Kaspersky uzmanları, 2017'de Palo Alto tarafından bildirilen ve dünya çapındaki siber casusluk saldırılarında kullanılan ".NET çerçevesi" kullanılarak yazılmış bir arka kapı olan Kazuar ile örtüşen bir dizi özellik keşfetti.
Kaspersky açıklamasına göre, 13 Aralık 2020'de FireEye, Microsoft ve SolarWinds, SolarWinds'in Orion BT müşterilerine karşı kullanılan, önceden bilinmeyen yeni bir kötü amaçlı yazılım olan "Sunburst" isimli büyük ve karmaşık bir tedarik zinciri saldırısını keşfettiğini duyurdu. Kaspersky uzmanları, Sunburst ile kurbanın makinesine uzaktan erişim sağlayan kötü amaçlı yazılım türü olan Kazuar arka kapılarının bilinen sürümleri arasında özel kod benzerlikleri buldu. Yeni bulgular, araştırmacıların saldırının kaynağını ortaya çıkarmasına yardımcı olabilecek yeni ipuçları sağlıyor. Kodlardaki benzerlikler, Kazuar ve Sunburst arasında bir bağlantı olduğunu düşündürüyor.
Sunburst ve Kazuar arasındaki örtüşen özellikler, kurbana yönelik UID oluşturma algoritmasını, uyku algoritmasını ve FNV-1a hash değerinin kapsamlı kullanımını içeriyor. Uzmanlara göre, bu kod parçaları yüzde 100 özdeş değil. Bu da Kazuar ve Sunburst'un ilişkili olabileceğini düşündürse de ikisi arasındaki ilişkinin doğası hala tam olarak netleşmiş değil.
Sunburst kötü amaçlı yazılımı ilk kez devreye alındıktan sonra Şubat 2020'de Kazuar gelişmeye devam etti. Kazuar'ın 2020 varyantları, bazı açılardan Sunburst'a daha da benziyor.
Genel olarak Kazuar'ın evrimleştiği dönemde uzmanlar, Sunburst'a benzer önemli özelliklerin eklendiği sürekli bir geliştiğini gözlemledi. Kazuar ve Sunburst arasındaki bu benzerlikler dikkate değer olmakla birlikte bunun sebebine dair pek çok ihtimal bulunuyor. Bunlar arasında Sunburst ve Kazuar'ın aynı grup tarafından geliştirilmesi, Sunburst geliştiricilerinin Kazuar'dan ilham alması, Kazuar geliştiricilerinden bir kısmının Sunburst ekibine geçmesi veya Sunburst ve Kazuar'ın aynı kötü amaçlı kaynaktan beslenmesi sayılabilir.
Kaynak: AA