Het Nederlandse cybersecuritybureau heeft het afgelopen jaar meerdere cyberaanvallen gezien die georkestreerd zijn door Turkse staatshackers. De aanvallers zouden het voorzien hebben op persoonsgegevens van Koerdische dissidenten en minderheden. Het bedrijf raadt potentiële slachtoffers aan om extra beveiligingsmaatregelen te nemen.
Hunt & Hackett analyseert en beschrijft de spionagecampagne in een weblog.
Turkse staatshackers waren op zoek naar persoonsgegevens van Koerden
Het gaat om de Turkse hackersgroep Sea Turtle. De groep is echter ook bekend onder de namen Teal Kurma, Marbled Dust, Silicon en Cosmic Wolf. Het hackerscollectief zou tussen 2021 en 2023 meerdere cyberaanvallen hebben uitgevoerd in Nederland. De groep richtte zich voornamelijk op organisaties die gevoelige informatie over Koerden zou bewaren, waaronder telecombedrijven, internetserviceproviders en mediaorganisaties.
“De modus operandi van Sea Turtle bestaat uit het onderscheppen van internetverkeer, het verkrijgen van geldige encryptiecertificaten en het uitvoeren van man-in-the-middle aanvallen, gericht op websites van slachtoffers, waardoor onbevoegden toegang kregen tot overheidsnetwerken en andere organisatiesystemen”, zo schrijft Hunt & Hackett.
Het Nederlandse cybersecuritybedrijf zegt dat het doel van de hackers was om economische en politiek gemotiveerde inlichtingen te vergaren om de belangen van Turkije te bevorderen. Uit analyse blijkt dat ze het voorzien hadden op persoonlijke informatie over minderheidsgroepen en potentiële politieke dissidenten. “De gestolen informatie wordt waarschijnlijk gebruikt voor surveillance of het verzamelen van inlichtingen over specifieke groepen en/of individuen”, aldus Hunt & Hackett.
Zo gingen de hackers te werk
Sea Turtle maakte voornamelijk misbruik van bekende kwetsbaarheden bij organisaties waar de beveiliging niet op orde was. Beveiligingsonderzoekers zagen onder meer dat hackers cPanel-accounts compromitteerden en Secure Shell (SSH) gebruikten om toegang te krijgen tot de IT-infrastructuur van organisaties. SSH is een beveiligingsprotocol om op een versleutelde manier in te loggen op andere computers en van afstand commando’s uit te voeren. De aanvallers deden er alles aan om hun digitale sporen zo goed mogelijk uit te wissen.
Verder maakte de hackersgroep gebruik van SnappyTCP, waarvan de broncode op ontwikkelaarsplatform GitHub te vinden was. Met deze malware was het mogelijk om een reverse shell op te zetten op Lunix- en Unix-systemen. Bij een reverse shell worden kwetsbaarheden van het doelsysteem misbruikt om toegang en controle te krijgen over de computer van een slachtoffer.
Eenmaal binnen gingen de hackers op zoek naar persoonlijke en vertrouwelijke gegevens van leden van minderheidsgroeperingen. Bij ten minste één organisatie deden ze dit door een e-mailarchief met SnappyTCP te kopiëren en door te sturen naar een Command-and-Control server die zij beheerden. Bij andere organisaties zou Sea Turtle informatie hebben bemachtigd door internetverkeer af te tappen.
Deze tips geeft Hunt & Hackett mee om de IT-infrastructuur te beschermen
Hunt & Hackett raadt telecombedrijven, internetserviceproviders, mediaorganisaties en andere potentieel interessante doelwitten van Sea Turtle aan om aanvullende beveiligingsmaatregelen te nemen. Om te beginnen zouden bedrijven hun netwerk met Endpoint Detection and Response (EDR) software moeten monitoren op verdachte activiteiten en logbestanden bijhouden en op een centrale plaats opslaan voor historisch forensisch onderzoek.
Andere beveiligingsmaatregelen die het cybersecuritybureau noemt zijn het creëren en hanteren van een wachtwoordbeleid, het aantal inlogpogingen beperken, tweefactorauthenticatie inschakelen en het aantal systemen dat via internet bereikbaar is beperken.
