APT "السلحفاة البحرية" التركية تظهر مرة أخرى للتجسس على المعارضة الكردية

قامت مجموعة متحالفة مع مصالح الحكومة التركية مؤخرًا بتكثيف عمليات التجسس السيبراني ذات الدوافع السياسية، حيث استهدفت جماعات المعارضة الكردية من خلال أهداف سلسلة التوريد عالية القيمة في أوروبا والشرق الأوسط وشمال إفريقيا.

بعد بضع سنوات من الابتعاد عن الأضواء، عادت Sea Turtle (المعروفة أيضًا باسم Teal Kurma أو Marbled Dust أو Silicon أو Cosmic Wolf) الآن للتدقيق مرة أخرى، وكان آخرها بفضل الحملات المتعددة التي استهدفت المنظمات في هولندا. تم تتبعه من قبل مجموعة الأبحاث Hunt & Hackett. منذ عام 2021، امتد ضحايا هذه الحملات إلى أهداف في وسائل الإعلام والاتصالات ومقدمي خدمات الإنترنت ومقدمي خدمات تكنولوجيا المعلومات، مع التركيز بشكل خاص على الوصول إلى المواقع الإلكترونية المرتبطة بالأكراد وحزب العمال الكردستاني (PKK).

لقد ظلت تركيا في صراع مع جماعات المعارضة الكردية، التي يمثلها في المقام الأول حزب العمال الكردستاني، منذ عقود. عشرات الآلاف من الأكراد العرقيين يعيشون في هولندا.

"يمكنك أن تتخيل أن مهاجمًا يتماشى مع المصالح السياسية التركية لديه اهتمام كبير بمكان تواجد الأكراد المنشقين في أوروبا"، يحذر أحد أعضاء فريق أبحاث Hunt & Hackett، الذي اختار عدم الكشف عن هويته لهذه القصة.

عودة السلحفاة البحرية من الانقراض

تعود الأدلة على نشاط السلاحف البحرية إلى عام 2017، لكن المجموعة كانت فقط تم اكتشافه لأول مرة في عام 2019. وبحلول ذلك الوقت، كانت قد اخترقت بالفعل أكثر من 40 منظمة - بما في ذلك العديد من المنظمات الحكومية والعسكرية - منتشرة في 13 دولة، معظمها في الشرق الأوسط وأفريقيا.

تضمنت كل حالة من هذه الحالات اختطاف نظام أسماء النطاقات (DNS)، والتلاعب بسجلات نظام أسماء النطاقات (DNS) الخاصة بالأهداف من أجل إعادة توجيه حركة المرور الواردة إلى خوادمهم الخاصة، قبل إرسالها إلى وجهاتهم المقصودة.

في السنوات التي تلت ذلك، كانت أخبار السلحفاة البحرية قليلة. ولكن كما تشير الأدلة الحديثة، لم تختفِ هذه الظاهرة أبدًا، أو حتى تغيرت كثيرًا.

على سبيل المثال، في حملة نموذجية من أوائل عام 2023، لاحظ باحثو Hunt & Hackett أن المجموعة تصل إلى بيئة استضافة الويب cPanel الخاصة بالمؤسسة عبر اتصال VPN، ثم تستخدمها لإسقاط غلاف Linux العكسي لجمع المعلومات يسمى "SnappyTCP".

يعترف باحث Hunt & Hackett بأن الكيفية التي تحصل بها شركة Sea Turtle على بيانات الاعتماد اللازمة لتنفيذ اعتراض حركة المرور على الويب غير واضحة، لكن الخيارات المتاحة لها لا تعد ولا تحصى.

"يمكن أن يكون هناك أشياء كثيرة، لأنه خادم ويب. يمكنك محاولة فرض ذلك بعنف، ويمكنك تجربة بيانات الاعتماد المسربة، أو أي شيء بشكل أساسي، خاصة إذا كان الأشخاص الذين يستضيفون خادم الويب هذا يديرونه بأنفسهم. يمكن أن يكون هذا هو الحال إذا كانت منظمة أصغر حجمًا، حيث يكون الأمن شيئًا مدرجًا في جدول أعمالها، ولكن ربما ليس عاليًا جدًا [في الأولوية]. إعادة استخدام كلمة المرور، وكلمات المرور القياسية، نراها كثيرًا في كل مكان في العالم.

ربما لم يكن معقدًا للغاية، إذا كان هناك أي شيء يمكن اتباعه فيما يتعلق ببقية الهجوم. على سبيل المثال، قد يتوقع المرء أن تكون مجموعة التجسس المتحالفة مع الدولة القومية مراوغة للغاية. في الواقع، اتخذت Sea Turtle بعض الاحتياطات الأساسية مثل الكتابة فوق سجلات نظام Linux. ومن ناحية أخرى، فقد استضافت العديد من أدوات الهجوم الخاصة بها على موقع حساب GitHub القياسي والعام (منذ إزالته)..

لكن في النهاية، كانت الهجمات ناجحة إلى حد ما على الأقل. يقول الباحث: "كان هناك الكثير من المعلومات التي تم تجاوزها"، وربما يكون المثال الأكثر حساسية هو أرشيف البريد الإلكتروني الكامل المسروق من منظمة لها علاقات وثيقة مع الكيانات السياسية الكردية.

هل يتم إغفال تركيا في الفضاء السيبراني؟

تتعقب شركة Hunt & Hackett عشر مجموعات من APT تعمل في تركيا. لا يصطف الجميع مع الدولة، وينتمي اثنان منهم إلى المعارضة الكردية، ولكن حتى مع هذا التحذير، يبدو أن البلاد تتلقى صحافة أقل نسبيًا من العديد من نظيراتها.

ويقول الباحث إن ذلك يرجع جزئيًا إلى الحجم.

"إذا نظرت إلى مجموعة لازاروس، فستجد أن هناك 2,000 شخص يعملون لصالح كوريا الشمالية. لدى الصين برامج قرصنة كاملة ترعاها الدولة. إن الحجم الهائل للهجمات من تلك البلدان يجعلها أكثر شهرة ووضوحا.

لكنه يضيف أن الأمر قد يكون له علاقة أيضًا بطبيعة أهداف الحكومة في الفضاء الإلكتروني، حيث أن “الشيء الرئيسي الذي تشتهر به هو التجسس السياسي. يريدون أن يعرفوا أين هم المنشقون. إنهم يريدون العثور على المعارضة، ويريدون أن يعرفوا أين هم. لذا فإن الفرق مع الإيرانيين والروس هو أنهم يميلون إلى أن يكونوا أكثر حضوراً قليلاً - وخاصة الروس، إذا قاموا بنشر برامج الفدية، وهو نوع من أساليبهم التنظيمية".

يقول: "لقد لاحظت برامج الفدية". "يميل التجسس إلى المرور دون أن يلاحظه أحد."

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
• أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
• أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
• أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
• المصدر https://www.darkreading.com/threat-intelligence/turkish-apt-sea-turtle-spy-kurdish-opposition