Siber güvenlik şirketi ESET, İran'a bağlı BladedFeline adlı tehdit grubunun son siber casusluk kampanyasında Irak Kürt Bölgesel Yönetimi ve Irak hükümetindeki yetkilileri hedef aldığını açıkladı.

Recent discoveries by ESET indicate that the group utilized a variety of malicious tools that were found on compromised systems. This suggests that BladedFeline, bir siber casusluk çabasını sürdürüyor ve üst düzey yetkililere ile devlet kurumlarına erişimi sürdürmek ve genişletmek için çalışmalara devam ediyor. Son kampanyada, iki tünel açma aracı, çeşitli ek araçlar, özel bir arka kapı olan Whisper ve kötü amaçlı bir Internet Information Services (IIS) modülü olan PrimeCache gibi araçlar dikkat çekiyor.

Whisper, bir Microsoft Exchange sunucusundaki güvenliği ihlal edilerek ele geçirilen bir webmail hesabında oturum açılmasını sağlıyor. Bu hesap üzerinden saldırganlar, e-posta ekleri aracılığıyla iletişim kurabiliyorlar. Öte yandan PrimeCache, kötü niyetli bir IIS modülü olarak arka kapı işlevi görüyor ve OilRig Advanced Persistent Threat (APT) grubuna ait RDAT arka kapısı ile benzerlikler taşıyor.

ESET, BladedFeline'ın Orta Doğu'daki hükümetler ve işletmelere yönelik bir İran bağlantılı APT grubu olan OilRig'in büyük olasılıkla bir alt grubu olduğunu değerlendiriyor. Son kampanyadaki ilk implantlar, OilRig ile bağlantılı ve grubun hedefledikleri ağlar içinde kalıcılığı ve gizliliği sağlama stratejisini yansıtıyor. Bununla birlikte, BladedFeline’ın Kürt diplomatik yetkililerine yasa dışı erişimi sürdürmek için çabalarına devam ettiği, Özbekistan'daki bir telekomünikasyon sağlayıcısını kullandığı ve Irak hükümetindeki yetkililere erişim sağladığı belirtiliyor.

ESET Research, BladedFeline'ın siber casusluk amacıyla Irak Kürt Bölgesel Yönetimi ve Irak hükümetini hedef aldığını ve her iki kurumdaki üst düzey yetkililere stratejik erişim sağlama gayretinde olduğunu ifade ediyor. İran'a bağlı tehdit aktörlerinin casusluk yapma ve potansiyel olarak bu bilgileri manipüle etme arzusu, Irak'taki Batılı ülkelerle olan diplomatik ilişkiler ve bölgedeki petrol rezervleri nedeniyle cazip bir hedef haline getiriyor. Bu tehdit aktörlerinin, Irak'ın ABD tarafından işgali ve bu süreçte Batılı hükümetlerin etkisine karşı koymaya çalıştıkları da kaydediliyor.

2023 yılında ESET Research, BladedFeline'ın Shahmaran arka kapısıyla Kürt diplomatik yetkilileri hedef aldığını keşfetti. Daha önce ESET APT Activity raporlarında bu grubun faaliyetleri bildirilmişti. BladedFeline, 2017 yılından bu yana Irak Kürt Bölgesel Yönetimi'ndeki yetkilileri tehlikeye atıyor, ancak ESET'in izlediği OilRig'in tek alt grubu değil. ESET ayrıca HEXANE veya Storm-0133 olarak bilinen başka bir OilRig alt grubu olan Lyceum'u takip ediyor. Lyceum, hükümet ve yerel yönetim kuruluşlarıyla birlikte sağlık alanındaki çeşitli İsrail kuruluşlarını hedef alıyor.

ESET, BladedFeline'ın siber casusluk için tehlikeye atılmış kurban setine erişimi sürdürmek ve genişletmek amacıyla implant geliştirmeye devam edeceğini tahmin ediyor.