"FrostyNeighbor" gelişmiş sürekli tehdit aktörü, Ukrayna'da yıkıcı bir saldırı düzenledi ve Rusya'nın siber hedefleriyle daha derin bir uyum endişesi yarattı.
Alexander Culafi, Dark Reading Kıdemli Haber Yazarı
Araştırmacılar, Ukrayna'daki kritik bir hedefe Belarus'a bağlı bir tehdit aktörü tarafından gerçekleştirilen ilk yıkıcı siber saldırı izlerini tespit etti. Bulgular, Belarus'un Rusya'nın ulusal hedeflerini destekleme eğilimini artırdığını gösteriyor ve bunun Avrupa'nın büyük bölümü için sonuçları bulunuyor.
ESET bu hafta Q2 ve Q3 2026 dönemine ait APT Faaliyet Raporu'nu yayımladı. Raporda Avrupa, Asya ve Orta Doğu'daki devlet destekli faaliyetler ele alınıyor; en dikkat çekici tespitlerden biri Belarus'la ilgili. Rusya'nın Ukrayna'yı işgali sırasında Rusya'ya yakın müttefik konumundaki Doğu Avrupa ülkesi Belarus, uzun süredir Rusya ile yakın ilişkide.
Tarihsel olarak Belarus siber operasyonları, Rus istihbarat servislerine atfedilen operasyonlardan ayrı izlendi. Araştırmacılar hedefleme ve stratejik çıkarlarda örtüşme gözlemlese de, Belarus devletine bağlı grup FrostyNeighbor — UNC1151 olarak da izleniyor — daha çok dezenformasyon ve çeşitli yöntemlerle yürütülen siber casuslukla biliniyor; bunlar arasında spear phishing ve kötü amaçlı yazılım yer alıyor.
Doğu Avrupa ülkesi Ukrayna ve Polonya hedeflerine kendi amaçları ve muhtemelen Rusya'nın amaçları doğrultusunda kimlik avı saldırılarıyla da odaklandı. ESET'in raporuna göre bu faaliyetlerde bir tırmanış tespit edildi. Araştırmacılar "Avrupa tiyatrosunda belgelediğimiz ilk yıkıcı siber saldırıyı Belarus'a bağlı bir tehdit aktörü tarafından gerçekleştirdik" diyor.
Özellikle FrostyNeighbor, Ukrayna'da Ukrayna'nın ulaşım sektöründe önemli rol oynayan bir imalat şirketine karşı Group Policy üzerinden Chisel, UltraVNC, Cobalt Strike ve bir VBScript silici yazılımı yerleştirdi. ESET'e göre yıkıcı operasyonlar şimdiye kadar açıkça Rusya'ya bağlıydı.
"Hedefleme ilgi alanlarının bir kısmı örtüşüyor, özellikle drone sektöründe. Telemetrilerimiz Belarus'a bağlı grupların Rusya için siber vekil ya da güç çarpanı olarak hareket ettiğine daha net işaret ediyor" denildi raporda. "Belarus'a bağlı tehdit aktörlerinden artan ve daha iddialı bir faaliyet gözlemledik; operasyonları bazı alanlarda Ukrayna'daki Rusya'nın istihbarat önceliklerini giderek yansıtıyor."
FrostyNeighbor APT'sı komşularını hedef alıyor
ESET'te kıdemli kötü amaçlı yazılım araştırmacısı Damien Schaeffer, Rusya ile operasyonel yakınlığın en güçlü kanıtının saldırı sayısı ve mağdur profilinin Belarus'un kendi çıkarlarından çok Rusya'nın stratejik önceliklerine daha yakın görünmesi olduğunu, ayrıca bu saldırılardaki olgunluğun Belarus'un tek başına potansiyel çıkarlarına göre görece yüksek olduğunu söylüyor. Schaeffer, artan saldırganlığın eğilimini 2024'ün başından itibaren gözlemlediklerini belirtiyor.
Bu gelişme, Kuzey Kore'nin Rusya'nın Ukrayna'daki savaşında askeri iş birliğini genişletmesiyle aynı döneme denk geliyor. ESET, bunun siber faaliyetlerin de uyumunu sürdürebileceği anlamına gelebileceğini ekliyor.
Rusya'nın Ukrayna'daki savaşı, özellikle siber operasyonlar alanında Ukrayna'nın çok ötesine uzanıyor. Rusya, Ukrayna'yı askeri ya da politik olarak destekleyen, NATO'nun doğu kanadında yer alan ve Ukrayna'ya yardımların aktığı kritik lojistik merkezleri destekleyen Avrupa ülkelerine karşı siber saldırılarda daha cesur davranıyor.
Bu ülkeler arasında Polonya, Estonya, Letonya, Litvanya, İsveç, Çek Cumhuriyeti ve Almanya gibi isimler bulunuyor. Rusya müttefikleri siber faaliyetlerde Rusya'yı açıkça destekler şekilde daha cesur hale gelirse, bunun tüm Avrupa için sonuçları olacak.
Belarus'u ayrı bir aktör olarak değerlendirmeye devam edin
Recorded Future'da ulusal güvenlik uzmanı Alexander Leslie, Dark Reading'e verdiği bilgide FrostyNeighbor'ın sürdürülen operasyonlar yürüten ve tekniklerini geliştiren bir aktör olduğunu, bunun operasyonel ölçekte genel bir artış ya da paylaşılan operasyonel komuta anlamına gelmediğini söyledi.
Recorded Future'un önerisi, Belarus bağlantılı kümeleri açıkça izlemek ve altyapı, araç ve hedeflemelerini Rus tehdit kampanyalarıyla ilişkilendirmek, "atfı ayırt etmeyi koruyarak" sürdürmek.
"Tehdit modelleri kimlik avı, sürekli erişim ve ek kişilere ulaşmak için ele geçirilmiş hesapların kullanımını kapsamalı. İstihbarat toplama, kötü amaçlı giriş altyapısı, e-posta istismarı, kişisel hesap hedefleme ve güvenilen kişilerin kötüye kullanılmasını içermeli; bunlar bu kampanyalarda belgelenen erişim yolları" diyen Leslie, "Savunucuların bir aktörü önceliklendirmek için Rus talimatının kanıtına ihtiyacı yok; zaten onları hedef alıyor" ifadelerini kullandı.
Araştırmacılar Belarus faaliyetlerinin Rusya ile daha derin operasyonel entegrasyonunu temsil edip etmediği konusunda farklı görüşte olsa da, Belarus bağlantılı aktörlerin ikincil tehdit olarak görülmemesi gerektiği konusunda hemfikir görünüyor. Leslie'nin aktardığına göre CERT Polska, Haziran 2026'da UNC1151'i izlediği en aktif APT gruplarından biri olarak tanımladı ve "önceki haftalarda neredeyse her gün yeni kimlik avı alan adları gözlemledi".
Hükümet, ulaşım ve savunma sektörlerinde Ukrayna'yı destekleyen kuruluşlar, Moskova'nın daha geniş stratejik çıkarlarıyla yakından uyumlu hedeflere sahip kampanyalarla giderek daha fazla karşılaşabilir.
