ScarCruft, tedarik zinciri saldırısıyla oyun platformunu ele geçirdi

ESET araştırmacıları, ScarCruft APT grubu tarafından Yanbian bölgesini hedef alan ve arka kapı içeren Windows ve Android oyunları aracılığıyla gerçekleştirilen devam eden bir saldırıyı araştırdı

ESET araştırmacıları, Kuzey Kore ile bağlantılı APT grubu ScarCruft tarafından Çin’in Yanbian bölgesini hedef alan çok platformlu bir tedarik zinciri saldırısını ortaya çıkardı. Yanbian bölgesi, etnik Korelilerin yaşadığı ve Kuzey Koreli mülteciler ile kaçakların geçiş noktası olan bir bölgedir. Muhtemelen 2024’ün sonlarından beri devam eden saldırıda ScarCruft, Yanbian temalı oyunlara adanmış bir video oyun platformunun Windows ve Android bileşenlerini ele geçirerek, bunlara arka kapı yerleştirerek trojanlaştırdı.

ESET tarafından BirdCall olarak adlandırılan bu arka kapının, başlangıçta yalnızca Windows’u hedeflediği biliniyordu; Android sürümü ise bu tedarik zinciri saldırısının bir parçası olarak keşfedildi. Bu blog yazısında, saldırıya genel bir bakış sunuyor ve Android arka kapısı hakkında ilk kamuya açık analizi paylaşıyoruz.

Bu blog yazısının ana noktaları:

• Kuzey Kore ile bağlantılı APT grubu ScarCruft, Çin’in Yanbian bölgesinde yaşayan etnik Koreliler tarafından kullanılan bir video oyun platformunu ele geçirdi.
• Oyun platformunun Windows istemcisi, RokRAT arka kapısına yol açan kötü amaçlı bir güncelleme yoluyla ele geçirildi ve bu da daha sofistike BirdCall arka kapısını devreye soktu.
• Oyun platformunda bulunan Android oyunları, ScarCruft’un cephaneliğindeki yeni bir araç olan BirdCall arka kapısının Android sürümünü içerecek şekilde trojanize edildi.
• Kampanyanın amacı casusluktur; arka kapı, kişisel verileri ve belgeleri toplayabilir, ekran görüntüleri alabilir ve ses kayıtları yapabilir.

Scarcruft profili

APT37 veya Reaper olarak da bilinen ScarCruft, 2012 yılından beri faaliyet göstermektedir ve Kuzey Kore casusluk grubu olduğundan şüphelenilmektedir. Grup öncelikle Güney Kore’ye odaklanmakla birlikte, diğer Asya ülkeleri de hedef alınmıştır. ScarCruft, esas olarak devlet ve askeri kuruluşların yanı sıra Kuzey Kore’nin çıkarlarıyla bağlantılı çeşitli sektörlerdeki şirketlerle ilgileniyor gibi görünmektedir. Grup ayrıca Kuzey Kore’den kaçan kişileri de hedef almaktadır; bu tür faaliyetlerin en son örneği bu blog yazısında sunulmuştur.

Birdcall arka kapısı

Windows sürümü

BirdCall, 2021 yılında keşfettiğimiz ve ESET Tehdit İstihbaratı raporlamasının bir parçası olarak ScarCruft’a atfettiğimiz, C++ ile yazılmış bir Windows arka kapısıdır.

Bu arka kapı, ekran görüntüsü alma, tuş vuruşlarını ve panodaki içeriği kaydetme, kimlik bilgilerini ve dosyaları çalma ve kabuk komutlarını yürütme gibi çok çeşitli casusluk yeteneklerine sahiptir. C&C amaçları için arka kapı, Dropbox veya pCloud gibi meşru bulut depolama hizmetlerini ya da güvenliği ihlal edilmiş web sitelerini kullanır. BirdCall genellikle, bir Ruby veya Python betiği ile başlayan ve bilgisayara özgü bir anahtar kullanılarak şifrelenmiş bileşenler içeren çok aşamalı bir yükleme zincirinde dağıtılır. BirdCall’un ilk sürümü, 2021 yılında Güney Koreli satıcılar tarafından RokRAT’ın (S2W, AhnLab) gelişmiş bir sürümü olarak kamuoyuna tanıtılmıştır.

Android sürümü

Bu blog yazısında anlattığımız saldırıda keşfedilen BirdCall’un Android sürümü, Windows arka kapısının komut ve yeteneklerinin bir alt kümesini uygular – kişiler, SMS mesajları, arama kayıtları, belgeler, medya dosyaları ve özel anahtarları toplar. Ayrıca ekran görüntüleri alabilir ve çevresindeki sesi kaydedebilir.

Araştırmalarımıza göre, Android BirdCall birkaç ay boyunca aktif olarak geliştirilmiştir. 1.0 sürümünden (yaklaşık Ekim 2024’te oluşturulmuş) 2.0 sürümüne (yaklaşık Haziran 2025’te oluşturulmuş) kadar yedi sürüm tespit ettik.

Keşif

Araştırmamız, VirusTotal’da bulunan şüpheli bir APK dosyasıyla başladı. İlk analiz sonucunda, bu APK dosyasının zararlı olduğunu ve bir arka kapı içerdiğini tespit ettik.

İlginç bir şekilde, APK dosyasının 延边红十 (makine çevirisi: Yanbian Red Ten) adlı bir trojanlı kart oyunu olduğu ortaya çıktı ve bu oyunu resmî web sitesi olan https://www.sqgame[.]net’e kadar izledik. sqgame, Yanbian halkı için özel olarak tasarlanmış bir oyun platformudur ve Windows, Android ve iOS için geleneksel Yanbian oyunlarını barındırır. Oyuncular, arkadaşlarıyla kart ve masa oyunlarında (bkz. Şekil 1) rekabet edebilir veya düzenlenen turnuvalara katılabilir.

Şekil 1. Yanbian Red Ten oyunu

Şaşırtıcı bir şekilde, resmî web sitesinden indirilebilen APK, VirusTotal’da ilk olarak bulduğumuz APK ile aynıdır. Dahası, sqgame’den indirilebilen ikinci bir Android oyunu (新画图, makine çevirisi: New Drawing) da aynı arka kapı ile trojanize edilmişti. Daha ayrıntılı analizler, bu arka kapının ScarCruft grubunun BirdCall arka kapısının Android sürümü olduğunu ortaya çıkardı.

sqgame web sitesindeki Windows masaüstü istemcisi bağlantısı, temiz göründüğü hâlde birkaç yıllık bir yükleyiciye yönlendiriyor. Yükleme tamamlandıktan sonra güncellemeleri indiriyor ancak analizimiz sırasında burada herhangi bir kötü amaçlı kod tespit edemedik.

ESET telemetrisinde daha ayrıntılı bir inceleme yaptığımızda, masaüstü istemcisi için bir güncelleme paketinden kaynaklanan, trojanize edilmiş bir mono.dll kütüphanesi tespit ettik. ESET telemetrisi, bu güncelleme paketinin en azından Kasım 2024’ten itibaren bilinmeyen bir süre boyunca kötü amaçlı olduğunu gösteriyor. Bu yazının yazıldığı tarihte, bu güncelleme paketi artık kötü amaçlı değildi.

Ayrıca sqgame web sitesinde bulunan iOS oyununu da kontrol ettik ve herhangi bir kötü amaçlı kod bulamadık. Uygulamanın trojanlaştırılması ve dağıtılması diğer platformlara kıyasla çok daha zor olacağından ve muhtemelen Apple’ın inceleme sürecine takılacağından ScarCruft’un bu platformu atladığını düşünüyoruz.

Viktimoloji

Bu saldırıda ele geçirilen web sitesi Yanbian halkına ve onların geleneksel oyunlarına adanmış olduğundan saldırının birincil hedeflerinin Yanbian’da yaşayan etnik Koreliler olduğu sonucuna varıyoruz. Yanbian Kore Özerk Bölgesi, Kuzey Kore ile sınırı olan ve Kore dışında en büyük etnik Kore topluluğuna ev sahipliği yapan bir Çin bölgesidir.

Bu bağlamda, saldırının Yanbian bölgesinde yaşayan (veya bu bölgeden gelen) ve Kuzey Kore rejimi tarafından ilgi çekici görülen kişiler hakkında bilgi toplamayı amaçladığını düşünüyoruz – büyük olasılıkla mülteciler veya kaçaklar.

Saldırıya genel bakış

Android

Sqgame web sitesinde bulunan Android oyunlarından ikisinin, BirdCall arka kapısını içerecek şekilde trojanize edildiği tespit edildi. https://www.sqgame[.]net/games/gamedownload.aspx adresinde bulunan indirme sayfası Şekil 2‘de gösterilmiştir; trojanize edilmiş iki oyunun indirme düğmeleri kırmızı ile vurgulanmıştır. Mevcut üçüncü Android oyunu, analizimiz sırasında temizdi.

Şekil 2. Truva atı bulaşmış oyunlara yönlendiren indirme sayfası

Mağdurların, cihazlarındaki bir web tarayıcısı aracılığıyla trojan bulaşmış oyunları indirdiklerine ve muhtemelen bunları kasıtlı olarak yüklediklerine dair kanıtlar bulduk. Başka hiçbir yerde APK dosyası bulamadık. Ayrıca resmî Google Play Mağazası’nda da bu kötü amaçlı APK’ları tespit edemedik.

Web sitesinin ne zaman ele geçirildiğini ve tedarik zinciri saldırısının ne zaman başladığını belirleyemedik. Ancak dağıtılan kötü amaçlı yazılımın analizine dayanarak bunun 2024’ün sonlarında gerçekleştiğini tahmin ediyoruz.

Tablo 1, iki trojanlı APK dosyasının barındırma URL’lerini ve keşif anında sunulan dosyaların hash değerlerini göstermektedir. Bu blog yazısı yazıldığı sırada, kötü amaçlı dosyalar hâlâ sqgame web sitesinde mevcuttu. Aralık 2025’te sqgame’e bu güvenlik ihlalini bildirdik ancak henüz bir yanıt almadık.

Tablo 1. Kötü amaçlı örnekler

Windows

Sqgame web sitesinde bulunan Windows masaüstü istemcisi, analiz ettiğimizde kötü amaçlı kod içermiyordu ancak daha sonra  http://xiazai.sqgame.com[.]cn/dating/20240429.zip adresinde barındırılan masaüstü istemcisinin güncelleme paketinden kaynaklanan, trojan bulaşmış bir mono.dll kütüphanesi tespit ettik. ESET telemetri verileri, bu güncelleme paketinin en azından Kasım 2024’ten itibaren bilinmeyen bir süre boyunca kötü amaçlı olduğunu göstermektedir ancak bu yazının yazıldığı tarihte, bu güncelleme paketi artık kötü amaçlı değildi.

ScarCruft, temiz bir mono kütüphanesini alıp, bir indirici içeren ek kod ve verilerle yamalamıştır. İndirici, önce çalışan süreçlerde analiz araçları ve sanal makine ortamları olup olmadığını kontrol eder ve herhangi biri bulunursa devam etmez. Aksi takdirde, sqgame istemcisinin sürecini arar ve kurulum klasöründeki mono kütüphanesine giden bir yol oluşturur.

Ardından, keşfedildiği sırada RokRAT arka kapısını içeren bir kabuk kodu indirip çalıştırır. Son olarak, indirici istemci sürecini sonlandırır ve mono kütüphanesinin orijinal, temiz sürümünü indirerek, kurulu istemci klasöründeki truva atı bulaşmış sürümü bununla değiştirir. Hem yük hem de temiz mono kütüphanesi, bu amaçla ele geçirilmiş meşru Güney Kore web sitelerinden indirilir – bu, ScarCruft’un tipik bir TTP’sidir.

Telemetri verilerimize göre, RokRAT arka kapısı daha sonra kurban makinelere BirdCall arka kapısını indirmek ve yüklemek için kullanıldı.

Android Birdcall analizi

Bu bölümde, C++ ile yazılmış, aynı adlı Windows arka kapısının Android sürümü olan Android BirdCall arka kapısının teknik analizini sunuyoruz. Arka kapının dâhili adı zhuagou’dur ve bu kelime (Çince’den) “köpekleri yakalamak” olarak çevrilebilir.

Truva atı içeren Android oyunları

Android BirdCall, trojanize edilmiş Android oyunları aracılığıyla dağıtılır. Bu blog yazısında anlatılan saldırıda, ScarCruft’un oyunun kaynak koduna erişmediğini, yalnızca sqgame web sitesine veya web sunucusuna eriştiğini ve bunun yerine orijinal oyun APK’larını alıp kötü amaçlı kod ekleyerek yeniden derlediğini veya yeniden paketlediğini düşünüyoruz.

Truva atı bulaşmış APK’larda, AndroidManifest.xml dosyasındaki giriş noktası etkinliği değiştirilmiş ve eklenen kötü amaçlı koda yönlendirilmiştir; bu kod, arka kapıyı başlattıktan sonra oyunun orijinal giriş etkinliğini çalıştırmaktadır.

Analiz edilen örneklerde, değiştirilen giriş noktası etkinliği ya com.example.zhuagou.SplashScreen ya da com.mob.util.MobSs (en son örnekte) idi. AndroidManifest.xml’deki değişiklikler, arka kapı için yeni etkinlik ve hizmet tanımlarının yanı sıra çalışması için gerekli ek izinleri de içerir. Orijinal oyundaki paketler ile trojanize edilmiş versiyonundaki paketlerin karşılaştırması Şekil 3‘te gösterilmektedir.

Şekil 3. Orijinal oyunun (solda) ve trojanize edilmiş versiyonunun (sağda) paket ağacı

Android BirdCall arka kapısı, sisteme yüklenen trojanize edilmiş bir Android uygulamasının parçası olduğundan kurulumdan veya cihazın yeniden başlatılmasından sonra otomatik olarak başlamaz; bunun yerine, kullanıcının çalıştırmasına bağlıdır.

Yapılandırma

Android BirdCall, ilk çalıştırmada başlatılan varsayılan bir yapılandırma içerir. Bu yapılandırma JSON formatında olup bir dosyada saklanır. Sonraki çalıştırmalarda mevcut yapılandırma dosyası yüklenir ve yapılandırma arka kapı komutları aracılığıyla değiştirilebilir. Biçimlendirilmiş bir yapılandırma örneği Şekil 4’te gösterilmiştir.

Şekil 4. Android BirdCall yapılandırma örneği

bd_version yapılandırma girdisi, arka kapının sürümünü MAJOR << 5 | MINOR olarak kodlar; dolayısıyla 37 değeri, 1.5 sürümüne karşılık gelir.

Kalıcı yapılandırma dosyası, uygulamanın veri dizininde depolanır ve cihaza özgü bir yola sahiptir. Ayrıca yapılandırma başlatma sırasında, örnekte sabit kodlanmış bulut depolama sürücülerinin varsayılan yapılandırması harici bir kaynak tarafından geçersiz kılınabilir. Varsa arka kapı, üst katmanına gömülü şifrelenmiş bir bulut yapılandırması içeren bir JPG görüntüsünü indirir. Görüntü genellikle ele geçirilmiş bir Güney Kore web sitesinde barındırılır.

C&C iletişimi

Android BirdCall, Windows sürümüne benzer şekilde C&C iletişimi için bulut depolama sürücülerini kullanır. Analiz edilen örneklerde pCloud, Yandex Disk ve Zoho WorkDrive olmak üzere üç bulut sağlayıcısı desteklenmektedir ancak yalnızca Zoho WorkDrive kullanılmaktadır. Arka kapı, HTTPS üzerinden iletişim kurar ve okhttp3 kütüphanesini kullanarak ilgili sağlayıcının API uç noktalarına istekler gönderir.

Araştırmamız sırasında, Android BirdCall arka kapısı tarafından komuta ve kontrol (C&C) amaçlarıyla kullanılan 12 adet Zoho WorkDrive sürücüsü tespit ettik. İlgili hesapların ayrıntıları Tablo 2’de gösterilmiştir.

Tablo 2. Android BirdCall Zoho WorkDrive hesapları

Yetenekler

Android BirdCall, bir güncelleme mekanizmasına sahiptir: Uygulama verileri dizininde APK biçiminde bulunması beklenen bir güncelleme dosyasından daha yeni bir sürüm yüklenebilir ve bu dosyanın indirilmesi MP_SEND_FILE komutu ile başlatılır.

İsteğe bağlı güncelleme prosedürünün ardından, şüphe uyandırmamak için orijinal oyun etkinliği başlatılır. Ardından arka kapı, ana işlevine geçmeden önce internet bağlantısını kontrol eder ve bekler.

Veri toplama

İlk çalıştırmada, arka kapı, cihazın birincil paylaşılan harici depolama alanının tam dizin listesini ve kişi listesi, arama günlüğü ve SMS mesajlarından oluşan kullanıcı verilerini toplar.

Arka kapı, C&C ile periyodik olarak bağlantı kurar ve aşağıdakilerden oluşan temel bilgileri yükler:

• yapılandırma ve geçerli saatten alınan tanımlayıcı değerleri,
• pil sıcaklığı, RAM ve depolama bilgileri, bulut yapılandırması, arka kapı sürümü ve ilgi çekici dosya uzantıları,
• https://ipinfo[.]io/json adresinden alınan IP coğrafi konum bilgileri,
• ilk çalıştırmada, cihaz, ağ ve uygulama hakkında ek bilgiler de dâhil edilir:
  • marka, model, işletim sistemi, çekirdek ve root durumu,
  •  IMEI numarası, IP adresi, MAC adresi ve ağ türü,
  •  uygulama paketi ve izinler.

Arka kapı, belirli aralıklarla ekran görüntüsü alabilir (scr bayrağı). Bazı sürümlerde, ekran görüntüsü alınırken sessiz bir MP3 dosyasının döngüsel olarak çalınması tekniğini gözlemledik; bu teknik, trojan bulaşmış uygulamanın arka planda çalışırken askıya alınmasını önlemek için kullanılır.

Bazı sürümlerde, arka kapı mikrofon aracılığıyla ses kaydı yapabilir ve ele geçirilen cihazın çevresini dinleyebilir. Garip bir şekilde, kayıt özelliği etkinleştirilmiş olsa bile (rec bayrağı) bu özellik yerel saatle akşam 7’den 10’a kadar olan üç saatlik bir süre ile sınırlıdır.

Arka kapı, paylaşılan harici depolama alanını belirli (extentions) sahip dosyalar için düzenli olarak tarar ve bu dosyaları sızdırılmak üzere hazırlar. İncelediğimiz örneklerde, sızdırma işlemi medya dosyaları, belgeler ve özel anahtarları hedef almaktaydı: .jpg, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .txt,.hwp, .pdf,.m4a ve .p12.

Komutlar

Android BirdCall, bulut depolama sürücüsünü kurban için verilen komutlar açısından periyodik olarak kontrol eder. Şifresi çözülmüş komutlar,0x2A7B4C33 sihirli DWORD ile başlar ve bu değer, BirdCall’un Windows sürümüyle eşleşir. Komutlar, türlerine bağlı olarak sıfır veya daha fazla parametreye sahiptir. Tablo 3, her iki platform için desteklenen komutların açıklamalarıyla birlikte genel bir özetini göstermektedir.

Android sürümündeki arka kapı, Windows sürümünde bulunan komutların yalnızca bir kısmını desteklemektedir.

Tablo 3. BirdCall arka kapı komutları

Bu saldırıda gözlemlediğimiz versiyona büyük ölçüde benzeyen ve yukarıda listelenen tüm komutları içeren BirdCall’un Windows sürümünü barındıran bir döküm, VirusTotal’da SHA-1 B06110E0FEB7592872E380B7E3B8F77D80DD1108 numarasıyla bulunabilir. Örnek, 15 Temmuz 2024 tarihinde Çin’den yüklenmiştir.

Sonuç

Güvenliği ihlal edilmiş bir video oyun platformu aracılığıyla Yanbian bölgesini hedef alan çok platformlu bir tedarik zinciri saldırısı ortaya çıkardık. Platformdaki trojanize edilmiş Android oyunlarını analiz ederek, ScarCruft’un cephaneliğinde yeni bir araç keşfettik: Grubun BirdCall arka kapısının Android sürümü. Android arka kapısı aktif olarak geliştirilmekte olup, kişisel verilerin ve belgelerin toplanması, ekran görüntülerinin alınması ve ses kayıtlarının yapılması gibi gözetim yetenekleri sunmaktadır.

IOC’ler

Kapsamlı bir tehlike göstergesi (IoC) listesi ve örnekler GitHub depomuzda bulunabilir.

Files

Network

MITRE ATT&CK teknikleri

Bu tablo, MITRE ATT&CK Enterprise çerçevesinin 18. sürümü kullanılarak oluşturulmuştur.

Bu tablo, MITRE ATT&CK Mobile çerçevesinin 18. sürümü kullanılarak oluşturulmuştur.