--- title: "Siber güvenlik firması Check Point: Çin bağlantılı üç casusluk kampanyası aynı yazılım ekosistemini kullanıyor" url: "https://teknotayf.com/haber/siber-guvenlik-firmasi-check-point-cin-baglantili-uc-casusluk-kampanyasi-ayni-yazilim-ekosistemini-kullaniyor" markdown_url: "https://teknotayf.com/haber/siber-guvenlik-firmasi-check-point-cin-baglantili-uc-casusluk-kampanyasi-ayni-yazilim-ekosistemini-kullaniyor.md" site: "teknotayf.com" language: "tr" published: "2026-11-10 20:43:23" updated: "2026-11-11 06:21:24" category: "Siber Güvenlik" source: "The Hacker News" --- # Siber güvenlik firması Check Point: Çin bağlantılı üç casusluk kampanyası aynı yazılım ekosistemini kullanıyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/siber-guvenlik-firmasi-check-point-cin-baglantili-uc-casusluk-kampanyasi-ayni-yazilim-ekosistemini-kullaniyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Latin Amerika, Asya ve Avrupa'daki kritik kurumları hedef alan üç farklı siber saldırı grubunun 'Sparrow' adlı ortak bir yazılım ekosistemiyle bağlantılı olduğu ortaya çıktı. CopperDragon kod adlı bir yapı tarafından yönetilen bu operasyonlar, gelişmiş arka kapı yazılımları ve sızma teknikleri kullanıyor. - **Yayın tarihi:** 2026-11-10 20:43 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/11/three-china-nexus-espionage-campaigns.html) ![Siber güvenlik firması Check Point: Çin bağlantılı üç casusluk kampanyası aynı yazılım ekosistemini kullanıyor](https://teknotayf.com/assets/uploads/2026/11/930f78e25c9a73b3048e7c7c54eed1da.jpg) Geçtiğimiz yıl boyunca Latin Amerika, Asya ve Avrupa genelindeki telekomünikasyon sağlayıcıları, devlet kurumları, askeri birimler, araştırma merkezleri ve kritik altyapıları hedef alan, benzer altyapı ve kod yapılarına sahip üç farklı tehdit kümesi gözlemlendi. Siber güvenlik firması **Check Point Research**, bu grupları SilentDelivery, OceanGate ve DarkWire isimleriyle takip ediyor. Başlangıçta her birinin kendi arka kapı yazılımları ve sızma sonrası araçlarıyla bağımsız saldırılar gerçekleştirdiği düşünülse de, tüm bu grupların **Sparrow** adı verilen bir kötü amaçlı yazılım ekosistemi üzerinden birbirine bağlı olduğu anlaşıldı. Sparrow çerçevesinin arkasındaki yapıya CopperDragon kod adı verildi. Bu yapının; FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 ve UAT-8302 gibi Çin bağlantılı tehdit aktörleri için araçlar geliştiren bir dijital lojistik merkezi olduğu değerlendiriliyor. Check Point tarafından bugün yayınlanan teknik raporda, her kümenin farklı araç setleri ve sızma teknikleri kullandığı belirtildi. İnternete açık altyapıların ele geçirilmesi ve oldukça seçici 'watering hole' (sulama deliği) saldırılarının kullanıldığı kaydedildi. Bu yöntemle hedef alınan web sitelerinin devlet, nakliye, bilişim ve araştırma sektörlerine ait olduğu bildirildi. FamousSparrow tarafından yürütülen saldırıların; SparrowDoor (ve varyantları Crowdoor ile TernDoor), SparroWocky ve HemiGate gibi arka kapı yazılımları yüklediği biliniyor. Grubun Salt Typhoon ile belirli bir düzeyde örtüştüğü düşünülse de, bu ilişkinin kesin doğası henüz netleşmiş değil. CopperDragon ile bağlantılı siber casusluk ekosistemini üç ana küme yönetiyor: SilentDelivery (2026 başlarında başladı): Avrupa ve Asya'yı hedef alan seçici sulama deliği saldırıları düzenliyor. Sertifika onarım araçları gibi görünen sahte MSI yükleyicileri aracılığıyla SquadC (diğer adıyla SquawkDoor) adlı bir arka kapı yazılımı dağıtıyor. OceanGate (2025-2026): Temel olarak Asya'daki kuruluşlara odaklanıyor. İnternete açık Linux sunucular üzerinden ilk erişimi sağladıktan sonra Windows ortamlarına sızarak SparrowDoor varyantını yüklüyor. DarkWire (2025 ortası): Latin Amerika'daki telekomünikasyon sağlayıcılarını ve devlet kurumlarını hedef alıyor. SparrowDoor'un yerini alması muhtemel olan CopperDoor (diğer adıyla SparroWocky) ve CopperDNS adlı arka kapı yazılımlarını kullanıyor. ## SilentDelivery SilentDelivery operasyonu, saldırganların hedef kitle tarafından sıkça ziyaret edilen meşru web sitelerine yoğun şekilde gizlenmiş JavaScript kodları yerleştirmesiyle başlıyor. Siteyi ziyaret eden kullanıcılara, erişimi geri yüklemek için bir "Sertifika Onarım" aracı yüklemelerini söyleyen sahte bir Google Chrome SSL sertifika uyarısı gösteriliyor. Yüklendiği anda bu sözde araç, ya SquadC'yi ya da bir SparrowDoor varyantını sisteme bulaştırıyor. Ele geçirilen web sitelerinin tamamının Çek Cumhuriyeti, Almanya, Fransa, Tayvan, Nepal, Hong Kong ve Endonezya'daki devlet, nakliye, bilişim ve araştırma sektörleriyle ilgili olduğu tespit edildi. ![](https://teknotayf.com/assets/uploads/2026/11/927d6ed38b88b4e232dd2050012019ba.webp) Positive Technologies tarafından ağustos 2026'da yayınlanan bir rapora göre, bu yöntemin Mısır ve Filipinler'deki kuruluşları da hedef aldığına dair bulgular mevcut. Check Point, ele geçirilen sitelere yerleştirilen JavaScript kodlarının, halka açık bir servis olan jsjiami ile yoğun şekilde gizlendiğini belirtti. Kodun önce kullanıcının Windows işletim sistemi kullanıp kullanmadığını kontrol ettiğini, bazı durumlarda ise web sitesi alan adının hedeflenen alan adıyla eşleşip eşleşmediğini doğruladığını açıkladı. Ardından script, IP ve coğrafi konum üzerinden kullanıcıyı tanımlamak için bir komuta kontrol (C2) sunucusuna sürekli durum kontrol istekleri gönderiyor ve saldırıya devam edip etmeme kararını buna göre vererek sahte uyarıyı çıkarıyor. C/C++ dilleriyle yazılan SquadC, enfekte olan bilgisayarda ilk yerleşimi sağlayan bir Windows arka kapı yazılımı. Kendisini bir Windows güncelleme yardımcısı gibi gösteren bir kayıt defteri anahtarı kullanarak sistemde kalıcılık sağlıyor. Yapılan analizler, yazılımın ayrıca Endonezyalı kuruluşları hedef alan oltalama e-postalarıyla da dağıtıldığını ortaya çıkardı. Oltalama e-postası, PDF belgesi kılığındaki bir Windows Kısayol (LNK) dosyası içeriyor. Dosya açıldığında, meşru "ftp.exe" dosyası kullanılarak bir toplu iş dosyası çalıştırılıyor. Bu işlem sırasında kullanıcıyı yanıltmak için boş bir dosya gösterilirken, arka planda DLL sideloading yöntemiyle SquadC başlatılıyor. ## OceanGate OceanGate operasyonunun ise hem Windows hem de Linux ortamlarını hedef aldığı, erişimi sürdürmek, ağ içinde yatay hareket etmek ve hassas verileri sızdırmak için daha önce belgelenmemiş araçlar kullandığı gözlemlendi. Saldırının Linux aşamasında iki yeni arka kapı yazılımı kullanılıyor: AnnobinDoor: Uzaktan erişim, etkileşimli kabuk, dosya yönetimi, SOCKS proxy, SSH tünelleme, port yönlendirme ve ters bağlantılar gibi geniş özellikler sunan Go tabanlı bir yazılım. Enfekte olan Linux makinesinin hem uzak bir kabuk hem de dahili ağ geçidi olarak çalışmasını sağlıyor. SparrowShell: Windows versiyonu olan SparrowDoor ile benzerlikler taşıyan modüler bir Linux arka kapı yazılımı. Check Point, saldırganların birçok kullanıcıdan kimlik bilgilerini toplayıp Linux ortamında güçlü bir yerleşim sağladıktan sonra Windows ortamına geçtiğini açıkladı. Saldırganların, yönetici hesabı ile başarılı bir şekilde kimlik doğrulaması yapana kadar farklı şifreler deneyerek birçok Windows makinesine RDP üzerinden giriş yapmaya çalıştığı belirtildi. Bu aşamayı, özel sızma sonrası araçların ve bir SparrowDoor varyantının yüklenmesi izliyor: CopperAdu: Ele geçirilen Windows makinesini uzaktan yönetimsel erişim için yapılandıran bir araç. CopperList: Dosya yolları, boyutları ve zaman damgaları dahil olmak üzere ana bilgisayar bilgilerini, disk detaylarını ve özyinelemeli dosya envanterini toplayan bir keşif aracı. CopperLogger: Klavye girişlerini yakalayan, pano etkinliklerini, aktif pencere başlıklarını ve ilgili işlem adları ile yollarını izleyen bir keylogger. CopperLsa: NTLM ve Kerberos üzerinden şifreleri, özetleri (hash) ve kimlik doğrulama belirteçlerini toplayan bir yardımcı araç. Ayrıca tehdit aktörünün, süreçleri gizleyerek savunmaları atlatmak ve WinDivert sürücülerini kullanarak ağ paketlerini yakalayıp manipüle etmek için SparrowDoor ve SparrowShell'e çekirdek (kernel) rootkit'leri ve çekirdek düzeyinde erişim yetenekleri eklediği tespit edildi. Check Point, saldırganların sürücüyü kötüye kullanarak SparrowDoor'u, paketleri çekirdek düzeyinde yakalayan ve manipüle eden pasif bir arka kapıya dönüştürdüğünü, böylece trafiğin daha az görünür hale geldiğini belirtti. Bu sayede arka kapı, dahili olarak bir portu dinlerken, halihazırda meşru bir servis tarafından kullanılan 443 gibi dışarıdan erişilebilir bir port üzerinden bağlantıları kabul edebiliyor. Arka kapı, belirli bir kaynak IP adresinden meşru servisin portuna gelen bağlantıları yakalamak için katı bir filtre uyguluyor. Paketi manipüle ederek hedef portu, genellikle 49628 gibi yüksek bir port olan arka kapının dahili dinleme portuna yeniden yazıyor. Yanıt trafiği için ise kaynak portu tekrar dış servis portuna çevirerek, yanıtların meşru servisten geliyormuş gibi görünmesini sağlıyor. İlginç bir şekilde, SparrowShell'in, Mart 2023'te ExaTrack tarafından açık kaynaklı Reptile rootkit'ine dayandığı belirtilen Mélofée adlı yazılımla kod ve altyapı düzeyinde benzerlikler taşıdığı görüldü. Bu durum, CopperDragon'un Mélofée'nin geliştirilmesi ve tedarik edilmesinin arkasında olabileceği ihtimalini doğurdu. ## DarkWire Üçüncü ve son faaliyet kümesi, özellikle telekomünikasyon operatörleri ve devlet kurumlarına odaklanarak Latin Amerika merkezli operasyonlar yürütüyor. Bu saldırılar sonucunda, SparrowDoor'un yerini alması muhtemel olan CopperDoor ve CopperDNS adlı iki yeni arka kapı yazılımı yüklendi. Bu operasyonları destekleyen özel araç seti şunlardan oluşuyor: CopperLoader: Genellikle DLL sideloading yoluyla yüklenen ve CopperDoor, CopperDNS, CopperProxy ve CopperLsass dahil ek araçları iletmek için kullanılan bir yansıtıcı yükleyici. CopperDoor: Bellekte yerleşik, modüler bir arka kapı yazılımı. CopperDNS: MX sorgularını kullanarak DNS tünelleme yoluyla iletişim kuran bir CopperDoor varyantı. CopperProxy: Bir SOCKS5 proxy. PyProxy: Python ile yazılmış hafif bir UDP aktarıcı. CopperLsass: Kimlik bilgisi toplamak amacıyla LSASS işlemini boşaltmak için kullanılan özel bir modül. Check Point, operasyonun temel yürütme tekniği olarak DLL sideloading yöntemine yoğun şekilde dayandığını ve genellikle diğer tehdit aktörleri arasında yaygın olarak görülmeyen yürütülebilir dosyaların kötüye kullanıldığını belirtti. Operatörlerin, izlerini minimize etmek için diskte yeni dizinler oluşturmaktan kaçındıkları ve araçlarını mevcut sistem yollarına yerleştirdikleri kaydedildi. CopperDoor altyapısının daha yüksek düzeyde bir operasyonel güvenlik sergilediği görüldü. IP adreslerinin çoğunun Latin Amerika'da ve genellikle mağdur kuruluşla aynı ülkede olduğu tespit edildi. Bu yakınlığın, kötü amaçlı trafiğin meşru ağ etkinliğiyle karışmasına yardımcı olduğu ve tespit edilme olasılığını azalttığı düşünülüyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/siber-guvenlik-firmasi-check-point-cin-baglantili-uc-casusluk-kampanyasi-ayni-yazilim-ekosistemini-kullaniyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.