrü 50 yılın üzerinde, bazen yüzlerce yıl; ama 30 yıl önce yapılmış tasarım dosyalarını bugün dosya biçimi uyumsuzluğu nedeniyle açamamak sık rastlanan bir durum
    Dijitalleşme yıllardır konuşuluyor ama sonuçta eski 2D çizimler ya da bugün “dijital kâğıt” denilen PDF'ler gelecekte en işe yarar şey olabilir
    Gerçek kâğıt kullanımı giderek azalsa da dosya uyumluluğu sorunları yüzünden sonunda kâğıdın yine işe yarayabileceğini düşünüyorum

• Haber başlığında saldırganlara ‘siber aktivist’, metinde ise ‘siber suçlu’ deniyor
  Bu bana yelkenli çağındaki yarı resmî korsanları, yani privateer'ları ve marque mektuplarını hatırlattı
  4. nesil savaş teorisinde sivil-asker ayrımının bulanıklaşması temel özelliklerden biriydi
  Çatışma kuralları giderek daha muğlak hale geliyor

  • Rusya her gün drone'larla sivilleri öldürüyor
    Bu öyle gri bölge ya da hibrit savaş gibi muğlak bir alan değil; insanlar sadece komşularının drone saldırısında ölmesini engellemeye çalışıyor

  • Bu bir çeviri meselesi gibi görünüyor
    İlgili site Ukrayna yanlısı olduğu için hacker'ları olumsuz göstermek istemeyip ‘cyber criminal’ ifadesini sadece ‘hacker’ anlamında kullanmış olabilir

  • Aslında bunun Ukrayna ordusu tarafından organize şekilde yürütülüyor olması en mantıklısı gibi geliyor
    Bu yüzden bunlara suçlu demek doğru olmayabilir

  • Bir tür Robin Hood durumu
    Kimi için kahraman, kimi için suçlu
    Muhtemelen haber birkaç farklı kaynağın birleşimiydi, o yüzden terimler karışmış
    Siber savaşta tarafları ayırmak için ayrı bir terminoloji olsa iyi olurdu
    “Siber aktivist” daha çok çevrimiçi protestocu çağrışımı yapıyor; filmlerde geçen klişe bir ifade yerine “siber asker” ya da “ağ milisi” gibi bir şey olsa keşke

• Haberdeki fotoğrafın tarihinin Unix epoch başlangıcından bir gün farklı olmasını tek başıma eğlenceli buldum

• İlgili web sitesi çok tuhaf
  Rus hükümeti engellediği için TLS hatası veriyor, bunu aşsanız bile Cloudflare'ın "engellendi" sayfası çıkıyor, asıl habere (Rusça) erişmek için VPN gerekiyor

  • Bağlantı verilen sayfa İngilizce ama Rusya'daki kullanıcılar için sitenin Rusça sürümü hedeflenmemiş olabilir
    Rusya'da dil meselesi hassastır ama Ukrayna'da Rusça da yaygın biçimde kullanılır ve Rusça haberler de yayımlanır

  • archive.today, archive.org (Internet Archive) gibi arşiv sitelerini kullanmanızı özellikle öneririm
    Arşiv bağlantısı da biri tarafından kısa süre önce kaydedilmiş

  • Bu sitenin kendi sorunu olmayabilir; devlet engeli ya da CloudFlare taraflı bir sorun olabilir
    TLS hatasının temel nedeni yüzünden Cloudflare erişimi kesiyor olabilir

• Her iki tarafın da drone firmware'i konusunda endişe duyup duymadığını merak ediyorum
  Düşman tarafından kullanılan drone'lara gizlice değiştirilmiş firmware yerleştirmek stratejik olarak çok değerli görünüyor

  • İlginç ama riskli bir fikir (kolayca fark edilebilir ve tüm operasyonu boşa çıkarabilir)
    Sonuçta en sert yöntem genelde en mantıklısı oluyor

  • Drone'lara genelde görevden hemen önce firmware flash edilir

  • Aslında fabrikayı kapatmaktan daha etkili olan şey, drone'ların gizlice farklı davranmaya başlaması olabilir (örneğin fırlatma anında kendi üssüne saldırması ya da uzaktan ele geçirilmesi)

  • İlginç bir taktik olarak, drone SD kartına virüs yerleştirildiğinde drone düşman bölgesine düştükten sonra karşı taraf kartı bilgisayara takınca o bilgisayarın enfekte olduğu örnekleri duyduğumu hatırlıyorum

• “Ukraynalı siber aktivistler askerî istihbaratla iş birliği içinde…”
  Yani yabancı istihbarat servislerinden sadece işaret alıyorlar ve bu yüzden doğrudan bir siber savaş sayılmaz demek oluyor

  • “Yabancı istihbarat servisleri sadece işaret veriyorsa bu doğrudan siber savaş değildir” görüşüne karşılık olarak
    Rus istihbaratı zaten NATO ülkelerine doğrudan saldırıyor, dolayısıyla bunun savunulacak pek bir tarafı yok

  • Ukrayna ile Rusya zaten yıllardır savaş halinde olduğu için inandırıcı inkâr payına (deniability) ihtiyaç duyulan bir durum da yok

  • Yabancı istihbarat servislerinden tam olarak ne kastedildiğini merak ediyorum ve zaten dünya genelinde sürekli karşılıklı saldırılar olduğu için saf olunmaması gerektiğini düşünüyorum

  • Haberde “yabancı istihbarat servisleri” diye bir ifade geçmediğini belirtiyor

  • Ukrayna askerî istihbaratı olduğu açıkça yazıyor