--- title: "PapRAT Siber Casusluk Kampanyası Güney Asya'da Acı İz Bıraktı" url: "https://teknotayf.com/haber/paprat-siber-casusluk-kampanyasi-guney-asya-da-aci-iz-birakti" markdown_url: "https://teknotayf.com/haber/paprat-siber-casusluk-kampanyasi-guney-asya-da-aci-iz-birakti.md" site: "teknotayf.com" language: "tr" published: "2026-11-02 17:00:00" updated: "2026-11-03 15:02:15" category: "Siber Güvenlik" tags: ["Siber Casusluk","Windows Güvenliği","PapRAT","Bitter Tehdit Grubu"] source: "Dark Reading" --- # PapRAT Siber Casusluk Kampanyası Güney Asya'da Acı İz Bıraktı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/paprat-siber-casusluk-kampanyasi-guney-asya-da-aci-iz-birakti > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** FortiGuard Labs araştırması, Hindistan bağlantılı Bitter grubunun Güney Asya'da Windows sistemlerini hedef alan PapRAT Truva atını kullandığını ortaya koydu. Grup, meşru Windows araçlarını kötüye kullanan üç farklı saldırı zinciriyle kalıcılık sağlıyor ve PapRAT'ı C++'tan Rust'a taşıyarak yeteneklerini genişletti. Uzmanlar, imza tabanlı savunmanın yetersiz kaldığını ve ayrıcalık yönetimi ile kimlik güvenliğine odaklanılması gerektiğini vurguluyor. - **Yayın tarihi:** 2026-11-02 17:00 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Casusluk, Windows Güvenliği, PapRAT, Bitter Tehdit Grubu - **Yazan:** TeknoTayf.com - **Kaynak:** [Dark Reading](https://www.darkreading.com/cyberattacks-data-breaches/paprat-cyberespionage-campaign-bitter-south-asia) ![PapRAT Siber Casusluk Kampanyası Güney Asya'da Acı İz Bıraktı](https://teknotayf.com/assets/uploads/2026/11/377f333fe0a5ec6ffa72340d8c8fa4ff.png) Bölgedeki kuruluşlar, meşru Windows işlevlerini üç farklı saldırı zincirinde kullanan bilinen Hindistan bağlantılı tehdit grubunun giderek artan siber saldırılarına maruz kalıyor. Bilinen bir Güney Asya siber casusluk grubu, bölgede faaliyet gösteren kuruluşları hedef alıyor; saldırılar Windows sistemlerini tehlikeye atmak, kalıcılık sağlamak ve özel kötü yazılım kullanarak saldırganlara enfekte makineler üzerinde uzaktan kontrol vermek üzere tasarlanmış. FortiGuard Labs'ın bugün yayımlanan yeni araştırmasına göre, saldırılar yüksek güvenle Güney Asya kökenli **Bitter** (TA397 olarak da bilinir) adlı tehdit grubuna atfediliyor. Saldırılar üç farklı enfeksiyon zinciri içeriyor ve grubun kötü yazılım yeteneklerinin genişlediğini gösteriyor. Hindistan'la bağlantılı birkaç tehdit grubundan biri olan Bitter en az 2013'ten beri aktif. Tarihsel olarak hükümet, enerji ve mühendislik kuruluşlarını hedef aldı. Grup, mağdur ağlarına kalıcı erişim sağlamak, bilgi toplamak ve tehlikeye atılmış sistemler üzerinde uzaktan kontrolü sürdürmek için özel saldırı kampanyaları kullanmasıyla biliniyor. Son tehdit kampanyasının merkezinde, FortiGuard Labs'a göre saldırganlara tehlikeye atılmış Windows sistemleri üzerinde geniş kontrol sağlayan özel bir uzaktan erişim Truva atı olan **PapRAT** var. Bu yazılım komut çalıştırmayı, dosyaları değiştirmeyi, ekran görüntüsü almayı ve ek yükler indirmeyi mümkün kılıyor. FortiGuard Labs tehdit araştırmacısı Cara Lin yazısında, "Bu kampanya Bitter'ın hedeflenen sistemlere erişim kurmak ve sürdürmek için yerel Windows araçlarını özel kötü yazılımla nasıl birleştirdiğini gösteriyor" dedi. ## PapRAT Kötü Yazılımının Evrimi Rapor'a göre Bitter, PapRAT'ı C++ kod tabanından **Rust**'a taşıdı ve bu süreçte işlevselliğini sekiz komuttan 11 komuta çıkardı. En yeni sürümde PowerShell çalıştırma, bekleme yönergesi ve temiz çıkış komutu gibi ek yetenekler bulunuyor. Lin yazısında, "PapRAT'ın C++ ve Rust uygulamaları Bitter'ın araç setine yönelik süregelen yatırımın göstergesi" diye belirtti. Saldırganlar, çapraz platform geliştirme olanakları ve olası atlatma avantajları da dahil olmak üzere çeşitli nedenlerle kötü yazılım geliştirmesinde Rust'ı giderek daha fazla benimsiyor. PapRAT'taki son güncellemeler, Lin'in belirttiği üzere, "bilinen kötü yazılım imzalarını tespit etmenin yanı sıra betik araçları, zamanlanmış görevler ve yükleyici etkinlikleri genelinde kötü niyetli davranışları izleme" gibi savunma önlemlerinin önemini de vurguluyor. ## Bitter'ın 3 Siber Saldırı Zinciri Araştırmacılar Bitter'ın kullandığı üç farklı saldırı zinciri gözlemledi; hepsi de kötü niyetli davranışı gizlemek için meşru Windows işlevlerinden yararlanıyor. Keeper Security'de baş bilgi güvenliği sorumlusu Shane Barney, bu taktiklerin "gelişmiş siber casusluk operasyonlarının geleneksel uç nokta tespitinden kaçınmak için yerel sistem araçlarını bilinçli olarak nasıl kötüye kullandığını" gösterdiğini belirtiyor. İlk saldırı zinciri, komut dosyalarını çalıştırmak ve saldırganların komuta-kontrol (C2) sunucusuyla iletişimi sürdürmek için zamanlanmış görevler oluşturmak amacıyla yerel Windows ftp.exe yardımcı programını kötüye kullanan kötü niyetli bir LNK dosyası kullanıyor. İkincisi, aldatmaca bir elektronik tablo açarken sessizce PapRAT'ı dağıtmak için bir MSI yükleyici başlatan bir LNK dosyası içeren VHDX disk görüntüsü kullanıyor. Üçüncü saldırı, WebDAV üzerinden bir LNK dosyası alan bir URL kısayoluyla başlıyor ve bu da PapRAT'ı dağıtan bir MSI yükleyiciye yol açıyor. FortiGuard Labs'a göre bu zincirde PapRAT ayrıca diğer araştırmacılar tarafından daha önce belgelenen ikincil bir implant olan WmRAT'ı da iletiyor. Barney, "ftp.exe ve zamanlanmış görevler gibi yerel Windows yardımcı programlarını ilk komuta-kontrol iletişimi kurmak için ele geçiren tehdit aktörleri, özel kötü yazılımı dağıtmeden önce güvenilen yönetici kanalları içinde faaliyet gösteriyor" diye gözlemliyor. "Bir sızma güvenilen sistem süreçlerinden yararlandığında, imza tabanlı kontrollerin uyarı verecek bir şeyi kalmıyor." ## PapRAT Siber Saldırılarına Karşı Savunma Barney'e göre meşru Windows işlevselliğini özel kötü yazılımla birleştiren bu sözde "hibrit gelenek", kapsamlı bir savunma stratejisinin parçası olarak kuruluşların yalnızca uç nokta imzalarına güvenmek yerine sıkı ayrıcalık sınırlarına ve kimlik güvenliğine odaklanmasını gerektiriyor. Lin yazısında, kuruluşların özellikle istenmeyen mesajlarla iletilen beklenmedik LNK dosyaları, URL kısayolları, disk görüntüleri ve MSI paketlerine karşı temkinli davranmasını önerdi. "Kullanıcı farkındalığını, şüpheli yürütme zincirlerini ve dışarıya giden C2 trafiğini tespit eden kontrollerle birleştirmek, meşru Windows işlevselliğini özel kötü yazılımla harmanlayan kampanyalara maruz kalmayı sınırlamaya yardımcı olabilir" diye yazdı. Sectigo'da kıdemli araştırmacı Jason Soroko, üçüncü saldırı zincirinin savunucular için özellikle sorunlu olduğunu belirtiyor; çünkü tehlikeye atılmış sistemlerden PapRAT kaldırılsa bile saldırganın erişimi ortadan kalkmayabilir. Soroko'ya göre bu, savunucuların sistemlerinde daha derine inmesi gerektiği anlamına geliyor; "başka neyin kurulduğunu kontrol etmek ve komut almaya devam edebilecek betikleri ve zamanlanmış görevleri tespit etmek" gerekiyor. Kapsamlı bir kurtarma çabası, orijinal uyarıyı tetikleyen dosyanın ötesine bakmalı ve ek yükleri, kalıcılık mekanizmalarını ya da ihlalin diğer bileşenlerini belirlemelidir. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/paprat-siber-casusluk-kampanyasi-guney-asya-da-aci-iz-birakti Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.