Kuzey Koreli Bir Bilgisayar Korsanı, Bir ABD Güvenlik Satıcısını Kendisini İşe Almaya Kandırdı ve Hemen Onları Hacklemeye Çalıştı

ABD merkezli bir güvenlik sağlayıcısı olan KnowBe4, şirketin ağına kötü amaçlı yazılım yüklemeye çalışan bir Kuzey Koreli hacker’ı istemeden işe aldığını açıkladı. KnowBe4 CEO’su ve kurucusu Stu Sjouwerman bu haftaki blog yazısında olayı açıklayarak, herhangi bir büyük soruna yol açmadan önce neyse ki tespit edilen uyarıcı bir hikaye olarak nitelendirdi.

“Öncelikle: Hiçbir yasa dışı erişim elde edilmedi ve hiçbir veri KnowBe4 sisteminde kaybolmadı, tehlikeye atılmadı veya dışarı sızdırılmadı,” diye yazdı Sjouwerman. “Bu bir veri ihlali bildirimi değil, böyle bir şey yoktu. Bunu sizinle paylaştığım bir organizasyonel öğrenme anı olarak görün. Eğer bizim başımıza gelebiliyorsa, hemen hemen herkesin başına gelebilir. Sizin başınıza gelmesine izin vermeyin.”

KnowBe4, dahili BT AI ekibi için bir yazılım mühendisi aradığını söyledi. Şirket, Kuzey Koreli olduğu ve “geçerli ancak çalınmış bir ABD merkezli kimlik” ve yapay zeka tarafından “geliştirilmiş” bir fotoğraf kullandığı ortaya çıkan bir kişiyi işe aldı. Şu anda çalışanın KnowBe4’ün blog yazısında “İçeriden Tehdit/Ulus Devlet Aktörü” olarak adlandırılan kişi olduğundan şüphelenilmesinin ardından aktif bir FBI soruşturması var.

KnowBe4 11 ülkede faaliyet göstermektedir ve merkezi Florida’dadır. Kurumsal müşterilere kimlik avı güvenlik testleri de dahil olmak üzere güvenlik farkındalığı eğitimi sağlar. İşvereninizden ara sıra sahte kimlik avı e-postası alıyorsanız, çalışanlarının dolandırıcılıkları tespit etme yeteneklerini test etmek için KnowBe4 hizmetini kullanan bir şirkette çalışıyor olabilirsiniz.

Kişinin Arkaplan Kontrolü ve Video Görüşmeleri Geçtiği

KnowBe4, Kuzey Koreli hacker’ı her zamanki süreciyle işe aldı. Şirket, “İş ilanını yayınladık, özgeçmişler aldık, görüşmeler yaptık, geçmiş kontrolleri yaptık, referansları doğruladık ve kişiyi işe aldık. Onlara Mac iş istasyonlarını gönderdik ve alındığı anda hemen kötü amaçlı yazılım yüklemeye başladı” dedi.

İK’ya sağlanan fotoğraf sahte olsa da, iş için görüşülen kişi görünüşe göre işe girmek için yeterince sahte görünüyordu. KnowBe4’ün İK ekibi “bireyin başvurusunda sağlanan fotoğrafla eşleştiğini teyit etmek için ayrı zamanlarda dört video konferans tabanlı görüşme gerçekleştirdi” dedi gönderide. “Ek olarak, bir geçmiş kontrolü ve diğer tüm standart işe alım öncesi kontroller yapıldı ve çalınan kimliğin kullanılması nedeniyle temiz çıktı. Bu, geçerli ancak çalınmış bir ABD merkezli kimlik kullanan gerçek bir kişiydi. Fotoğraf yapay zeka tarafından ‘geliştirildi.'”

Bu hikayenin en üstündeki iki resim bir stok fotoğraf ve KnowBe4’ün stok fotoğrafa dayalı AI sahte olduğunu söylediği şey. Stok fotoğraf solda ve AI sahtesi sağda.

Blog yazısında “XXXX” olarak anılan çalışan, baş yazılım mühendisi olarak işe alındı. Yeni işe alınan kişinin şüpheli faaliyetleri güvenlik yazılımı tarafından işaretlendi ve KnowBe4’ün Güvenlik Operasyon Merkezi’nin (SOC) şunları araştırmasına yol açtı:

15 Temmuz 2024’te, kullanıcıda 21:55 EST’den itibaren bir dizi şüpheli etkinlik tespit edildi. Bu uyarılar geldiğinde KnowBe4’ün SOC ekibi, anormal etkinlik ve olası neden hakkında bilgi almak için kullanıcıyla iletişime geçti. XXXX, SOC’ye bir hız sorununu gidermek için yönlendirici kılavuzundaki adımları izlediğini ve bunun bir tehlikeye yol açmış olabileceğini söyledi.

Saldırgan, oturum geçmişi dosyalarını manipüle etmek, potansiyel olarak zararlı dosyaları aktarmak ve yetkisiz yazılımları çalıştırmak için çeşitli eylemler gerçekleştirdi. Kötü amaçlı yazılımı indirmek için bir Raspberry Pi kullandı. SOC, XXXX’ten onu bir aramaya dahil olmak üzere daha fazla ayrıntı almaya çalıştı. XXXX, bir aramaya katılamayacağını belirtti ve daha sonra tepkisiz hale geldi. Saat 22:20 civarında SOC, XXXX’in cihazını ele geçirdi.

“Kuzey Koreli Sahte BT Çalışanı”

Blog yazısında, SOC analizinin kötü amaçlı yazılımın yüklenmesinin “kullanıcı tarafından kasıtlı olarak yapılmış olabileceğini” gösterdiği ve grubun “kullanıcının İçeriden Tehdit/Ulus Devlet Aktörü olabileceğinden şüphelendiği” belirtildi.

“Topladığımız verileri, ilk bulgularımızı doğrulamak için önde gelen küresel siber güvenlik uzmanı Mandiant’taki arkadaşlarımızla ve FBI ile paylaştık. Bunun Kuzey Kore’den sahte bir BT çalışanı olduğu ortaya çıktı,” diye yazdı Sjouwerman.

KnowBe4, aktif FBI soruşturması nedeniyle fazla ayrıntı sağlayamayacağını söyledi. Ancak işe alınan kişi, Kuzey Kore’den şirket bilgisayarına uzaktan giriş yapmış olabilir, Sjouwerman açıkladı:

Bunun çalışma şekli şöyledir: Sahte çalışan, iş istasyonunun temelde bir “BT katır dizüstü bilgisayar çiftliği” olan bir adrese gönderilmesini ister. Daha sonra, gerçekte fiziksel olarak bulundukları yerden (Kuzey Kore veya Çin sınırından) VPN ile bağlanır ve gece vardiyasında çalışarak ABD’de gündüz çalışıyormuş gibi görünürler. Dolandırıcılık, aslında işi yaptıkları, iyi ücret aldıkları ve yasadışı programlarını finanse etmek için Kuzey Kore’ye büyük miktarda para verdikleridir. Bunun ciddi riskinden bahsetmeme gerek yok. Yeni çalışanlarımızın işe başladıklarında çok kısıtlı bir alanda olmaları ve üretim sistemlerine erişimlerinin olmaması iyi bir şey. Kontrollerimiz bunu yakaladı, ancak bu kesinlikle herkesle paylaşmaktan mutluluk duyduğum bir öğrenme anıydı.

Bu hikaye ilk olarak şu adreste yayınlandı: Ars Technica.