Çin’in ABD’ye Yönelik Stratejik Siber Operasyonları
Dünyadaki iki önemli siber güç olan ABD ile Çin’in “siber mücadelesi” son birkaç yılda giderek daha şiddetli ve etkin hale geliyor. Bu mücadelede özellikle Çin’in daha etkili faaliyetleri olduğu görülüyor. 2024 yılı itibarıyla Çinli aktörlerin siber casusluk operasyonlarında ve hedef odaklı siber saldırılarda vites yükselttiğini söylemek mümkün.
Pekin’in yalnızca 2024 yılı içerisinde ABD’ye yönelik operasyonlarına baktığımızda bu durum net olarak görülebiliyor. Örneğin, bu yılın başlarında Çin’in ABD’ye yönelik gerçekleştirdiği siber operasyon, pek çok açıdan önemli. Çin adeta, ABD ile olası siber savaşa hazırlık için stratejik planlama ve operasyon yürütmüş. Bu operasyona ve kaynaklara yansıyan diğer siber operasyonlara kısaca bakalım.
Birinci botnet operasyonu: Eski cihazlar
Geçtiğimiz Ocak ayının sonunda Çinli siber casusların, ABD ile olası çatışma veya savaş durumunda yıkıcı siber saldırılar başlatabilmek için ABD'deki askeri ve sivil kritik altyapılara sızdıkları tespit edilmişti. Basında çıkan bilgilere göre, Çin devletine bağlı hackerlar, ABD'deki kullanım süresi dolmak üzere olan router cihazları (yönlendirici) ele geçirmiş ve bunları daha sonra ABD'nin kritik altyapılarına siber saldırı yapmak için kullanmış. FBI'ın konuya dair yaptığı açıklamaya göre, sızdığı cihazları bir botnet ağına dönüştüren Çinli hackerlar, bu cihazlar üzerinden ABD’ye siber saldırı düzenliyorlar. Bu yöntemle, siber saldırıların ABD menşeli olduğunu göstermeye çalışıyorlardı. Yani Çinli siber aktörler, Pekin'den Washington'a siber saldırı yaptığında bu saldırılar ABD sınırları içerisinden gelmiş gibi görünüyordu.
Çin’in bu eylemi nasıl yaptığına dair bulgular, konunun önemini gösteriyor. “Volt Typhoon” olarak adlandırılan bu siber casuslar, kötü amaçlı yazılım kullanarak sızdıkları yönlendiricileri kendi kontrol ettikleri bir ağa bağlamışlar. Botnet görevi gören bu ağ üzerinden Çinliler, gelecekte ABD'ye etkili siber saldırılar yürütebilmek için ABD'nin kritik altyapı kuruluşlarının ağlarına bağlantı kurmuşlar.
ABD'deki yetkililere göre Çinliler bu operasyonu istihbarat toplama amaçlı değil, gelecekte büyük yıkıcı siber saldırılar yürütebilmek için yaptı. ABD Siber Komutanlığı USCYBERCOM'un komutanı (aynı zamanda NSA'in direktörü), Çin'in mevcut siber tehdidinin, ABD ve müttefiklerinin şimdiye kadar karşılaştığı hiçbir soruna benzemediğini söyledi.
Bu olay, devlet destekli siber saldırılarda kullanılmak üzere ele geçirilen eski ve güncelleme almayan cihazlardaki ciddi bir problemi ortaya koyuyor. Herhangi bir güncelleme almadığı ve yenilenmediği için kalıcı olarak savunmasız olan bu cihazlar, yalnızca sahipleri için değil aynı zamanda genel olarak toplum için de bir tehdit oluşturuyor.
ABD ile olası siber savaşa hazırlık
ABD’nin duyurduğu bu olaydan bir hafta sonra FBI, NSA ve CISA, ilgili siber operasyonların çok daha kritik seviyede tehdit olduğunu gösteren bir rapor paylaştılar. Bu raporda, Çin'in 5 sene önce ABD'deki iletişim, enerji ve ulaştırma sistemleri altyapılarını hackleyip bugüne kadar fark edilmeden "içeride" kaldıklarını tespit ettiklerini açıkladılar.
Volt Typhoon adı verilen ve Çin Devlet Güvenlik Bakanlığı ilişkili olduğu ifade edilen siber casuslar, ilk olarak sızma öncesi kapsamlı bir keşif gerçekleştirmiş. Sonra sızılacak ortama göre teknik ve taktik geliştirip hedef sistemleri ele geçirmişler. Daha sonra ise bugüne kadar süren dinleme / izleme operasyonunu sürdürmüşler.
Rapora göre Volt Typhoon, hedeflediği sistemin ağ mimarisi ve protokolleri hakkında bilgi edinmek için keşif faaliyeti yürütmüş. Siber casuslar, sızdıkları kurumlardan elde ettikleri kimlik bilgileriyle o kurumdaki ağlarda gizlice, tıpkı bir yöneticiymiş gibi, çeşitli operasyonlar yönetmişler. Hesaplara başarılı bir şekilde erişim sağladıktan sonra siber casuslar, sızdıkları kurumlarda minimum düzeyde aktivite sergilemişler.
Bu eylem, amaçlarının anlık saldırı yerine kalıcı olmayı sürdürmek olduğunu gösteriyor. Çünkü çok uzun bir süre sızdıkları ağlarda sessiz kalıp ortam ve bağlantılı diğer kurumlar hakkında bilgi edinmek için keşif yapmışlar. Volt Typhoon, dokuz aylık bir süre boyunca önce bir dosya sunucusuna, bir etki alanı denetleyicisine, bir Oracle Yönetim Sunucusuna (OMS) ve sonra bir VMware vCenter sunucusuna giriş yapmışlar. Daha sonra ise veri sızdırma işlemlerini gerçekleştirmişler.
Yani bütün operasyonlarını bu ele geçirdikleri ağ üzerinden koordine ettiler. Dolayısıyla yıllar süren bu faaliyetlerin sonunda bu siber operasyon ABD içinden gelmiş gibi göründü. Çinli siber casuslar bu yıllar süren operasyonda Fortinet, Ivanti, Netgear, Citrix ve Cisco gibi cihazlardaki kritik açıkları kullanmışlar.
Volt Typhoon'un bu operasyonunun başarısının altında yatan şey, kayda değer ölçüde veri sızdırmadan ilgili ağlar üzerinde 5 yıl boyunca sessiz kalabilmesidir. ABD'li istihbarat yetkilileri, Çinli hackerların ele geçirdikleri sistemlerle ve kurumlarla ilgili bütün hassas bilgileri ileride kullanacakları ve ABD'ye büyük zarar vereceklerine inanıyor.
Denizaltı kablolar üzerinden siber casusluk
ABD’nin bu açıklamalarından aylar sonra, Mayıs ayında, yine Çin kaynaklı bir siber operasyona değiniyor. Ancak bu kez Çin’in çok daha farklı teknik ve stratejilerle faaliyet yürütmesi söz konusu oluyor.
ABD’deki Dışişleri Bakanlığı kaynaklarının, Çin'in denizaltı internet kabloları aracılığıyla casusluk yaptığından şüphelendiklerine dair bir haber çıktı. Dışişleri Bakanlığı'na göre, Pasifik'teki deniz altı kablolarını döşeyen ve onaran Çinli SB Submarine Systems şirketi, gemilerinin konumlarını uydu izleme sistemlerinden gizlemişti. Şirkete ait birçok geminin, Tayvan, Endonezya ve Asya'nın diğer kıyı bölgelerinde çalışırken, bazen günlerce uydu takip sistemlerinden kaybolduğu belirtilmişti.
İlgili raporlarda, gemilerin kablolar üzerinden dinleme, keşif amacıyla okyanus tabanının haritasını çıkarma veya kablo ekipmanlarında kullanılan fikri mülkiyet hırsızlığı faaliyetlerine girişebileceğine dair endişeler dile getiriliyor. Ayrıca bu gemilerin Çin ordusunun altyapısı için kablo döşediği de düşünülüyor.
Bu olay da Çin’in sadece cihazlar ve sistemler üzerinden değil, internetin yüzde 95’ini taşıyan denizaltı kablolar üzerinden de siber casusluk ve siber saldırı faaliyeti yürütebileceğini gösteriyor. ABD’nin endişesi de tam olarak bu yönde. Dünyadaki denizaltı fiberoptik kabloların döşenmesi sürecinde Çin’in de dahil olduğu bilgisinden hareketle bu endişelerin yerinde olduğunu söylemek gerekiyor.
İkinci botnet operasyonu: Flax Typhoon
FBI, NSA ve CISA’nın, Çin hükümetiyle bağlantıları olan küresel bir botnet'i bozmak için çok kritik bir operasyon düzenledikleri açıklandı. Flax Typhoon olarak izlenen grubun, kuruluşları tehlikeye atmak ve verileri sızdırmak için bir operasyonun parçası olarak dünya çapında yüz binlerce cihazı enfekte ettiği belirtildi.
Yapılan araştırmalarda Flax Typhoon'un, Çin hükümetiyle bağlantıları olan Integrity Technology Group şirketi ile yakın ilişkileri olduğu ortaya çıktı. Çin merkezli bir şirket olan Integrity Technology Group, 2021'in ortalarından bu yana aktif olan bir botnet'i kontrol ediyor ve yönetiyordu. Raporlar, şirketin Haziran 2024 itibarıyla 260.000'den fazla cihazdan oluşan bir botnet ağını kontrol ettiğini belirtiyor.
Botnet'ini oluşturmak için internet yönlendiricilerine odaklanan Volt Typhoon'un aksine Flax Typhoon’un, "kameralar, video kaydediciler ve depolama cihazları gibi nesnelerin interneti (IoT) donanımlarını enfekte ettiği açıklandı. Bu detay, anılan siber aktörün daha farklı hedeflere ve stratejik amaçlara sahip olduğunu gösteriyor. Elbette bu farklılık Flax Typhoon’un diğer aktörlerden bağımsız olduğu ve Çin istihbaratı ile ilişki içerisinde bulunmadığı anlamına gelmiyor.
Öne çıkan diğer Çinli siber casusluk grubu; Salt Typhoon
Yakın tarihe geldiğimizde, yine bir başka Çinli siber casusluk grubunun ABD’deki iletişim altyapılarını hedef aldığını görüyoruz. Pekin bağlantılı bir diğer siber casusluk grubu olan Salt Typhoon'un, veri çalma ve gelecekteki olası siber saldırılar için hazırlıklı olma amacıyla Amerikan internet servis sağlayıcılarına (İSS) ait ağlara sızdığı tespit edildi. Saldırıda hedef olan ve hacklenen İSS'lerin adı o günlerde belirtilmedi. Ancak Çin istihbaratına bağlı hackerların bu operasyonda ABD’deki belirli kişileri hedef aldığı ifade edilmişti.
Bu olaydan bir hafta sonra, deyim yerindeyse skandal patlak verdi. Basına yansıyan bu siber olaya dair soruşturmalar sürerken inanılmaz bilgiler ortaya çıktı. Buna göre yetkililer, ABD hükümetinin, ülke çapında dinlemeler yapmak için telekom operatörlerinde açtığı arka kapılara Çinliler kimseye fark ettirmeden erişmiş ve aylarca bu arka kapılardan dinleme yapmış.
ABD istihbarat servislerinin yasal dinlemeler yapabilmek için ülkenin en büyük telekom operatörleri olan Verizon, AT&T ve Lumen gibi şirketlerde talep ettiği "gizli sistemlere" Çinli Salt Typhoon siber casusların sızdığının ortaya çıkması büyük yankı uyandırdı. Çin Devlet Güvenlik Bakanlığı'na bağlı olduğu bilinen Salt Typhoon’un bu üç telekomünikasyon devinin altyapılarına ne zaman sızdığına dair bilgi paylaşılmadı. Ne tür veriler topladıkları ve faaliyet yürüttükleri de henüz bilinmiyor. FBI ve diğer ilgili birimler, Çinlilerin Cisco yönlendiricileri üzerinden ilk erişimi sağladığını tahmin ediyor.
Çinli siber casuslar, Biden ve Trump’ı dinledi mi?
Geçtiğimiz günlerde ortaya çıkan bir başka hadisede yine Salt Typhoon’un öne çıktığını görüyoruz. Daha önceki iki olayın soruşturmaları sürerken çok önemli ve sarsıcı bazı gerçekler açığa çıktı. Salt Typhoon’un ABD’deki telekom operatörlerine sızdığı ve Donald Trump ve başkan yardımcısı adayı JD Vance'in telefonları dinlediği öne sürüldü. Konu hakkında açıklama yapan FBI, Çin'in siber operasyonla telekomünikasyon altyapılarına sızdığını doğruladı.
Kaynaklar, ABD'nin önde gelen telekom operatörlerinden Verizon'a sızıldığı ve Trump'ın da bu yolla hedef olduğunu söylüyor. Saldırıda Biden dahil ABD hükümetinin içinden de bazı kişilerin hedef alındığı belirtiliyor. Çinli siber casuslar, ABD'li pek çok siyasetçinin telefon görüşmelerini dinleyip ses kayıtlarını da toplamış. Daha da ötesi Çinliler, kısa mesajlar da dahil olmak üzere, bazı şifrelenmemiş iletişimlere de erişebilmişler.
Bu detaylar, Salt Typhoon grubunun stratejik siber casusluğa odaklandığını ve gelecekte uygulanacak plan ve politikalar için hazırlık yaptığını gösteriyor. Ayrıca, hedef alınan telekomünikasyon altyapılarından elde edilecek verilerin genel değil, daha özel olduğu biliniyor. Dolayısıyla burada, belirli politikacı ve üst düzey siyasetçilerin görüşmelerini ve iletişim verilerini elde etmek temel amaç gibi görünüyor.
Beyaz Saray devrede
Çok kritik önemde olan bu olaylar sonrasında Beyaz Saray hızla tüm ilgili kurumlardaki uzmanlardan oluşan bir heyet kurdu. Geçtiğimiz günlerde yapılan açıklamaya göre, "koordinasyon grubu" olarak nitelendirilen bu heyetin, söz konusu olaylarda kimlerin, ne tür ihmalleri olduğunu araştıracağı belirtiliyor.
Anılan bu heyetin, Beyaz Saray’daki Siber Güvenlik İnceleme Kurulu bünyesinde faaliyet gösterdiği biliniyor. 2022’de görevine başlayan Kurul’un, İç Güvenlik Bakanlığı tarafından yönetildiğini ve bünyesinde sektörde görev yapmış önemli siber güvenlik uzmanlarını da barındırdığını vurgulamak gerekir.
Henüz iki yıllık geçmişi olsa da böylesine kritik bir birimin inşa edilmesinin ehemmiyeti büyük. Kurul’un, bağımsız bir birim olarak yürüttüğü soruşturmalardan, sektörden uzmanların da deneyimleri sayesinde, etkili sonuçlar çıkacağı beklenebilir.
ABD’nin Çin’e karşı siber operasyonları
Çin’in siber operasyonlarını incelerken ABD’nin de bu alanda yaptıklarına değinmek gerekir. Basına yansıyan ve tespit edilebilen siber operasyonlara bakıldığında biraz da eskilere gitmek gerekiyor.
Geçtiğimiz yıl basına yansıyan bilgilere göre ABD istihbarat servisi NSA’nın, on yıldan fazladır Huawei üzerinden Çin'i dinlediği tespit edildi. Çin Devlet Güvenlik Bakanlığı’nın raporuna göre, NSA ilk olarak 2009 yılında Huawei'nin sunucularına sızmış. Ve o yıldan beri hem Huawei'yi hem de Çin'i sürekli olarak dinliyormuş.
NSA'ya bağlı olan Özel Erişim Operasyonları Ofisi (TAO)’nin, spesifik olarak geliştirdiği SecondDate adlı siber araçla on yıldan fazladır Çin'den veri toplama amaçlı siber operasyonlar yürüttüğü belirtildi. Hatta Çinli yetkililere göre bu siber operasyonlarda sadece Çin değil, 45 ülke de hedefteydi.
Çin istihbaratına göre NSA, geliştirdiği siber silahları dünya çapındaki pek çok ağda gizlice çalıştırıyor. NSA'daki özel birimin, "güçlü bir siber silah cephaneliği" kurduğunu ve bunlarla veri çalma, arka kapı yerleştirme ve sızma operasyonları yaptığı öne sürülüyor. Rapordaki bir iddia da oldukça önemli. Buna göre ABD, Siber Komutanlık bünyesindeki ekiplerini konuşlandırdığı çeşitli eski Sovyet ülkelerinde yürüttüğü "Hunt forward" siber operasyonlarıyla Çin ve başka ülkelere siber saldırılar yapıyor.
Diğer yandan Çin, ABD’nin ülkelerinde yürüttüğü etki operasyonlarını tespit ettiklerini de açıkladı. Geçtiğimiz Mart ayında yetkililerin yaptığı beyanlara göre Trump’ın emriyle CIA Çin’de bilgi operasyonları yürütmüş.
Buna göre CIA, Çin hükümetine ve üst düzey bürokratlara yönelik olumsuz haberlerle Çin kamuoyunu manipüle etmek için gizli bir istihbarat ve sosyal medya operasyonu başlatmış. Operasyonun 2019'da başladığı ve CIA ajanlarının etki operasyonları için sahte sosyal medya hesapları açtığı açıklandı. Operasyon için talimatın o dönemki ABD başkanı Donald Trump tarafından verildiği ve ilerleyen süreçlerde bu operasyonun Çin dışında Güneydoğu Asya, Afrika ve Güney Pasifik ülkelerindeki kamuoyunu etkilemek için de yürütüldüğü belirtildi.
Tespit edilmeyen veya açıklanmayan siber operasyonlar
ABD’nin Çin’e yönelik siber operasyonlarının tespit edilen ve açıklanan örnekleri özetle bu şekilde. Sadece geçtiğimiz yıl itibarıyla açıklanan siber eylemlerin burada ele alındığını tekrar belirtmekte fayda var. Yoksa elbette daha önceki yıllarda da hem Çin hem ABD tarafının birbirlerine yönelik siber saldırıları çok fazlaydı.
Burada amaç, özellikle son bir yılda atan siber gerilime işaret etmektir. ABD-Çin arasındaki siber çatışmaların giderek yoğunlaştığını bir süredir görüyoruz. Bu bahse konu eylemler de bu gidişatı doğruluyor. Özellikle siber casusluk odaklı faaliyetlerin daha yoğun hal aldığı anlaşılıyor.
Burada bir hususu daha ifade etmek gerekir. Bazı tespit edilen eylemlerin menşei açıklanmadan kamuoyuyla paylaşıldığını görüyoruz. Örneğin bununla ilgili son örnek geçtiğimiz günlerde Çin’den geldi.
Çin istihbarat yetkilileri, okyanus yüzeyinde ve denizin derinliklerinde casusluk cihazları ele geçirdiklerini duyurdu. Ülkenin ana istihbarat birimi olan Devlet Güvenlik Bakanlığı, bazı cihazların deniz yüzeyindeki dalgalarla sürüklendiğini, yüzdüğünü ve karasularını gerçek zamanlı olarak izlediğini, bazılarının ise "su altı deniz feneri" gibi davrandığını belirtti. Ayrıca denizin derinliğinde gizlenmiş, izleme ve gözetleme amaçlı kullanılan çeşitli özel teknik cihazlar ele geçirdiklerini de vurguladı.
Bu olayda failin kim olduğu açıklanmasa da olağan şüpheli her zaman ABD’dir. Son zamanlardaki dış politikada atılan adımlar, Çin hakkındaki suçlamalar ve söylemler, bazı tespit edilen siber operasyonlar ve Çin’in karşı eylemlerine bakıldığında bu çıkarımı yapmak mümkün.
Gittikçe ciddi hal alan Çin menşeli siber operasyonlarına ABD’nin karşılıksız kalacağını ve karşı adım atmayacağını söylemek pek mümkün değil. Zaten her devlet böyle yapar. ABD de Çin de kendilerine yönelik saldırılara elbette karşılık vereceklerdir.
ABD-Çin siber savaşı mümkün mü?
Gelinen noktada hem ABD hem de Çin istihbarat servislerinin, birbirlerine yönelik siber operasyonlarından sadece açıklananları öğrenebiliyoruz. Arka planda başka neler oluyor, bunu ilgili birimler ve karar alıcılar bilecektir. Eminim daha ciddi durumlar da var. Zaten ABD’li istihbarat yetkililerinin Çin için “gittikçe büyüyen ciddi siber tehdit” açıklamalarında bulunması kısmen bunun göstergesidir.
Çin’in siber operasyonlarının genellikle hasar vermekten öte veri elde etme odaklı olduğunu biliyoruz. Kalıcılık ve sürekli eylem hali Çin APT’leri ve diğer siber aktörleri için oldukça önemli. Çünkü bir istihbarat operasyonu bunu gerektirir. Dolayısıyla ABD’ye yönelik özellikle son zamanlardaki siber casusluk odaklı saldırıların arkasında bu düşünce ve politika var.
ABD’nin de benzer şekilde Çin’e karşı casusluk odaklı siber saldırıları söz konusu. Ancak Çin’in yaptıkları kadar haber olmuyorlar. Bunun nedenlerinden biri tespit edilememeleri olabilir. Çünkü kendilerini sürekli suçlayan ABD’nin en küçük siber operasyonunu tespit eden Çinliler bunu elbette afişe edeceklerdir.
Bu tür siber saldırıların nereye evrileceğini şimdiden söylemek zor ancak yakın vadede bir siber savaştan söz etmemiz mümkün değil. İki ülkenin maruz kaldığı bütün bu eylemler ancak “siber çatışma” olarak tanımlanabilir. Siber casusluk odaklı olan bu çatışmalar savaşa dönüşmeyecekse bile şiddeti artacaktır.
