---
title: "Çin Bağlantılı JadeProx, Devlet ve Sağlık Kurumlarına Yeni TriBack Yükleyicisiyle Saldırıyor"
url: "https://teknotayf.com/haber/cin-baglantili-jadeprox-devlet-ve-saglik-kurumlarina-yeni-triback-yukleyicisiyle-saldiriyor"
markdown_url: "https://teknotayf.com/haber/cin-baglantili-jadeprox-devlet-ve-saglik-kurumlarina-yeni-triback-yukleyicisiyle-saldiriyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-07-23 20:06:17"
updated: "2026-07-23 17:06:17"
category: "Siber Güvenlik"
tags: ["Siber Güvenlik","Tehdit İstihbaratı","Casus Yazılım","Kritik Altyapı","Çin Bağlantılı Saldırı"]
source: "The Hacker News"
---

# Çin Bağlantılı JadeProx, Devlet ve Sağlık Kurumlarına Yeni TriBack Yükleyicisiyle Saldırıyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/cin-baglantili-jadeprox-devlet-ve-saglik-kurumlarina-yeni-triback-yukleyicisiyle-saldiriyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Açıkta bırakılan bir Alibaba Cloud sunucusu, Çin bağlantılı bir siber saldırı operasyonunu gün yüzüne çıkardı. Group-IB'nin JadeProx adını verdiği bu grup, Asya ve Latin Amerika'daki devlet, sağlık ve eğitim kurumlarını daha önce belgelenmemiş bir Windows yükleyicisi olan TriBack Loader ile hedef aldı.

- **Yayın tarihi:** 2026-07-23 20:06
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Güvenlik, Tehdit İstihbaratı, Casus Yazılım, Kritik Altyapı, Çin Bağlantılı Saldırı
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/07/china-nexus-jadeprox-uses-new-triback.html)

![Çin Bağlantılı JadeProx, Devlet ve Sağlık Kurumlarına Yeni TriBack Yükleyicisiyle Saldırıyor](https://teknotayf.com/assets/uploads/2026/07/e03004630d7f102c9d782fb5e223bb3f.jpg)

Açıkta bırakılan bir Alibaba Cloud sunucusu, Çin bağlantılı bir operasyonu ortaya çıkardı. Group-IB bu operasyonu **JadeProx** adıyla takip ediyor. Grup, Asya ve Latin Amerika'daki devlet, sağlık ve eğitim kurumlarını daha önce belgelenmemiş bir Windows yükleyicisi olan TriBack Loader ile hedef aldı.

Group-IB, sunucuyu Nisan 2026 ortasında Alibaba Cloud'un Singapur bölgesinde buldu. 23 Temmuz 2026'da yayımlanan [rapor](https://www.group-ib.com/blog/jadeprox-china-nexus-triback-loader/) yayımlandığında sunucu çevrimdışıydı.

Sunucunun bash geçmişi, kimlik avı paketleri, sömürü sonrası araçları ve web kabuk yolları operasyonu gözler önüne serdi: Vietnam'daki bir kamu hastanesinin tıbbi görüntüleme sistemine ve Malezya Dışişleri Bakanlığı'na yönelik aktif sızmalar, Hong Kong eğitim altyapısına yönelik tarama ve istismar girişimleri ve Honduras Ulusal Kongresi'ne gönderilmiş bir hedefli kimlik avı paketi.

Operatörler, açıkta bırakılan bir Java yönetim arayüzüne yerleştirdikleri web kabukları aracılığıyla hastanenin görüntüleme sunucusuna ulaştı.

## Tek Yükleyici, Dört Farklı Sürüm

TriBack Loader, DLL sideloading (DLL yandan yükleme) etrafında inşa edilmiş dört farklı enfeksiyon zincirinde karşımıza çıkıyor. Kurtarılan sürümlerin çoğu, meşru bir imzalı çalıştırılabilir dosyayı, kötü amaçlı bir DLL'yi ve şifrelenmiş bir .dat veya .log yükünü bir araya getiriyor.

DLL, yükün baytlarını ters çeviriyor, dönen bir anahtarla XOR'luyor ve kabuk kodunu Win32 çağrıları aracılığıyla çalıştırıyor. Bu çağrılar, EDR (Uç Nokta Tespit ve Yanıt) sistemlerinin CreateThread'den daha az izlediği işlemler.

Bu son çağrı, varyantlar arasında değişiklik gösteriyor: İki varyantta InitOnceExecuteOnce ve bir TimerCallback, üçüncü bir varyantta ise ntdll'deki belgelenmemiş bir iş parçacığı oluşturma rutini olan EtwpCreateEtwThread kullanılıyor. İmzalı ana bilgisayar ikili dosyası da varyantlar arasında değişiyor. Araştırmacılar, tekrarlanan API dizisinin özel bir yükleyici oluşturucuya işaret ettiğini söylüyor.

İki varyant, açık kaynaklı bir sömürü sonrası çerçeve olan [AdaptixC2](https://github.com/Adaptix-Framework/AdaptixC2)'yi teslim etti. Claude temalı bir varyant, [Sophos](https://www.sophos.com/en-us/blog/donuts-and-beagles-fake-claude-site-spreads-backdoor)'un ilk kez belgelediği bir arka kapı olan [Beagle](https://thehackernews.com/2026/05/weekly-recap-linux-rootkit-macos-crypto.html)'ı çalıştırmak için DonutLoader'ı kullandı. Dördüncü varyantın yükü bilinmiyor; şifrelenmiş eşlik eden dosyası hiçbir zaman kurtarılamadı.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/cin-baglantili-jadeprox-devlet-ve-saglik-kurumlarina-yeni-triback-yukleyicisiyle-saldiriyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.