Doğu Asya'dan gelen dijital tehditlerin kapsamı ve etkinliği artıyor

Çin devletine bağlı tehdit aktörlerinin Güney Çin Denizi ve Tayvan’a ilgi göstermeye devam etmesi, Çin’in bu bölgedeki ekonomik, politik ve savunmaya yönelik geniş kapsamlı çıkarlarının bir göstergesi.¹ Bölgedeki toprakların hakimiyeti konusunda yaşanan çatışmalar, boğazlar konusunda yaşanan gerginlikler ve ABD ordusunun bölgedeki varlığını artırması gibi hususların tümü Çin’in saldırgan siber etkinliklerinin ardındaki nedenler olabilir.²

Microsoft, yaptığı izlemeler sonucunda Güney Çin Denizi’ni çevreleyen ülkeleri hedef alan bir numaralı tehdit grubunun Raspberry Typhoon (RADIUM) olduğunu gördü. Raspberry Typhoon sürekli olarak bakanlıkları, askeri kuruluşları ve özellikle telefon şirketleri gibi kritik altyapı ile bağlantılı kurumsal şirketleri hedef alıyor. Grup, özellikle Ocak 2023’ten beri daha ısrarcı. Raspberry Typhoon, bakanlıkları ya da altyapıları hedef alırken genellikle istihbarat toplamaya ve kötü amaçlı yazılım çalıştırmaya odaklanıyor. Birçok ülkede, hedef aldıkları bakanlıklar savunma ve istihbaratla ya da ekonomi ve ticaretle ilgili bakanlıklar arasında değişiyor.

Tayvan adasını hedef alan en belirgin tehdit grubu ise Flax Typhoon (Storm-0919). Bu grup, genellikle hedef aldıkları ağda doğrudan bir varlık oluşturmak için özel bir VPN aleti kullanarak öncelikli olarak telekomünikasyon, eğitim, bilgi teknolojisi ve enerji altyapılarını hedef alıyor. Benzer şekilde Charcoal Typhoon (CHROMIUM) da Tayvan eğitim kurumlarını, enerji altyapısını ve teknoloji üretimini hedef alıyor. 2023 yılında hem Charcoal Typhoon hem de Flax Typhoon, Tayvan ordusuyla çalışan Tayvanlı havacılık kuruluşlarını hedef aldı.

Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) ve Mulberry Typhoon (MANGANESE) gibi Çin merkezli birden fazla tehdit grubu, ABD savunma sektörünün merkezini hedef almaya devam ediyor. Bu üç grubun hedefleri zaman zaman kesişse de aslında bunlar altyapıları ve özellikleri farklı olan üç ayrı aktördür.³

Circle Typhoon, ABD savunma sektörünün merkezine yönelik, aralarında kaynak geliştirme, toplama, ilk erişim ve kimlik bilgisi erişiminin de bulunduğu çeşitli siber etkinlikler yürütür. Ve ABD merkezli savunma ve BT firmalarını hedef almak için sıklıkla VPN aletlerinden faydalanır. Volt Typhoon da çok sayıda ABD savunma şirketine keşif operasyonu düzenlemiştir. Bu kampanyaların en sık hedef aldığı yerlerden biri Guam, özellikle de burada bulunan uydu iletişimi ve telekomünikasyon kuruluşlarıdır.⁴

Volt Typhoon’un sık kullandığı taktiklerden biri, genellikle altyapı inşa etme amacıyla küçük ofis ve ev yönlendiricilerini ele geçirmektir.⁵ Mulberry Typhoon da özellikle cihazları hedef alan bir sıfır gün açığı ile ABD savunma sektörünün merkezini hedef almıştır.⁶ Guam’a yönelik saldırıların artması, Doğu Asya’ya en yakın Birleşik Devletler bölgesi olması ve ABD’nin bölgedeki stratejisinde kritik bir yere sahip olması nedeniyle önemlidir.

Microsoft, Çin devletine bağlı tehdit gruplarının birçok sektörde ABD’ye ait kritik altyapıları hedef aldığını ve son altı ay içinde önemli bir kaynak gelişimi kaydettiklerini gözlemledi. Bu etkinliklerin arkasındaki bir numaralı grup, en az 2021 yazından bu yana Volt Typhoon ve bu etkinliklerin kapsamını hala tam olarak bilmiyoruz.

Hedef alınan sektörler arasında ulaştırma (limanlar ve demiryolları gibi), kamu hizmetleri (enerji ve su arıtma gibi), medikal altyapı (hastaneler dahil) ve telekomünikasyon altyapısı (uydu iletişimi ve fiber optik sistemler dahil) bulunmaktadır. Microsoft olarak bu kampanyanın, Çin’e, Birleşik Devletler ve Asya arasındaki iletişimi ve kritik altyapının çalışmasını kesintiye uğratacak özellikler sağladığını düşünüyoruz.⁷

Çin merkezli bir tehdit aktörü olan Storm-0558, 15 Mayıs itibarıyla aralarında ABD ve Avrupa devlet kurumlarının da bulunduğu yaklaşık 25 kuruluşun Microsoft müşteri e-postalarına erişebilmek için sahte kimlik doğrulaması belirteçleri kullanmaya başladı.⁸ Ancak Microsoft bu girişimi engelledi. Saldırının amacı, e-posta hesaplarına yetkisiz erişim elde etmekti. Microsoft olarak bu etkinliğin, Storm-0558’in casusluk hedefleriyle örtüştüğünü düşünüyoruz. Storm-0558, daha önce de ABD ve Avrupa’daki diplomatik kurumları hedef almıştı.

İlk olarak video ve görsel medyadan yararlanan operasyonlar norm haline geliyor. Uzun süredir yapay zeka tarafından üretilen profil resimlerini kullanan CCP'ye bağlı ağlar, bu yıl görsel memler için de yapay zeka tarafından üretilen görüntüleri kullanmaya başladı. Devlet destekli aktörler talep ettikleri propagandaların oluşturulması konusunda özel içerik stüdyolarından ve halkla ilişkiler firmalarından da yararlanmaya devam edecek.³⁵

İkinci olarak Çin, sosyal medya varlıklarına zaman ve kaynak yatırımı yaparak gerçek etkileşim çabasını sürdürecektir. Derin kültürel bilgi ve dil bilgisine ek olarak yüksek kaliteli video içeriğine sahip fikir liderleri, başarılı sosyal medya etkileşimlerinde öncü olmuştu. CCP de gizli sosyal medya kampanyalarını desteklemek için bu sosyal medya kullanıcıları ile etkileşim kurmak ve kültürel bilgi birikimini göstermek gibi taktikleri uygulayacaktır.

Üçüncüsü, Tayvan ve Amerika Birleşik Devletleri, özellikle 2024'te her iki ülkede de yaklaşan seçimlerle birlikte, Çin Uluslararası İstihbarat Teşkilatı için en önemli iki öncelik olmaya devam edecektir. CCP'ye bağlı etki aktörlerinin yakın geçmişte ABD seçimlerini hedef aldığı göz önüne alındığında, bunu tekrar yapacakları neredeyse kesindir. ABD'li seçmenleri taklit eden sosyal medya varlıkları muhtemelen daha karmaşık hale gelecek ve ABD'yi şiddetle eleştiren içeriklerle ırksal, sosyoekonomik ve ideolojik alanlarda anlaşmazlık tohumları ekecektir.