Siber güvenlik araştırmacıları, Rusya bağlantılı olduğu değerlendirilen tehdit grubunun popüler yazılımların sahte kurulum dosyalarını kullanarak yeni zararlı yazılım kampanyası yürüttüğünü ortaya çıkardı. Cisco Talos’un analizine göre saldırganlar, Starland RAT adlı arka kapıyı dağıtmak için Zoom, Webex, MobaXterm, DBeaver FaceIT gibi yaygın uygulamaların değiştirilmiş yükleyicilerini kullanıyor. Kampanyanın temel hedefi kullanıcı hesaplarını, kripto para cüzdanlarını kurumsal ağ bilgilerini ele geçirmek.
Trojanlaştırılmış Kurulum Dosyaları Zararlı Yazılımı Sisteme YerleştiriyorCisco Talos, finansal kazanç amacıyla hareket eden UAT-11795 adlı tehdit aktörünün en az Haziran 2025’ten yana saldırılar gerçekleştirdiğini açıkladı. Araştırmaya göre saldırılar ağırlıklı olarak ABD’deki kullanıcıları hedef alsa Almanya, Romanya Venezuela’ kurbanlar tespit edildi. Saldırganlar, kullanıcıların güvenini kazanmak amacıyla trojanlaştırılmış yazılım paketlerini meşru uygulamalar gibi göstererek dağıtıyor. Araştırmacılar ilk bulaşma yöntemini kesin olarak doğrulayamadı. Buna rağmen teknik bulgular, son dönemde yaygınlaşan ClickFix yöntemiyle kullanıcıların zararlı dosyaları kendilerinin çalıştırmaya yönlendirilmiş olabileceğini gösteriyor.
UAT-11795 saldırı zincirine genel bakışCisco Talos’un analizine göre saldırı, HTA dosyasının zararlı NSIS kurulum paketini indirmesiyle başlıyor. Kurulum paketi içinde LICENSE.txt adı altında gizlenen Python yükleyicisi çalıştırıldıktan sonra Windows Registry üzerinde değişiklik yapılıyor zararlı yazılım sistemde kalıcı hâle getiriliyor. Ardından şifrelenmiş Starland RAT belleğe yüklenerek etkinleştiriliyor.
Zararlı yazılım çalışmaya başladıktan sonra sanal analiz ortamlarını tespit etmeye çalışıyor, görev zamanlayıcısına yeni kayıtlar ekliyor, Başlangıç klasörüne kopyalarını yerleştiriyor daha yüksek sistem yetkileri elde etmek için çeşitli yöntemler uyguluyor. Starland RAT, uzaktan erişim sağlayan klasik zararlı yazılımların ötesinde çok aşamalı saldırı altyapısı oluşturacak şekilde tasarlanmış durumda.
Starland RAT, ele geçirilen sistemlerde çok geniş kapsamlı bilgi topluyor. Zararlı; tarayıcı verileri, 40’tan fazla masaüstü tarayıcı tabanlı kripto para cüzdanı bilgileri, donanım kimliği (HWID), işletim sistemi ayrıntıları, genel IP adresi, yüklü antivirüs yazılımları Active Directory yapısına ilişkin bilgileri topluyor. Böylece saldırganlar hem bireysel kullanıcıları hem kurumsal ağları daha ayrıntılı analiz edebiliyor.
Zararlı ayrıca ekran görüntüsü alabiliyor, komut satırı komutları çalıştırabiliyor, ek EXE, DLL, MSI veya ZIP dosyaları indirebiliyor sisteme yeni yükler yerleştirebiliyor. Araştırma, 64 bit saldırı zincirinde CastleStealer bilgi hırsızının, 32 bit zincirinde ise Remcos RAT’ın devreye alındığını gösteriyor.
Cisco Talos, kampanya sırasında daha önce belgelenmemiş WLDR isimli PowerShell tabanlı zararlı yazılım kontrol altyapısını tespit. PBKDF2-SHA256 algoritmasıyla şifrelenen haberleşme mekanizması tamamen bellek üzerinde çalışıyor zararlı yüklerin her cihazın donanım kimliğine özel hazırlanmasını sağlıyor. Komuta kontrol sunucusuna ulaşılamadığı durumlarda ise saldırganlar Polygon blok zinciri üzerindeki akıllı sözleşmelerden XOR şifrelenmiş yedek alan adlarını alarak iletişimi sürdürebiliyor.
yaklaşım, klasik C2 altyapılarının engellenmesi durumunda bile saldırının devam edebilmesine imkân tanıyor. Blok zinciri tabanlı yedek iletişim mekanizmaları son yıllarda gelişmiş tehdit grupları tarafından daha sık kullanılmaya başladı.
Cisco Talos, kuruluşların yayımlanan IoC (Indicators of Compromise) listesini güvenlik ürünlerine eklemesini tavsiye ediyor. Güvenlik ekiplerinin özellikle ClickFix benzeri sosyal mühendislik yöntemlerine karşı kullanıcı farkındalığını artırması, bilinmeyen PowerShell komutlarının çalıştırılmasını sınırlandırması yalnızca üreticilerin resmî indirme sayfalarından yazılım yüklenmesine izin vermesi öneriliyor.
Türkiye’deki kurumlar açısından benzer saldırılar önemli risk oluşturuyor. Microsoft Windows, Cisco Talos, Active Directory, Polygon, PowerShell, Remcos RAT, CastleStealer Starland RAT etrafında şekillenen kampanya, saldırganların artık yalnızca zararlı dosyaları değil kullanıcı güvenini hedef aldığını gösteriyor. Meşru görünen kurulum dosyalarının dahi doğrulanmadan çalıştırılmaması, tür saldırılara karşı en etkili savunmalardan biri olmaya devam ediyor.
