Ravie Lakshmanan 21 Eki 2026 Siber Casusluk / Tehdit İstihbaratı
Belarus yanlısı bir hacktivist grup, Rus bir sağlık kuruluşunun ağında neredeyse iki yıl kaldı.
Rus siber güvenlik firması Solar'ın yayımladığı rapora göre faaliyet, Partisan Zmiy kod adlı tehdit kümesine atfedildi; bu grup Cyber Partisans olarak da biliniyor.
En az 2020'den beri aktif olduğu bilinen grup, Rusya ve Belarus'taki sanayi kuruluşları ile devlet kurumlarına Telegram üzerinden komuta-kontrol ve veri sızdırma amacıyla Vasilek adlı backdoor ile saldırma geçmişine sahip.
Bazı saldırılarda, sistemde meşru FortiClient VPN programını aynı anda kuran ve saldırganların enfekte bilgisayarı kontrol etmesini sağlayan açık kaynaklı DNSCat2 programını da dağıtan kimlik avı tuzağı kullanıldı.
Tehdit aktörünün dikkat çeken yönlerinden biri, Pryanik adını verdiği bir silme aracıyla yıkıcı saldırılar düzenleme yeteneği ve Evlx adlı bir yardımcı programla Windows olay günlüklerini sistematik olarak temizlemesi.
Rostelecom iştiraki, sızıntıyı Aralık 2025'te keşfettiğini söyledi; ancak kanıtlar, uzlaşma belirtilerinin en erken 2024 başlarına dayandığını gösteriyor. Hedef kuruluşun adı açıklanmadı. Kuruluşa sızma için kullanılan kesin ilk erişim vektörü de bilinmiyor.
Cyber Partisans'a bağlanan diğer saldırılardan farklı olarak tehdit aktörleri, ağda uzun süre kaldı ancak yıkıcı bir faaliyet göstermedi; bu durum işleyiş biçiminde bir değişime işaret ediyor.
"Saldırıya uğrayan kuruluş kapsamlı bir altyapıya ve çok sayıda bağlı tıbbi kurumla karşılıklı güven ilişkisine sahipti," dedi Solar. "Altyapı bozulmasının olmamasının nedeni tam olarak bu erişimin daha fazla casusluk ve güven ilişkisi saldırıları için değeri olduğunu düşünüyoruz."
Sızıntı kapsamında gözlemlenen, kalıcılığı sürdürmek ve yüzeysel incelemeden kaçınmak için meşru bir VMware bileşeni gibi davranan bir yükleyici-zamanlayıcı hizmeti "vmauad" var. Bunu başarmak için saldırganların, kötü amaçlı yürütülebilir dosyaları yerleştirmek ya da meşru VMware DLL'lerini Vasilek backdoor'unu içeren kötü amaçlı bir sürüm "vmtools.dll" ile değiştirmek üzere güvenilen ancak izlenmeyen bir VMware Tools dizin konumundan yararlandığı belirtiliyor.
Windows hizmetinin birincil sorumluluğu, Cumartesi günleri her hafta saat 22.00 ile 23.00 arasında her hafta bir GOST tüneli başlatan ve hizmet başladıktan sekiz saat sonra bir kez güncellenmiş Vasilek sürümü 1.5.8'i çalıştıran "C:\Program Files\VMware\VMware Tools\authd.exe" adlı kötü amaçlı ikiliyi başlatmak.
Kurulduktan sonra Vasilek, enfekte bilgisayar hakkında bilgi toplama, Windows komutları çalıştırma, işlem başlatma ve sonlandırma, dosya aktarma, ekran görüntüsü alma, tuş vuruşlarını kaydetme ve runas yoluyla yetki yükseltme yapabilme yeteneğine sahip. Ayrıca makinenin uyku moduna geçmesini engelleyebilir ve kendini güncelleyebilir ya da kaldırabilir.
Yeni eklenenlerden biri, adından da anlaşılacağı üzere backdoor'un imleci hareket ettirip kurbanın ekranında kullanıcı girdisini simüle etmesine olanak tanıyan "move_cursor" komutu.
"Grup, yeni yetenekler yerine gizlilik ve operasyonel güvenliğe sürekli yatırım yapıyor: iki bağımsız bileşende ana bilgisayar adı bağlama, geceleri planlı yük başlatma, sistem proxy'sinin devralınması, meşru olarak kurulmuş ancak kullanılmayan yazılım taklidi, aynı yollar üzerinden dosya rotasyonu, zaman damgası değiştirme, dışa giden mesaj bastırma ve grup adına operatör sohbetlerinde anonim mesajlar," diye kaydetti Solar.
"Backdoor'un özellik seti dört revizyonda büyük ölçüde değişmedi. Telegram Rusya'da internet servis sağlayıcıları tarafından engellendiğinden, Vasilek backdoor ile C2 arasındaki iletişim kararsız hale geldi."
Açıklama, Solar'ın aynı zamanda ödemeler ve satın alma siparişleri gibi iş temalı belgeleri taklit eden JavaScript ekleri kullanan bir kimlik avı kampanyasının ayrıntılarını da açıkladığı bir dönemde geldi; bu kampanya daha önce bildirilmemiş HypeAgent adlı kötü amaçlı yazılım ailesini dağıtıyor.
Windows kötü amaçlı yazılımı, enfekte sistemler üzerinde tam kontrol sağlamak için tasarlanmış tam özellikli bir truva atı; dosyaları çalma, konsol açma, masaüstü duvar kağıdını değiştirme, web kamerasını açma, tuş vuruşlarını kaydetme, gizli VNC ve RDP oturumları başlatma, fareyi kontrol etme ve hatta bir kripto para madencisi dağıtma yeteneğine sahip.
Ayrıca Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude ve Cursor ile ilişkili çerezleri çalma ve kurulu Exodus cüzdan uygulamasını, kurbanın şifresi, PIN'i, tohum ifadesi ve özel anahtarını toplayabilecek JavaScript enjekte edecek şekilde bozma kapasitesine sahip.
Bu yılın haziran ayında Solar, Rus web sitelerine ve çevrimiçi platformlara otomatik istekler gönderen meşru altyapının ProxyCB proxyware botnet kötü amaçlı yazılımı tarafından ele geçirildiğini gözlemledi; aynı zamanda botnet altyapısı ile TeamViewer'ı keşif ve veri hırsızlığı için kötüye kullanmasıyla bilinen bir tehdit kümesi olan TeamSpy'a atfedilen tarihsel faaliyet arasında olası örtüşmeler tespit edildi.
Geçen ay ABD Adalet Bakanlığı, Mayıs 2025'te Kıbrıs'tan iade edilen 40 yaşındaki Rus vatandaşı Searzhudin Tamirlanovich Aktulaev'i suçladı. Aktulaev'in 2016 ve 2017'de tanınmış bir serbest istihdam platformunun çevrimiçi mesajlaşma hizmetini kötüye kullanarak 255 sahte hesapla yaklaşık 80.000 kullanıcısına kötü amaçlı Excel ekleri gönderdiği iddia edildi.
Saldırılar, TVRAT varyantı Sheldor, SpyAgent, TeamBot, TeamSpy ve TVSPY olarak da bilinen ve DarkVNC'nin de bulunduğu iki tür kötü amaçlı yazılımın dağıtılmasına yol açtı; bu yazılımlar kurban bilgisayarından verileri toplayıp saldırganın kontrolündeki uzak bir sunucuya gönderdi. Bu şema sonucunda binlerce bilgisayarın enfekte olduğu değerlendirildi.
