Siber güvenlik şirketi ESET, Kuzey Kore bağlantılı APT grubu ScarCruft’un bir oyun platformunu ele geçirdiğini açıkladı. Bu tedarik zinciri casusluk saldırısının amacı, arka kapı açmak, kişisel verileri toplamak, ekran görüntüleri almak ve ses kayıtları yapmaktı.
ESET araştırmacıları, ScarCruft’un Çin’in Yanbian bölgesini hedef alan çok platformlu bir saldırı gerçekleştirdiğini belirtti. Yanbian, etnik Korelilerin yaşadığı ve Kuzey Koreli mültecilerle kaçakların geçiş noktası olarak biliniyor. Saldırının 2024 yılı sonlarından beri sürdüğü düşünülüyor.
ScarCruft, Yanbian temalı oyunlara adanmış bir video oyun platformunun Windows ve Android bileşenlerini ele geçirerek bunları bir arka kapı ile trojanlaştırdı. ESET, bu arka kapıyı BirdCall olarak adlandırdı ve başlangıçta sadece Windows’u hedeflediğini, daha sonra ise Android sürümünün keşfedildiğini belirtti.
Android BirdCall, Windows versiyonunun komut ve yeteneklerinin bir alt kümesini uyguluyor. Kişi listeleri, SMS mesajları, arama kayıtları, belgeler ve medya dosyaları toplama yeteneğine sahip. Ayrıca ekran görüntüleri alabiliyor ve çevresindeki sesleri kaydedebiliyor. ESET, Android BirdCall’ın birkaç ay boyunca aktif olarak geliştirildiğini ve en az yedi sürümünün kullanıma sunulduğunu açıkladı.
Yapılan araştırmalar, saldırının birincil hedeflerinin Yanbian’da yaşayan etnik Koreliler olduğunu ortaya koydu. Saldırının, Kuzey Kore rejimi tarafından ilgi çekici görülen kişiler hakkında bilgi toplamak amacıyla yapıldığı düşünülüyor.
Windows istemcisi, kötü amaçlı bir güncelleme aracılığıyla RokRAT arka kapısına yol açarak ele geçirildi. ESET araştırmacısı Filip Jurčacko, mağdurların trojan bulaşmış oyunları indirdiklerini ve muhtemelen bunları kasıtlı olarak yüklediklerini ifade etti. Resmi Google Play mağazasında başka kötü amaçlı APK tespit edilmediğini vurguladı.
ScarCruft, en az 2012 yılından beri faaliyet gösteren Kuzey Kore casusluk grubu olarak biliniyor. Grup, öncelikle Güney Kore’ye odaklanmakla birlikte diğer Asya ülkelerini de hedef alıyor. Hükümet, askeri kuruluşlar ve Kuzey Kore’nin çıkarlarıyla bağlantılı çeşitli sektörlerdeki şirketlerle ilgilendiği düşünülüyor.
