Scattered Spider Grubu, Saldırı Süresini 24 Saate Düşürdü

CrowdStrike tarafından yayınlanan yeni bir rapora göre, Scattered Spider fidye yazılımı grubu, 2025 yılında gerçekleştirdiği bir olayda, ilk erişimden şifrelemeye kadar olan süreyi yalnızca 24 saate indirerek tehdit ortamında önemli bir değişime imza attı. Bu süre, 2024 yılına kıyasla 35 saatten 24 saate düşerek ciddi bir hızlanmayı temsil ediyor.

Rapora göre tehdit aktörü artık tamamen zararlı yazılım kullanımını geride bırakarak, yardım masası personelini vishing yoluyla manipüle ediyor, çok faktörlü kimlik doğrulama (MFA) süreçlerini ele geçiriyor ve SaaS ile bulut ortamlarında yatay hareket (lateral movement) kabiliyetini artırıyor.

CrowdStrike araştırmacıları, “Scattered Spider, kimlik bilgilerini ele geçirerek ağ içerisindeki farklı katmanlar arasında geçiş yapma konusunda son derece yetkin. Bu sayede hedef alınan organizasyonların sıkı şekilde izlenen uç noktalarından kaçınabiliyor,” ifadesine yer verdi. “Microsoft Entra ID’den toplu veri ihracı yapabiliyor, ayrıcalıklı erişim yönetimi çözümlerinden kimlik bilgilerini elde edebiliyor ve saldırı sırasında yardım masalarını arayarak sosyal mühendislik yoluyla daha yüksek ayrıcalıklara sahip hesaplara erişim sağlayabiliyor.”

0rcus’un kurucu ortağı ve CEO’su Nic Adams da, Scattered Spider’ın kimlik temelli saldırı modeline geçiş yaptığını ve zararlı yazılımdan ziyade sosyal mühendislik ile yasal kimlik bilgilerine dayalı taktikleri benimsediğini belirtiyor. Adams’a göre grup, zararlı yazılıma tamamen ihtiyaç duymadan, vishing yoluyla yardım masalarını manipüle ediyor, MFA token’larını ele geçiriyor ve SaaS ile bulut altyapılarındaki güven ilişkilerini suistimal ederek hızlı biçimde ağ içerisinde yayılabiliyor. “Saldırı süresinin 24 saate düşmesi, tehdit aktörlerinin ‘yaşayan sistemde hareket’ (living-off-the-land) tekniklerinde ustalaştığını ve organizasyonel güven sınırlarını derinlemesine anladıklarını gösteriyor,” diyen Adams, savunma ekiplerinin artık çevre odaklı yaklaşımlardan uzaklaşıp sürekli kimlik ve davranış temelli izlemeye geçmeleri gerektiğini vurguluyor.

Adams, zararlı yazılım kullanımının terk edilmesinin, tehditlerin daha görünmez hale gelmesine neden olduğunu da ekliyor. Çünkü bu tür saldırılar, meşru kullanıcı kimlikleri ve araçlar üzerinden gerçekleştiriliyor ve ağ trafiğiyle kolayca kamufle edilebiliyor. Bu yaklaşım, geleneksel uç nokta güvenliği çözümlerinin (örneğin zararlı yazılım imzaları ve dosya hash’lerine dayanan sistemler) atlatılmasına neden oluyor ve güvenlik ekiplerinin kullanıcı davranışlarına ve kimlik tabanlı erişim kontrollerine daha derinlemesine odaklanmasını gerektiriyor.

“Scattered Spider gibi gelişmiş aktörlere karşı koyabilmek için güvenlik ekipleri, geleneksel zararlı yazılım odaklı güvenlik anlayışlarını terk ederek kimlik koruması ve davranış analitiğini önceliklendirmelidir,” diyen Adams, güçlü kimlik yönetişimi, kimlik doğrulama döngüsünün tam güvenliği ve tehdit istihbaratının etkin kullanımı gibi proaktif önlemlerin kritik hale geldiğini belirtiyor.

Keeper Security Bilgi Güvenliği Direktörü Shane Barney ise günümüzde kimliklerin artık statik bilgilerden ibaret olmadığını, aksine dinamik ve sürekli değişen bir saldırı yüzeyine dönüştüğünü ifade ediyor. Barney, Scattered Spider gibi aktörlerin, yardım masası etkileşimleri ve parola sıfırlama gibi güvenilir süreçleri suistimal ederek, geleneksel güvenlik alarmlarını tetiklemeden ağ içinde hızla ilerleyebildiğini belirtiyor.

“Bu değişim, organizasyonların erişim doğrulama ve izleme yaklaşımlarını kökten yeniden değerlendirmesini gerektiriyor,” diyen Barney, yalnızca reaktif algılama sistemlerine güvenmenin artık yetersiz kaldığını, gerçek zamanlı ve yapay zeka destekli davranış analizlerinin sürekli olarak ayrıcalıklı oturumları izlemesi gerektiğini vurguluyor.

CrowdStrike raporunda ayrıca, ABD kolluk kuvvetlerinin baskısı sonucu Kuzey Koreli tehdit aktörlerinin faaliyetlerini yurtdışına taşıdığına da dikkat çekiliyor. Bu kapsamda, Romanya ve Polonya’daki uzaktan çalışma kanalları kullanılarak “laptop çiftlikleri” oluşturulmuş, meşru geliştirici profilleriyle gizlenerek elde edilen gelirler rejimin finansmanına yönlendirilmiş durumda.

CrowdStrike araştırmacılarına göre, “Tehdit aktörleri, güvenlik mimarisinden daha hızlı evriliyor. Bu durum, kimlik koruma kurallarını yeniden şekillendiriyor ve kurumları işe alım, uzaktan erişim ve iç tehdit riskleri konularında stratejilerini tekrar düşünmeye zorluyor.”

Scattered Spider gibi tehdit aktörlerinin artık zararlı yazılımlara ihtiyaç duymadan yalnızca sosyal mühendislik, kimlik manipülasyonu ve bulut tabanlı sistemlerdeki güven ilişkilerini istismar ederek operasyonlarını hızlandırdığı bir dönemdeyiz. Bu yeni tehdit modeli, kurumların güvenlik mimarilerini kökten gözden geçirmesini zorunlu kılmaktadır.

Artık sadece geleneksel güvenlik katmanları yeterli değil. Kurumların kimlik yönetimi, davranışsal analiz, ayrıcalıklı erişim kontrolleri ve yardım masası süreçleri gibi alanlarda bütünsel, proaktif ve sürekli izleme temelli stratejilere geçmesi gerekiyor.