--- title: "Rus APT28 NATO Ülkesindeki Deniz Tersanesine Sızdı, Yeni Yansıtmalı Yükleyici Kullandı" url: "https://teknotayf.com/haber/rus-apt28-nato-ulkesindeki-deniz-tersanesine-sizdi-yeni-yansitmali-yukleyici-kullandi" markdown_url: "https://teknotayf.com/haber/rus-apt28-nato-ulkesindeki-deniz-tersanesine-sizdi-yeni-yansitmali-yukleyici-kullandi.md" site: "teknotayf.com" language: "tr" published: "2026-10-20 14:06:25" updated: "2026-10-21 03:00:14" category: "Siber Güvenlik" tags: ["Siber Casusluk","NATO","APT28","Ukrayna Siber Güvenliği"] source: "The Hacker News" --- # Rus APT28 NATO Ülkesindeki Deniz Tersanesine Sızdı, Yeni Yansıtmalı Yükleyici Kullandı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/rus-apt28-nato-ulkesindeki-deniz-tersanesine-sizdi-yeni-yansitmali-yukleyici-kullandi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Rus destekli APT28 tehdidi, NATO üyesi bir ülkedeki deniz tersanesi de dahil olmak üzere iki NATO üyesini hedef aldı. Saldırılarda HOOKEDGE arka kapısı ve daha önce belgelenmemiş bir yansıtmalı yükleyici kullanıldı. Ukrayna'da Rus aktörlerin akıllı telefonları hedef aldığı ve CERT-UA'nın 2026 ilk yarısında 3.137 siber olay kaydettiği bildirildi. - **Yayın tarihi:** 2026-10-20 14:06 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Casusluk, NATO, APT28, Ukrayna Siber Güvenliği - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/russian-apt28-breaches-nato-naval.html) ![Rus APT28 NATO Ülkesindeki Deniz Tersanesine Sızdı, Yeni Yansıtmalı Yükleyici Kullandı](https://teknotayf.com/assets/uploads/2026/10/3ee7198363cff4f0c6d77a0d6298fcac.jpg) Kuzey Atlantik Antlaşması Örgütü (NATO) üyesi iki ülkeyi hedef alan saldırılar, Rus bağlantılı devlet destekli tehdit aktörü **APT28**'e (diğer adları BlueDelta, Fancy Bear ve Forest Blizzard) atfedildi. Broadcom'a ait tehdit istihbaratı birimi Symantec'in Threat Hunter ekibi, Swallowtail adıyla izlediği aktivite kümesinde **HOOKEDGE** adlı arka kapının ve şifreli yükü çalışma zamanında sağlanan kriptografik anahtarla bellekte çözüp çalıştıran daha önce belgelenmemiş bir yükleyicinin kullanıldığını tespit etti. Symantec'e göre hedefler arasında bir kolluk kuvveti kurumu, bir deniz tersanesi ve askeri uçak motoru üreticisi yer aldı; bu kurumlar yabancı bir istihbarat servisi için yararlı olabilecek bilgilere sahip. Symantec'in The Hacker News ile paylaştığı raporda "Deniz tersanesine yönelik bir saldırıda operatörler bir hafta boyunca uzaktan erişilen ana bilgisayara tekrar tekrar girerek klavye başında çalışma izlenimi verdi" denildi. "İki farklı teknikle kimlik bilgisi çaldılar, kuruluşun iç ağına kalıcı bir SSH tüneli açtılar ve daha önce belgelenmemiş bir yansıtmalı yükleyici yerleştirdiler." APT28'in HOOKEDGE kullanımını ilk kez Recorded Future Insikt Group, eylül 2025 ile nisan 2026 başı arasında Romanya, İspanya ve Türkiye'deki hükümet ve diplomatik kurumları hedef alan siber casusluk kampanyası kapsamında 2026 Ağustos sonu itibarıyla kamuoyuna duyurdu. HOOKEDGE, APT28'in nisan 2023'ten bu yana diplomatları hedefleyen saldırılarda kullandığı modüler Windows implantı HEADLACE ile önemli kod ve taktik benzerliği taşıyor. Spear-phishing tuzağıyla dağıtılan HOOKEDGE, saldırganın gönderdiği komutları kabul edip sonuçları geri gönderebilen yalın bir Windows toplu komut betiği. Arka kapı makro etkin Microsoft Word belgeleriyle dağıtılıyor ve tamamen webhook[.]site URL'si üzerinden iletişim kuruyor; bu adres görevleri hazırlamak ve yürütme çıktısını almak için kanal görevi görüyor. Enfekte makineler bu görevleri geleneksel bir indiriciye dayanmak yerine gizli, ekranda görünmeyen bir Microsoft Edge örneğiyle çekiyor. 2026 Temmuz sonundaki deniz tersanesi saldırısında tehdit aktörlerinin webhook[.]site kullanımını bırakıp görevlendirme ve sızdırma için özel IP adresi "185.82.218[.]119:443" kullanan yeni HOOKEDGE varyantları dağıttığı belirtiliyor. Symantec "Saldırganlar iki farklı kimlik bilgisi çalma tekniği kullandı" dedi. "Birinde ele geçirilen ana bilgisayara bir SSH özel anahtarı yükleyip hemen kendi sunucularına SSH bağlantısı açarak hedef iç ağına erişim sağlayacak kalıcı, arka planda çalışan bir tünel talep ettiler." "Diğerinde ise ana bilgisayarın kendi döngüsel adresinde dinleyici başlatan ve makinenin kendisine kimlik doğrulaması yapmasını sağlayarak ortaya çıkan NTLM el sıkışmasını yakalayan kısa, kendi içinde çalışan bir PowerShell betiği çalıştırdılar." Saldırganların SSH üzerinden curl komutuyla yeni bir yansıtmalı yükleyici ("ld.exe") bıraktığı da görüldü; bu yükleyici bir sonraki aşama bileşenini çözüp çalıştırmak için tasarlandı. Yükün tam niteliği bilinmiyor. En son aktivite 24 Eylül 2026'da kaydedildi; deniz tersanesi ağında HOOKEDGE ile ilişkili bir Visual Basic Script başlatıcısı görüldü. Bu sızmalar sonucunda veri çalınıp çalınmadığı net değil. Symantec "İlk erişim sonrası görülen taktikler, iki bağımsız teknikle kimlik bilgisi çalma, kalıcı ağ tüneli ve daha önce belgelenmemiş bir yükleyici, bu kampanya hakkında şimdiye kadar kamuoyuna bildirilen dağıtım mekanizmasının ötesine geçiyor" dedi. ## Ukrayna'ya Yönelik H1 2026 Saldırıları Geçen ay sonunda yayımlanan raporda Ukrayna Siber Olaylara Müdahale Ekibi CERT-UA, Rus hackerların casusluk ve finansal amaçlı saldırılar için Ukrayna askeri personeli ve hükümet yetkililerine ait akıllı telefonları giderek daha fazla hedeflediğini açıkladı. Ajans "Askeri personel, devlet çalışanları ve siviller arasındaki iletişimde akıllı telefonların artan rolü, onları istihbarat toplama faaliyetleri, daha fazla sızma ve finansal amaçlı saldırılar için daha cazip hedefler haline getiriyor" dedi. Bu durum, tehlikeye atılmış meşru Ukrayna haber siteleri ve devlet siteleri üzerinden watering-hole saldırılarıyla dağıtılan ve tehlikeye atılmış cihazlardan hassas veri sızdıran DarkSword iOS exploit kitinin kullanımını da içeriyor. Ajans "Araç Rus tehdit aktörleriyle ilişkilendiriliyor ve Ukrayna hedeflerine karşı kullanımı, daha önce nispeten güvenli kabul edilen iOS platformuna yönelik düşmanın artan ilgisini gösteriyor" diye kaydetti. Bulgular, Rus casusluk aktörü UNC6353'ü 2025 yazından bu yana Ukrayna kullanıcılarını hedef alan watering-hole kampanyalarında Coruna ve DarkSword kitlerinin kullanımıyla ilişkilendiren Google Tehdit İstihbaratı Grubu'nun (GTIG) Mart 2026 tarihli raporuyla tutarlı. Tehditler Android ekosistemine de uzanıyor; UAC-0244 ve UAC-0263 tehdit kümeleri yem uygulamalarıyla iki farklı kötü amaçlı yazılım ailesi dağıtıyor. UAC-0244, cihaz sistem bilgisi, konum, SIM kart detayları, kişiler, arama kayıtları ve galeriden görüntüleri toplayan CAMELSPY'yi dağıtıyor. UAC-0263 ise enfekte cihaz üzerinde kontrol sağlayan ve veri sızdırmaya imkan veren BTMOB RAT'ı dağıtıyor. CERT-UA ayrıca APT28'in Microsoft Office'te güvenlik özelliği atlama açığı olan CVE-2026-21509 ve SOGo webmail istemcisindeki sıfır tıklama açığı CVE-2026-8496'yı sırasıyla COVENANT kötü amaçlı yazılımını dağıtmak ve mağdurların posta kutusu kimlik bilgilerini ve verilerini sızdırmak için kullandığını gözlemlediğini söyledi. CERT-UA "Aynı zamanda aktör, daha eski, denenmiş ve maalesef hâlâ etkili yaklaşımlardan vazgeçmedi" dedi. "Özellikle Roundcube webmail istemcisindeki XSS açıklarını istismar eden saldırılar görüldü. COVENANT'ı daha da yaymak için makro içeren Excel belgeleri de kullanıldı." Bu saldırılar, CERT-UA'nın 2026'nın ilk yarısında kaydettiği 3.137 siber olay arasında yer alıyor; bu sayı 2025'in ikinci yarısına göre yüzde 8 daha fazla. Gelişme, Team Cymru'nun Ukrayna kurumlarını hedef alan saldırılarda kullanılan beş ek LegionRelay komuta ve kontrol (C2) sunucusu tespit ettiğini açıklamasıyla geldi. IP adresleri aşağıda listeleniyor. LegionRelay, dosya listeleme, dosya sızdırma, ekran görüntüsü alma, tarayıcı verisi çalma, Telegram ve WhatsApp verisi sızdırma ve RDP erişim kurulumunu destekleyen PowerShell tabanlı bir RAT'ın adıdır. En az ağustos 2025'ten bu yana Ukrayna ve Ukrayna ile ilgili kurumları hedef alan sürekli saldırılar yürüttüğü değerlendirilen GREYVIBE adlı tehdit aktörüne atfediliyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/rus-apt28-nato-ulkesindeki-deniz-tersanesine-sizdi-yeni-yansitmali-yukleyici-kullandi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.