Sızan Belge Su Tesisleri Siber Saldırılarını İran’a Bağladı
Elde edilen ve su tesisleri bilgi paylaşım grubu WaterISAC tarafından yayımlanan bir belge, Minnesota su tesislerine yönelik düzinelerce siber saldırıyı Tahran’a bağlıyor.
ABD’nin şubat ayının sonlarında İran’a karşı savaş başlatmasından bu yana, ülkenin bilgisayar korsanları tıbbi malzeme şirketi Stryker’ı felç etmekten, FBI direktörü Kash Patel’in kişisel e-postasına sızmaya kadar uzanan misilleme amaçlı siber saldırılarla karşılık verdi. Şimdi, Minnesota’daki su tesislerini vuran benzeri görülmemiş bir yıkıcı siber saldırı dalgasının ardından, su endüstrisi içinde dolaşan bir belge bu saldırıları da İran’a bağlıyor. Bu durum, savaşın başlamasından bu yana ülkenin bilgisayar korsanları tarafından ABD’ye karşı gerçekleştirilen en geniş çaplı ve en yıkıcı saldırı olma özelliğini taşıyor.
Gazeteciler tarafından perşembe günü elde edilen ve su tesislerinin siber güvenlik bilgilerini paylaştığı bir endüstri grubu olan Su Bilgi Paylaşım ve Analiz Merkezi’nin (WaterISAC) üyelerine gönderilen bir not; düzinelerce Minnesota su ve atık su tesisini hedef alan bir dizi siber saldırıyı İran’la ilişkilendiriyor.
WaterISAC notunda, eyalet düzeyinde bir istihbarat paylaşım kuruluşu olan Minnesota Füzyon Merkezi’nin “Minnesota genelindeki kamu içme suyu sistemlerini etkileyen devam eden kötü niyetli siber faaliyetlerle ilgili” bir uyarı yayımladığı belirtiliyor. Ayrıca, füzyon merkezinin bu saldırıların ilk olarak ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından nisan ayında “İran bağlantılı” bilgisayar korsanları tarafından gerçekleştirildiği belirtilen bir hack kampanyasıyla “uyumlu” olduğunu tespit ettiği de ekleniyor. (Hem WaterISAC hem de Minnesota Füzyon Merkezi raporları sınıflandırılmamış, ancak “yalnızca resmi kullanım içindir” ibaresiyle işaretlenmişti.)
Enerji Bakanlığı adına çalışan eski bir Los Alamos Ulusal Laboratuvarları siber güvenlik araştırmacısı olan Joe Slowik, su tesislerinin hacklenmesinde İran’ın sorumluluğunun teyit edilmesinin, Rusya’nın Ukrayna’ya karşı savaşı dışında nadiren görülen, sivil altyapının devlet destekli hedef alınması durumunu temsil ettiğini söylüyor. Slowik, “Artık kritik altyapılardaki güvenlik ve koruma parametrelerinin bozulduğunu ve hatta değiştirildiğini belgeliyoruz,” diyor. “Bu tür bir taktiğin İran’a yayıldığını ve birden fazla tesiste görüldüğünü bilmek şu anda insanları gerçekten endişelendirmeli.”
Slowik, saldırıların Minnesota’daki olaylarla duracağına inanmak için hiçbir neden olmadığını da sözlerine ekliyor: “Aynı hedef teknolojiye sahip başka pek çok tesis var. Bunu yapmaya istekli olduğunu gösteren bir düşman tarafından bu eylemlerin gerçekleştirilebileceği daha pek çok alan bulunuyor.”
Minnesota’daki Su Tesisleri Hedefte
Saldırılarla ilgili olarak perşembe günü yayımlanan yeni bir CISA uyarısı, “bu tehdit aktörlerinin her boyuttaki su işletmelerini hedef aldığı” konusunda uyarıda bulunuyor. Uyarı metninde, tesislerin PLC’lerin (Programlanabilir Lojik Kontrolör) internet bağlantısını kesmeleri, erişimi güçlü parolalarla korumaları ve yalnızca güvenilir cihazların onlara bağlanmasına (izin verilenler listesi aracılığıyla) onay vermeleri isteniyor.
Bu haftanın başlarında Minnesota eyalet yetkilileri, 30’dan fazla belediye su ve atık su sisteminin, bazı durumlarda endüstriyel kontrol sistemi teknolojileri ile su tesisi ekipmanı arasındaki telekomünikasyonu devre dışı bırakan siber ihlallerin hedefi olduğunu açıkladı. En az bir belediyede (1.700 nüfuslu Braham şehri) siber saldırının şehrin su tesisinde kısa süreli bir kesintiye yol açtığı bildirildi. Minnesota’nın su kaynağının güvenliğine yönelik bir tehdit kanıtı henüz bulunmasa da, en son CISA uyarısı saldırıların (su kirliliği şüphesi uyandıran) “suyu kaynatın bildirimlerine” ve “uzun süreli manuel operasyonlara” neden olduğunu belirtiyor.
Olayların kamuoyuna duyurulmasından bu yana İran; resmi bir onay veya sorumluluğu üstlenen İranlı bir hacker grubunun açıklaması olmamasına rağmen, saldırıların arkasındaki bir numaralı şüpheli olarak ortaya çıktı. Siber güvenlik firması Tenable pazartesi günü yayımladığı bir raporda, belirtilerin İran Devrim Muhafızları Ordusu’na bağlı İranlı bir hacker grubu olan CyberAv3ngers‘ın ihlallerden sorumlu olabileceğini gösterdiğini kaydetti. Perşembe günü The New York Times, konuya aşina olan ABD’li yetkililerin Minnesota saldırılarının “muhtemelen” İran devlet destekli bilgisayar korsanları tarafından gerçekleştirildiği sonucuna vardıklarını bildirdi.
İran Bağlantısı ve CISA Uyarıları
Minnesota’daki saldırılara ilişkin raporunda Tenable, CISA’nın ilk olarak nisan ayında yayımlanan ancak geçen hafta güncellenen bir uyarısına dikkat çekti. Bu uyarıda, İran bağlantılı aktörlerin “operasyonel aksaklıklara ve finansal kayıplara” neden olmak amacıyla PLC’leri hedef aldığı belirtiliyordu. Bu tavsiye kararı özellikle “İran bağlantılı” bir hacker grubunu işaret etmiş ve CyberAv3ngers’ın da benzer bir faaliyet yürüttüğünü not etmişti.
Güncellenen uyarı doğrudan Minnesota saldırılarından bahsetmese de, 22 Temmuz’daki güncellemenin zamanlaması bu yeni saldırılarla bağlantılı olduğunu gösteriyor. WaterISAC notu ise bu bağlantıyı açıkça kuran ve saldırıyı İran’a bağlayan ilk resmi belge niteliği taşıyor.
Notta, Minnesota Füzyon Merkezi’ne göre, bilgisayar korsanlarının “sistem basıncı kaybına ve su kaynağının potansiyel kirlenmesine neden olmak” gibi muhtemel bir hedefle uzaktan erişilebilen PLC’leri tehlikeye attığı belirtiliyor. Ayrıca tesislerin “daha büyük tehlikeleri hafifletebildiği, ancak tam etkinin hâlâ değerlendirildiği” ekleniyor.
Siber saldırıların ardından yetkililer tüm içme suyunun hâlâ güvenli olduğunu açıkladı ve acil durum sistemlerinin tesisleri koruduğunu vurguladı. South St. Paul yetkilileri, “Oluşturulan acil durum prosedürleri derhal uygulanarak Bayındırlık personelinin normal operasyonlarını sürdürmesi sağlandı,” dedi.
Geçen hafta güncellenen CISA uyarısı, FBI, Ulusal Güvenlik Ajansı, Siber Komutanlık, Çevre Koruma Ajansı ve Enerji Bakanlığı dâhil olmak üzere birçok federal kurumun katılımıyla hazırlanmıştı. Uyarı, “Birkaç vakada bu faaliyet operasyonel aksamaya ve mali kayba neden oldu,” ifadelerini içeriyordu.
CyberAv3ngers mı, Handala mı?
PLC’lerin hedef alınması da dâhil olmak üzere benzer faaliyetlerin CyberAv3ngers tarafından yürütüldüğü biliniyor. Bu grup ilk olarak 2023’ün sonlarında, İsrail’in Gazze savaşından sonra ortaya çıktı. İlk dalgada grup, genellikle su tesislerinde kullanılan Unitronics cihazlarını hedef alarak ekranlarda “Gazze” yazmasını ve logolarının görünmesini sağladı. Dragos ve Claroty gibi firmalara göre, sadece vandalizm gibi görünen bu eylemler aslında cihazların kodlarının yeniden yazılmasına ve ABD dâhil çeşitli ülkelerde hizmet kesintilerine yol açtı.
ABD Dışişleri Bakanlığı’nın 10 milyon dolarlık ödül teklifine ve Hazine Bakanlığı’nın yaptırımlarına rağmen grubun saldırıları tırmandı. 2024 yılında ABD’li bir petrol ve gaz şirketini hackleyen grup, IOControl adlı kötü amaçlı bir yazılımla geniş çaplı bir kampanya yürüttü.
Minnesota su tesislerine yönelik saldırıların arkasında net olarak CyberAv3ngers’ın olup olmadığı belirsizliğini koruyor. Claroty araştırmacısı Yhonatan Harari’ye göre saldırılar, mart ayındaki Stryker ve Kash Patel olaylarını üstlenen bir diğer grup olan Handala tarafından da gerçekleştirilmiş olabilir.
Belirsizliğe rağmen Harari, tüm işaretlerin İran’ı gösterdiğini belirtiyor: “CyberAv3ngers mı yoksa Handala mı henüz emin değiliz ancak çok yüksek bir ihtimalle İranlı aktörler olduğunu söyleyebiliriz.”
Bu saldırı dizisi, özellikle suyu sabote etmeye istekli nadir bir devlet destekli hacker grubu olan CyberAv3ngers’ın çalışma yöntemiyle yakından örtüşüyor. Dragos siber güvenlik araştırmacısı Kyle O’Meara’nın geçen yıl söylediği gibi: “Kesinlikle yetenekleri var; niyetleri var. İşleri nasıl durduracaklarını öğrenmeye ve zarar vermeye ilgi duyuyorlar.”
