APT28, NATO Ülkelerinde Askeri Hedeflere Saldırdı

Rusya ile bağlantılı APT28 (diğer adıyla BlueDelta, Fancy Bear ve Forest Blizzard) grubu, Kuzey Atlantik Antlaşması Örgütü (NATO) üyesi iki ülkeye yönelik siber saldırılar gerçekleştirdi. Symantec Tehdit Avcıları ekibi, bu saldırıların Swallowtail adı altında takip edildiğini belirtti. Saldırılarda, HOOKEDGE adlı bir arka kapı ve daha önce belgelenmemiş bir yükleyici kullanıldı. Bu yükleyici, çalışma zamanında sağlanan bir kriptografik anahtar ile şifreli bir yükü bellekte çözmek ve çalıştırmak üzere tasarlandı.

Hedefler ve Saldırı Yöntemleri

Saldırıların hedefleri arasında bir kolluk kuvveti ajansı, bir deniz gemisi inşa şirketi ve askeri uçak motorları üreten bir firma yer alıyor. Bu kuruluşlar, yabancı istihbarat ajansları için değerli bilgiler barındırıyor. Symantec, deniz gemisi inşa şirketine yönelik bir saldırıda, operatörlerin bir hafta boyunca ele geçirilen bir sunucuya tekrar tekrar erişim sağladığını ve iki ayrı teknikle kimlik bilgilerini çaldıklarını bildirdi.

Saldırı Detayları

Saldırganlar, kuruluşa kalıcı bir SSH tüneli açarak iç ağa sızdılar ve daha önce belgelenmemiş bir yansıtıcı yükleyici dağıttılar. HOOKEDGE, daha önce Recorded Future Insikt Group tarafından 2026 yılının Ağustos ayında, Romanya, İspanya ve Türkiye'deki hükümet ve diplomatik kuruluşlara yönelik bir siber casusluk kampanyası ile bağlantılı olarak belgelenmişti. Bu arka kapı, Microsoft Word belgeleri aracılığıyla dağıtılmakta ve bir webhook üzerinden iletişim kurmaktadır.

Yeni Yöntemler ve Araçlar

Saldırılarda, HOOKEDGE'in yeni varyantları kullanılarak, daha önceki yöntemler terk edilerek doğrudan bir IP adresi üzerinden iletişim sağlandığı bildirildi. Saldırganlar, iki ayrı kimlik bilgisi hırsızlığı tekniği kullanarak, bir SSH özel anahtarını ele geçirip kendi sunucularına geri bağlanmayı başardılar. Ayrıca, yeni bir yansıtıcı yükleyici (ld.exe) de SSH üzerinden bir curl komutu ile dağıtıldı.

Ukrayna'ya Yönelik Tehditler

Siber saldırılar sadece NATO ülkeleriyle sınırlı kalmadı. Ukrayna'daki siber olayları inceleyen CERT-UA, Rus hackerların, Ukrayna askeri personelinin ve hükümet yetkililerinin akıllı telefonlarını hedef aldığını açıkladı. Bu durum, askeri ve sivil iletişimde akıllı telefonların artan rolü nedeniyle daha fazla istihbarat toplayan hedefler haline gelmelerine yol açıyor.

Sonuç

APT28'in siber saldırıları, sadece askeri hedeflerle sınırlı kalmayıp, aynı zamanda istihbarat toplama faaliyetlerini de içeriyor. Bu tür saldırılar, NATO ülkeleri ve Ukrayna gibi hedeflerin güvenliğini tehdit eden ciddi bir durum olarak değerlendirilmektedir.