Kuzey Koreli Hackerlar 24 Ekim'de 216 Sunuculuk Hedef Listesini Tamamladı, ABD 49 Hedefle Başı Çekiyor

216 Sunuculuk Liste 24 Ekim'de Kapandı

Kuzey Kore ile bağlantılı hackerlar, Binance'in 6,3 milyar dolarlık kaybından beş gün önce, 24 Ekim Cumartesi günü 216 web sunucusundan oluşan bir hedef listesini tamamladı; listede 49 hedefle Birleşik Devletler ilk sırada yer alıyor. Siber güvenlik şirketi Cyfirma, grubun özel sohbet kayıtlarına ulaşmış durumda ve kampanyayı, Kuzey Kore'nin en tanınmış devlet destekli siber ağı olan Lazarus Group'a “yüksek güven” düzeyinde atfediyor. Kayıtlar, operatörlerin koordinasyon için kullandığı kapalı bir kanaldan geldi ve listenin hangi gün tamamlandığını net biçimde sabitliyor; işin ne zaman başladığına dair bir tarih ise yok ve danışma belgesi bu boşluğu açık bırakıyor. Japonya, 47 sunucuyla Birleşik Devletler'i izliyor; Hindistan 31, Güney Kore ise 30 hedefle listede. Güney Kore'ye ait bu ayrıntı, Pazar günü yerel basında dile geldi. Adı geçen dört ülke, 216 sunucunun 157'sini kapsıyor ve ABD'nin 49'luk payı, kayıtta tek bir ülkenin en büyük oranı. Ekip, avladığı makineleri seçerken PHP diline odaklandı; Tenable'ın aktardığı W3Techs verilerine göre bu sunucu taraflı dil, dünyadaki web sitelerinin yaklaşık yüzde 69'unun arkasında çalışıyor. Bu yüzden tek bir güvenlik açığı ailesi, aynı anda webin bu kadar geniş bir bölümünü kapsayabiliyor. Listedeki her kayıt son kullanıcı cihazı değil, bir web sunucusu; yani hazırlık çalışması bireysel kullanıcılaraın dizüstü bilgisayarlarını ya da telefonlarını değil, altyapıyı hedefliyordu. PHP2Shell lakabı takılan iki kritik kusur, yamalanmamış ve etkilenen sürümleri çalıştıran herhangi bir sunucunun dışarıdan ele geçirilmesine imkân veriyordu. Listenin tamamlanması ile Binance kaybı arasındaki beş günlük mesafe dışarıdan ilgiyi çeken nokta oldu; ancak danışma belgesi, hazırlık kampanyası ile borsadaki hırsızlık arasında bir bağ kurmuyor.

PHP2Shell ve Beş Günlük Yamalama Saati

Kusur ikilisi operasyonun merkezinde duruyordu ve isim, PHP işlemesindeki bir açık ile sunucunun uzaktan tamamen devralınması arasındaki yolu anlatıyor. PHP'nin geliştiricileri her iki açık için de yamaları 21 Ekim günü yayımladı. Beş gün sonra, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, her iki kusuru da saha'da aktif olarak istismar edilen açıkların listesine ekledi; federal kurumların acil yamalama önceliği olarak gördüğü bu katalog, etkilenen herkes için fiilen son tarih anlamına geldi. Geç yama yükleyen ya da PHP çalışma ortamını yeniden kurmadan yalnızca uygulamayı yeniden başlatan işletmeciler, açık durumu yerinde bıraktı. Sohbet kayıtları, hazırlık çalışmasının ardındaki amacı da açıkça ortaya koyuyor. Operatör 1 olarak anılan biri şöyle yazdı: “Finansal bir sonuç gerekiyor ve finansala, ticarete ya da cüzdan malzemesine götüren her şey lazım.” Danışma belgesinin çerçevesinde bu talep, ekibi fonlara götürebilecek her şeyi kapsıyor: borsa kimlik bilgileri, işlem erişimi, kripto vadeli işlem hesapları ya da saklanan cüzdan verileri. Kayıtlarda kapsamın tek bir bölgeye ya da tek bir platforma sınırlandığına dair hiçbir ifade yok. Operatörler sonuçlarıyla da övündüler; 216 sunucunun çoğunda “artık bir şeyler ekili” olduğu ve listenin bu arada 581 hedefe yükseldiği iddiasını attılar. Cyfirma, iki iddiayı da doğrulamadı. Şirketin listenin kendisi hakkında hükmü kısa ve keskin: “Listede yer almak hedef alındığı, ele geçirildiği anlamına gelmez.” Danışma belgesi doğrulanmış bir mağdur adı vermiyor; ABD'deki 49 sunucunun hangi sektörlerden geldiğini de açıklamıyor. Bu sessizlik kasıtlı: şirketin kanıt tabanı sunucu adli analizi değil, sohbet kanalının kendisi. Cyfirma'nın tehdit danışma belgesi önlemleri iki adımda tanımlıyor: önce PHP'nin kendisini yamalayın, ardından her PHP sürecini yeniden başlatın. Sitenin yalnızca güncellenmesi, şirket uyarısına göre kapıyı açık bırakıyor.

Binance Sorusu

Cyfirma'nın danışma belgesinde Binance adı hiç geçmiyor. FBI ise ayrı olarak borsadaki hırsızlığın sorumluluğunu Kuzey Kore'ye yükledi ve ABD savcıları, elde edilen 1,2 milyar dolarlık kısma el koymak için harekete geçti. Chainalysis daha önceki araştırmasında, Bitget'ten çalınan 387 milyon doları da Kuzey Koreli hackerlara bağlamıştı. Liste ile Binance kaybı arasında beş günlük bir fark var; ama yayımlanmış hiçbir kanıt, bu zamanlamayı nedenselliğe çevirmiyor. Ele geçirme davası ve Bitget dahil, borsalarla bağlantılı doğrulanmış Kuzey Kore kaynaklı kayıplar şimdiden yaklaşık 1,6 milyar dolara ulaşıyor; bu toplamda 216 sunuculuk kampanyadan hiçbir şey sayılmış değil. Bu ayrım kullanıcılar için önemli: ele geçirilmiş bir web sunucusu tek başına kendi kendini saklayan coinlere ulaşamaz; ister donanım imzalayıcı olsun ister Tangem Pay gibi bir ürün. Buna karşılık saklama hizmetindeki bakiyeler, zincirler arası köprülernden borsa sistemlerine kadar aynı ağla bağlantılı grupların tarihsel olarak vurduğu altyapıların üzerinde duruyor. Pazar itibarıyla son kayda geçmiş söz, Cyfirma'nın danışma belgesi: hedef alma doğrulandı, ele geçirme ise kanıtlanmadı.