--- title: "Güney Asya'yı hedef alan siber casusluk kampanyasında Bitter tehdit aktörleri yeni PapRAT arka kapısını yaydı" url: "https://teknotayf.com/haber/guney-asya-yi-hedef-alan-siber-casusluk-kampanyasinda-bitter-tehdit-aktorleri-yeni-paprat-arka-kapisini-yaydi" markdown_url: "https://teknotayf.com/haber/guney-asya-yi-hedef-alan-siber-casusluk-kampanyasinda-bitter-tehdit-aktorleri-yeni-paprat-arka-kapisini-yaydi.md" site: "teknotayf.com" language: "tr" published: "2026-11-09 17:31:29" updated: "2026-11-09 17:26:51" category: "Siber Güvenlik" tags: ["Tehdit İstihbaratı","Siber Casusluk","PapRAT","Bitter APT","Güney Asya"] source: "The Hacker News" --- # Güney Asya'yı hedef alan siber casusluk kampanyasında Bitter tehdit aktörleri yeni PapRAT arka kapısını yaydı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/guney-asya-yi-hedef-alan-siber-casusluk-kampanyasinda-bitter-tehdit-aktorleri-yeni-paprat-arka-kapisini-yaydi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Bitter olarak bilinen Güney Asya odaklı tehdit aktörü, PapRAT adlı yeni bir uzaktan erişim truva atını kullanıyor. Fortinet araştırmacıları, C++ ve Rust sürümleriyle çalışan zararlı yazılımın üç farklı enfeksiyon zinciriyle yayıldığını tespit etti. Araç, komut çalıştırma, dosya yönetimi ve ekran görüntüsü alma gibi yeteneklerle casusluk faaliyetlerini destekliyor. - **Yayın tarihi:** 2026-11-09 17:31 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Tehdit İstihbaratı, Siber Casusluk, PapRAT, Bitter APT, Güney Asya - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/11/bitter-hackers-deploy-new-paprat.html) ![Güney Asya'yı hedef alan siber casusluk kampanyasında Bitter tehdit aktörleri yeni PapRAT arka kapısını yaydı](https://teknotayf.com/assets/uploads/2026/11/eac013ac8120418902c3064df62318f4.jpg) Ravie Lakshmanan 09 Kasım 2026 Siber Casusluk / Tehdit İstihbaratı Güney Asya siber casusluk grubu olarak bilinen **Bitter** (aynı zamanda APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17 ve TA397 olarak da biliniyor) daha önce bildirilmemiş bir uzaktan erişim truva atı olan **PapRAT** ile Güney Asya'daki kuruluşları hedef aldığı görüldü. "PapRAT'ın hem C++ hem de Rust uygulamaları var" diyen Fortinet FortiGuard Labs araştırmacısı Cara Lin, "Yetenekleri arasında komut çalıştırma, dosya yükleme ve indirme, dosya silme, dizin ve sürücü numaralandırma ve ekran görüntüsü yakalama bulunuyor. Rust sürümü PowerShell çalıştırma ve diğer komutları ekliyor" ifadelerini kullandı. Kampanya, üç farklı enfeksiyon zincirinin kullanılmasıyla dikkat çekiyor. Bir Windows Kısayolu (LNK) dosyası, komut ve denetim sunucusu (C2) ile teması sürdürmek üzere tasarlanmış komut dosyalarını çalıştırmak ve planlanmış görevler oluşturmak için yerel "ftp.exe" yardımcı programını kötüye kullanıyor. Bir VHDX disk görüntüsü, arka planda PapRAT'ı dağıtmak için bir MSI yükleyici çalıştırırken bir yem Microsoft Excel elektronik tablosunu başlatan bir LNK dosyası içeriyor. Bir URL kısayolu (URL) dosyası, WebDAV üzerinden bir LNK dosyası getiriyor ve bu da PapRAT'ı dağıtan bir MSI yükleyiciye yol açıyor. Living-off-the-land (LotL) yaklaşımı, komutları uzaktan bir sunucudan ("goodnfortunes[.]com") yürütmek üzere tasarlandı ve dizin ve görev listelerini toplamasına, Masaüstü, Belgeler ve İndirilenler'den dizin bilgilerini, yüklü antivirüs ürün verilerini ve bağlanmış sürücüleri toplamayı sağlıyor. Toplanan keşif bilgileri "abc.pdf" olarak kaydediliyor ve bir curl komutuyla C2 sunucusuna geri sızdırılıyor, ardından sahnelenecek dosya ana bilgisayardan siliniyor. Komut dosyasının ikinci bir sürümü, "techtalkhelp[.]com" adresinden "talk.log" adlı bir dosya getirmesi için bulundu. Yük, aynı sunucudan ek talimatlar almak ve bunları PowerShell komutları olarak çalıştırmak için Base64 ile kodlanmış bir komut dosyası içeriyor. "Bu sahneleme modeli saldırgana operasyonel esneklik sağlıyor, komutlar yeni bir ikili göndermeden sunucu tarafında güncelleniyor, bu da bazı güvenlik cihazlarının kolayca tespit edebileceği PE bırakma ve süreç enjeksiyonundan kaçınıyor" dedi Fortinet. ![](https://teknotayf.com/assets/uploads/2026/11/0d900a332e0cc2608684e38ff64b6e50.webp) İkinci saldırı zincirinde MSI yükleyici aracılığıyla teslim edilen PapRAT kötü amaçlı yazılımı uzaktan kontrol için tasarlandı. Sekiz komutu destekliyor. MSG, uzaktan kabuk için FDD, dizin listeleme için DEL, dosya silme için RUN, keyfi dosya çalıştırma için GDR, sürücü numaralandırma için SS1, ekran görüntüsü yakalama için UPP, yerel dosyaları C2 sunucusu ("rivingtonclarks[.]com") üzerine yüklemek için DWW, C2 sunucusundan dosya indirmek için Kötü amaçlı yazılımın Rust sürümü üç komut daha içeriyor. MS2, PowerShell komut çalıştırma için SLP, uyku ve yoklama sürdürme için BYE, süreç sonlandırma için Üçüncü saldırı zincirinin dikkat çekici bir yönü, bir komut dosyasını kullanarak curl ile bir MSI yükleyici indirmesi ve ilk iki dizinin öne çıkan yönlerini birleştirmesi. Daha önce olduğu gibi MSI yükleyici PapRAT için bir kanal görevi görüyor ve ardından Bitter tarafından kullanıldığı daha önce tespit edilen bir kötü amaçlı yazılım olan WmRAT'ı bırakmaya devam ediyor. Bulgular, tehdit aktörünün hedeflenen sistemlere erişim kurmak ve sürdürmek için özel cephaneliğini sürekli olarak geliştirmeye devam ettiğini gösteriyor. "Bu değişiklikler, bilinen kötü amaçlı yazılım imzalarını tespit etmenin yanı sıra komut dosyası araçları, planlanmış görevler ve yükleyici etkinliği genelinde kötü amaçlı davranışı izlemenin önemini vurguluyor" diyen Fortinet, "Kuruluşlar, özellikle istenmeyen mesajlarla teslim edildiğinde beklenmeyen LNK dosyaları, URL kısayolları, disk görüntüleri ve MSI paketlerine karşı temkinli davranmalı" ifadelerini kaydetti. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/guney-asya-yi-hedef-alan-siber-casusluk-kampanyasinda-bitter-tehdit-aktorleri-yeni-paprat-arka-kapisini-yaydi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.