--- title: "Operation QUICSILVER: Myanmar Hükümeti ve IT Sektörüne Yönelik QUICAgent Arka Kapısı" url: "https://teknotayf.com/haber/operation-quicsilver-myanmar-hukumeti-ve-it-sektorune-yonelik-quicagent-arka-kapisi" markdown_url: "https://teknotayf.com/haber/operation-quicsilver-myanmar-hukumeti-ve-it-sektorune-yonelik-quicagent-arka-kapisi.md" site: "teknotayf.com" language: "tr" published: "2026-08-24 15:46:09" updated: "2026-10-04 05:13:45" category: "Siber Güvenlik" tags: ["Siber Casusluk","Operation QUICSILVER","QUICAgent"] source: "The Hacker News" --- # Operation QUICSILVER: Myanmar Hükümeti ve IT Sektörüne Yönelik QUICAgent Arka Kapısı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/operation-quicsilver-myanmar-hukumeti-ve-it-sektorune-yonelik-quicagent-arka-kapisi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Siber güvenlik firması Seqrite Labs, Myanmar’daki hükümet ve bilişim sektörlerini hedef alan Operation QUICSILVER adlı casusluk kampanyasını tespit etti. Kampanya mezuniyet davetiyesi tuzağıyla dağıtılan QUICAgent adlı Go tabanlı arka kapıyı kullanıyor. Araştırmacılar aktivitenin orta düzey güvenle Çin bağlantılı bir tehdit aktörüne ait olduğunu değerlendiriyor. - **Yayın tarihi:** 2026-08-24 15:46 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Casusluk, Operation QUICSILVER, QUICAgent - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/08/operation-quicsilver-targets-myanmar.html) ![Operation QUICSILVER: Myanmar Hükümeti ve IT Sektörüne Yönelik QUICAgent Arka Kapısı](https://teknotayf.com/assets/uploads/2026/08/87315ed2b52e36638c410698a9e3c38f.jpg) Siber güvenlik araştırmacıları, Myanmar'ı hedef alan ve mezuniyet töreni davetiyesi tuzağı kullanarak **QUICAgent** adlı Go arka kapısını dağıtan bir siber casusluk kampanyasını tespit etti. ![silver.jpg](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhAU29lFKKhJ4-37mroz3wn9p8YejZSqMG70AcTu4Z_FLB6hhof-kGO8-6KOfJcE5TXPvrziWpqDpLu_Mi64u8ilPMtdicwexovYdtmVQhhFOTlAeEamKEccbGQf4Y15ufNQRggwtyzLJy32qocItBHu4FX7FLYDYbnjBXuYMtflnNB4ttrzIdynMPcquxs/s1700-nu-rw-lo-l85-e365/silver.jpg) Seqrite Labs'a göre kod adı **Operation QUICSILVER** olan kampanya hükümet ve bilişim teknolojisi sektörlerini hedefliyor. Aktivitenin orta düzey güvenle **Çin bağlantılı bir tehdit aktörü**nin işi olduğu değerlendiriliyor. İlk olarak **nisan 2026**'da görüldü; saldırıda "HolidayNotice.pdf.exe" adlı dosya ile uydurma Belçika-Myanmar resmi tatil takvimi tuzağı kullanıldı. Haziran ve temmuz 2026'da tespit edilen iki sonraki örnekte ise enfeksiyon zincirini başlatan Sanal Sabit Disk (VHD) dosyası kullanıldı. VHD dosyası içinde PDF belgesini taklit eden bir Windows Kısayolu (LNK) bulunuyor. Belge açıldığında kurbana, Myanmar Ulaştırma ve Haberleşme Bakanlığı bünyesinde faaliyet gösteren Bilgi Teknolojileri ve Siber Güvenlik Dairesi (ITCSD) adına düzenlenmiş gibi görünen, Burmaca yazılmış resmi bir mezuniyet töreni davetiyesi içeren aldatıcı bir PDF gösteriliyor. ![core-d.png](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjVYuoalvwUlwvLZFDideJ8jW4rz-IodX0Lwi7uyP7Ab0wiDeu_BqVhPDdejQQ65MC3p9Xc4MApnHz56NJ5SDc1HMg0DvozkkGYv9TGtDLCh26v1yD5-GyzQxnA5-6A6B4beW96H_6FyrByq22cvU5JDF-i8e5GIfV4wg1SpCvjwAJt74FaqkAb2gzqE7ll/s728-nu-rw-lo-l85-e365/core-d.png) "Duyuru" dikkat dağıtıcı olurken kısayol dosyası sessizce meşru Microsoft imzalı Windows ikili dosyası "ftp.exe"yi başlatıyor ve yerel bir komut dosyasında saklanan komutları çalıştırmak için "-s" seçeneğini kötüye kullanıyor. Güvenlik araştırmacıları Priya Patel ve Kartik Jivani, "Aldatıcı içerik kurbanın ekranında gösterilirken komut dosyası gizli _rels dizini içinde saklanan header.doc ve body.doc adlı iki belge dosyasını arıyor" dedi. "Bu iki dosyayı yerel Windows copy /b komutuyla birleştirerek bir sonraki aşama yükünü yeniden oluşturuyor." Yük, kumanda kaçırma teknikleri uyguladıktan sonra komuta-kontrol (C2) sunucusuna bağlanan QUICAgent adındaki Golang tabanlı bir implant. Özellikle 100-600 milisaniye arasında rastgele gecikme ekliyor ve otomatik kumanda kaçırma yürütme süre sınırlarını tüketmek için 1.000 kez SHA-256 karmalama işlemi gerçekleştiriyor. ![seq.jpg](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhJS0-Sem-0d5mmYgY-QmpxlorRSZUtS5jR5uCWA2XkuRE7uRWOE7RTurJ-6kiFx3Oy_zrCfLPjSKkAsejCNRQeJ5AKm33Sqv7Iekwi6kZOjNXF7nxkiJIVZhyST4KWKTHe3tb9Briw6qOUS2vvmtLAAcDj6TJgZY6jVApmEMpKvWYvKsSbrgCz9umJIa58/s1700-nu-rw-lo-l85-e365/seq.jpg) Arka uç C2 sunucu adresi iki Cloudflare Workers alan adına HTTP GET isteği gönderilerek dinamik olarak alınıyor. C2 adresi elde edildikten sonra ("104.64.211[.]22") alan adına 443 numaralı port ekleniyor ve nihai hedef oluşturuluyor. Zararlı yazılım C2 sunucusuyla iletişim için UDP 443 portu üzerinden QUIC kullanıyor. Sunucuya gönderilen ilk sinyal, ele geçirilen ana bilgisayar hakkında temel bilgileri de içeriyor. Sinyal her beş saniyede bir iletiliyor ve her enfekte makineye kurbanı tanımlamak için benzersiz bir X-Agent-ID atanıyor. QUICAgent, komutları yürütme, dosya aktarma, dizinleri tarama ve sinyal aralığını değiştirme gibi beş komutu destekleyen oldukça basit bir yapı. Kalıcılık, mevcut kullanıcının Windows Başlangıç klasörüne bir LNK dosyası yerleştirilerek sağlanıyor; böylece kullanıcı bir sonraki oturum açışında dosya otomatik olarak çalışıyor. Hintli siber güvenlik şirketi, "Kampanya, kötü amaçlı bir LNK dosyası ile başlayan, bir sonraki aşamayı çalıştırmak için ftp.exe'yi LOLBAS olarak kötüye kullanan, iki sahte belge dosyasından yükü yeniden oluşturan ve sonunda QUICAgent adını verdiğimiz özel Go tabanlı arka kapıyı dağıtan çok aşamalı bir enfeksiyon zinciri kullanıyor" dedi. ![tl-d.jpg](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjVV2rRkX8tRMF6gCzemvQNpwFwGxRWxY1cJEYfoLLSj1EZYJOlj5WTR77t0i6kELXujYcaHTpRDqTjCbVHH5Pnh7wzxUiKP5j4dsDkWIMlp2bmpZsL0jeAsA_19pHH5UPtyBvNkZdyGEULOAsXPcraMP5CYjQRFefhXRSdEjYkrdcpUnc4ILcvcdEfAauE/s728-nu-rw-lo-l85-e365/tl-d.jpg) Açıklama, Çin bağlantılı Mustang Panda aktörünün PlugX kullanarak DLL yan yükleme tekniğiyle dağıtıldığı değerlendirilen ve TONESHELL'de tespit edilen çekirdek modu geliştirmelerine benzer şekilde imzalı bir çekirdek modu sürücüsü ("Msagent.sys") dağıtabilen COOLCLIENT adlı bilinen bir arka kapının güncellenmiş sürümünü kullandığı gözlemlendiği bir dönemde geldi. COOLCLIENT, tuş kaydedici, panoya müdahale, kimlik bilgisi toplama, dosya yönetimi, sistem keşfi ve eklenti tabanlı uzantılar dahil olmak üzere geniş bir yetenek yelpazesini destekliyor. İlk kez 2022'de vahşi doğada tespit edildi. Kaspersky, "Sürücü, COOLCLIENT sürecini gizleyerek, ilgili dosyaları ve kayıt defteri girdilerini koruyarak ve bunların incelenmesini veya değiştirilmesini engelleyerek kötü yazılımın gizliliğini artırıyor" dedi ve güncellenmiş varyantı ve eşlik eden sürücüsünü Myanmar, Moğolistan, Pakistan ve Rusya'daki sızmalarda tespit ettiklerini ekledi. "Genel yürütme akışı daha önce belgelenen COOLCLIENT varyantlarıyla tutarlı kalırken, bu örnek kötü yazılımın gizlilik yeteneklerini önemli ölçüde genişleten daha önce belgelenmemiş bir çekirdek modu sürücüsü sunuyor." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/operation-quicsilver-myanmar-hukumeti-ve-it-sektorune-yonelik-quicagent-arka-kapisi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.