Kan depolayan soğutuculara siber saldırı: Fransa'da inceleme sürüyor

Fransa'da tıbbi tesislerde bağış kanı saklamak için kullanılan soğuk odaların siber saldırılardan etkilendiği bildirildi. Fransız Kan Kurumu (EFS), kan saklayan soğuk odaların saldırganların hedefi olduğunu ve sıcaklıkların yükselme riski taşıdığını, ancak personelin müdahalesiyle kan stoklarının korunduğunu duyurdu.

EFS yaptığı açıklamada "Sağlık üzerinde herhangi bir etki tespit edilmedi ve kan ürünlerinde kayıp bildirilmedi" ifadelerini kullandı.

Bu zamana kadar siber saldırılardan yalnızca süpermarketlerin etkilendiği biliniyordu. Avrupa'da çeşitli ülkelerdeki marketlerde dondurucu ve soğutucu sistemlerin hedef alınması, olayın arkasında kimin olduğuna dair tartışmaları beraberinde getirdi.

Saldırganların kimliği üzerine farklı teoriler

İnternette, saldırıların bir kısmında kullanılan sistemlerden birini birlikte hacklediklerini iddia eden Rus hacktivist gruplara ilişkin söylentiler dolaşıyor. Noname057(16) ve Z-Pentest Alliance adlı gruplar Danfoss şirketini başarıyla hacklediklerini paylaştı. Bu paylaşım, dondurucu saldırılarının arkasında bu grupların olabileceği yönünde yorumlara yol açtı.

Ancak analistler, bu iddianın süpermarket saldırılarının arkasında aynı grupların olduğu anlamına gelip gelmediğini sorguluyor. Rus gruplar tamamen göz ardı edilmezken, uzmanlar İran yanlısı hacktivistlerin, devlet destekli hackerların, hatta şaka amacıyla hareket eden gençlerin de sorumlu olabileceğini belirtiyor.

Birden fazla şirketteki siber güvenlik araştırmacıları, dondurucu saldırılarının arkasında kimin olduğuna dair ipuçları bulmak için "honeypot" olarak adlandırılan tuzak sistemlerden toplanan kanıtları inceliyor. Üç ayrı siber güvenlik firması, hackerların bu sistemleri saldırı amacıyla nasıl kullanmaya çalıştığını izlemek için sahte dondurucu yazılımı tuzakları kurdu.

Siber güvenlikte "honeypot", savunmasız bir hedef gibi görünecek şekilde kasıtlı olarak oluşturulan sahte bir bilgisayar ağı ya da dosya anlamına geliyor. Bu tuzaklar sayesinde uzmanlar, gerçek sistemleri riske atmadan saldırganların yöntemlerini inceleyebiliyor.

İkinci dalga "hedefli" gerçekleşti

İlk saldırı dalgasının ardından toplanan verilere göre, birçok Avrupa ülkesini vuran ikinci dalga oldukça hedefliydi. İspanyol siber güvenlik şirketi Previdian'dan Ryan Dewhurst, "Tüm bu dondurucuların aynı anda vurulmuş olması planlama ve koordinasyona işaret ediyor" dedi.

Etkilenen dondurucu yazılımlarına giriş noktasının kötüye kullanılması zor değildi; çünkü sistemler zayıf korunuyordu ve bilinen saldırı yöntemleri internette zaten dolaşıyordu. Ancak Dewhurst gibi uzmanlara göre hacker ya da hackerlar, cihazların genel IP adreslerine ilişkin bilgileri toplayarak bir hedef listesi oluşturmak, hangi yöntemlerin ne zaman kullanılacağını planlamak zorundaydı.

Dewhurst, "Cihazların sıcaklıklarının artırıldığı bildirilen zamanlama, en fazla zarar için gece saatlerinde gerçekleşmiş görünüyor; bu da saldırının planlı ve koordineli olduğuna dair ek kanıt" diye konuştu.

Benzer tuzak teknolojisi kullanan bir diğer firma olan Strathclyde merkezli Lupovis, dünya genelinde konumlandırılmış gibi görünen tuzaklarında ikinci saldırı dalgasından 10 gün önce hareketlilik tespit etti. Şirketin kurucusu Dr. Xavier Bellekens, hackerların sahte dondurucu sistemlerini yalnızca Avrupa'da taradığını, Afrika veya Güney Amerika'daki tuzakların hiç hedef alınmadığını söyledi.

Fransız siber savunma firması Sekoia da ikinci dalga öncesinde tarama hareketliliği fark etti, ancak bunun kötü niyet içermeyen otomatik tarama olabileceğini belirtti. Müşterilerine sunduğu raporda, saldırının niteliğinin Rus hacktivistlerin ya da Rus hükümetinin faaliyetleriyle örtüştüğüne dair kanıtlar bulunduğu ifade edildi. Raporda ayrıca İran rejimiyle bağlantılı hackerların da olasılık dahilinde olduğu kaydedildi.

Sekoia'ya göre 2022'de Danfoss kontrol cihazları kullanan yaklaşık 40 İsrail süpermarketi de benzer bir olaydan etkilenmişti. Ağustos sonunda ise en az altı ABD askeri üssündeki dondurucular Fransa'daki gibi çözülme moduna alınmıştı. Sekoia sözcüsü BBC'ye, "Bugüne kadar Rusça konuşan grupların dahil olduğuna dair teknik bir kanıtımız yok" dedi.

Yetkililer birçok ülkede saldırıları soruşturuyor ve süpermarketleri olası yeni saldırılara karşı uyarıyor. Tuzak verisi toplayan üç siber güvenlik firması da saldırganın bir genç olabileceği ihtimalini göz ardı etmiyor. Ancak uzmanlar, gereken planlama düzeyi nedeniyle iyi koordine olmuş bir grubun işin içinde olması gerektiğini, bu durumda yakında internette övünme paylaşımlarının görülmesinin bekleneceğini belirtiyor.