Check Point, Kuzey Kore’nin kendi geliştirdiği anti-virüs yazılımı olan SiliVaccine üzerine özel bir rapor yayınladı.
Check Point araştırmacılarının yürüttükleri ve SiliVaccine ile ilgili gerçekleri gün yüzüne çıkaran bu incelemenin sonucunda, SiliVaccine’nin içerdiği kodun önemli bir kısmının, bir Japon şirketi olan Trend Micro‘ya ait 10 yıl önceki bir yazılımın kopyası olduğu ortaya çıktı.
Şüpheli E-Posta
Söz konusu inceleme, Kuzey Kore teknolojileri üzerine çalışan Martyn Williams adlı bir gazetecinin Kuzey Kore’ye ait ‘SiliVaccine’ anti-virüs yazılımının oldukça ender bir örneğini Check Point araştırma ekibine göndermesi üzerine başladı. Martyn Williams’ın kendisi de yazılıma, 8 Haziran 2014 tarihinde ‘Kang Yong Hak’ isimli bir şahıs tarafından gönderilen şüpheli bir e-posta içerisindeki bağlantı üzerinden ulaşmıştı. O tarihten bu yana, e-postayı gönderen bu kişinin posta kutusuna erişilemiyor.
Sözde Japon bir mühendis olan ‘Kang Yong Hak’ tarafından gönderilen bu garip e-posta, SiliVaccine yazılımının bir kopyasını, yazılımın kullanım talimatlarının bulunduğu Korece bir ‘readme’ dosyasını ve SiliVaccine güncelleme yaması görünümündeki şüpheli bir dosyayı barındıran, Dropbox paylaşım ağı üzerine kaydedilmiş bir zip dosyasının bağlantısını içeriyordu.
Trend Micro’ya ait Kaynak Kodu
SiliVaccine’e ait tespit motoru dosyalarının detaylı adli analizinin ardından, araştırma ekibi, SiliVaccine ile tamamen farklı bir Japon anti-virüs yazılım sağlayıcısı olan Trend Micro’nun anti-virüs tespit motoru kodunun büyük bölümü arasında birebir eşleşmeler olduğunu keşfetti. Buna ilave olarak, bu eşleşen kod Silivaccine’i yazanlar tarafından çok iyi saklanmıştı. Japonya ve Kuzey Kore arasında diplomatik veya politik resmi hiçbir ilişki olmadığı düşünüldüğünde bu oldukça sürpriz bir durum.
Bir anti-virüsün amacı, şüphesiz tüm bilinen kötücül yazılımların imzalarını engellemektir. Ancak SiliVaccine daha da derinlemesine incelendiğinde, normalde engellemesi beklenen ve Trend Micro’nun tespit motoru tarafından engellenen bir imzayı özellikle göz ardı etmek üzere tasarlandığı ortaya çıktı. Bu imzanın aslen ne olduğu hala gizemini korusa da net olan bir şey var ki o da Kuzey Kore rejiminin, kullanıcıların bu imzadan haberdar olmasını istemediği.
Kötücül Yazılım Paketi
Martyn Williams’a gelen dosyanın içinden ayrıca JAKU kötücül yazılımı çıktı. Bu yazılımın, anti-virüsün bir parçası olmaktan ziyade, Martyn Williams gibi gazetecileri hedef almak üzere eklenmiş olabileceği düşünülüyor.
Özetle JAKU, botnet oluşturan ve ağırlıklı olarak kötü amaçlı BitTorrent dosya paylaşımları yoluyla yaklaşık 19.000 kurbanın bilgisayarına bulaşmış, oldukça dirençli bir kötücül yazılım. Fakat bu yazılımın, özellikle Japonya ve Güney Kore’deki Sivil Toplum Kuruluşları ve mühendislik firmalarında çalışan belli bireyler ile akademisyenler, bilim adamları ve devlet memurlarının da aralarında olduğu kurbanları hedeflediği ve takip ettiği bilinmekte.
Araştırmalar JAKU dosyasının, ‘Ningbo Gaoxinqu Zhidian Electric Power Technology Co. Ltd.’ adlı ve bir diğer tanınmış APT (Gelişmiş Sürekli Tehdit) grubu olan ‘Dark Hotel’e’ ait dosyaların imzalanmasında kullanılan aynı şirket adına düzenlenmiş sertifika ile imzalandığını ortaya çıkardı. Hem JAKU hem de Dark Hotel’in, Kuzey Koreli tehdit unsurları ile bağlantılı olduğu düşünülüyor.
Japon Bağlantısı
SiliVaccine’in kopyasını içeren ilk e-postanın Japon uyruklu bir kişi tarafından gönderilmiş gibi gözüküyor olmasının dışında, Check Point araştırma ekibi Japonya’yla diğer bazı bağlantılar da keşfetti.
İnceleme sırasında SiliVaccine’i yazdığı düşünülen PGI (Pyongyang Gwangmyong Information Technology) ve STS Tech-Service şirketlerinin isimlerine ulaşıldı. STS Tech-Service, bir Kuzey Kore kuruluşu gibi görünmekle birlikte, geçmişte iş yaptığı frmalar arasında ‘Silver Star’ ve ‘Magnolia’ gibi Japonya merkezli şirketler bulunuyor.
