Cisco Talos, ABD Avrupa’daki kuruluşları hedef alan yeni Rusça konuşan tehdit grubunu ortaya çıkardı. UAT-11795 adıyla izlenen grup, popüler kurumsal yazılımların değiştirilmiş yükleyicilerini kullanarak kullanıcı bilgilerini, tarayıcı verilerini kripto para cüzdanlarını ele geçirmeye çalışıyor. Güvenlik araştırmacıları, saldırı zincirinin yalnızca zararlı yazılıma değil, kullanıcıların güven duygusuna dayandığını belirtiyor.
Değiştirilmiş Yazılım Kurulum Dosyaları Saldırının İlk Aşamasını OluşturuyorCisco Talos’un analizine göre UAT-11795, Haziran 2025’ten yana faaliyet gösteriyor. Grup; MobaXterm, WebEx, Zoom, DBeaver FaceIT gibi yaygın kullanılan yazılımların truva atına dönüştürülmüş kurulum dosyalarını dağıtarak sistemlere sızıyor. İlk erişim ise ClickFix adı verilen sosyal mühendislik yöntemiyle sağlanıyor. Saldırganlar, kullanıcıyı belirli komutu çalıştırmaya ikna ettikten sonra uzaktaki sunucudan zararlı HTA dosyası indiriyor. Ardından VBScript çalıştırılarak geçici klasöre Windows toplu iş dosyası bırakılıyor saldırganın hazırladığı sahte kurulum paketi sisteme yükleniyor. yöntem, ClickFix saldırısı tekniklerinin kullanıcı davranışını hedef alarak güvenlik katmanlarını aşabildiğini gösteriyor.
Araştırmacılar kampanya sırasında daha önce belgelenmemiş iki zararlı aracı tespit. Starland RAT adlı Python tabanlı uzaktan erişim aracı PowerShell tabanlı WLDR Agent birlikte kullanılarak saldırganların sistem üzerindeki kontrolü sürdürmesi hedefleniyor. Bellek üzerinde çalışan WLDR Agent, şifrelenmiş komuta kontrol (C2) iletişimi kurabiliyor, görevleri sıraya alabiliyor ek zararlı bileşenleri çalıştırabiliyor. Zararlı yazılım ailesi yalnızca kimlik bilgilerini toplamakla kalmıyor; tarayıcı verileri kripto para cüzdanı bilgilerini ele geçirmeye çalışıyor.
Cisco Talos, grubun yedek komuta kontrol kanalını Polygon blok zinciri üzerindeki akıllı sözleşmeye gizlediğini belirledi. Böylece klasik sunucular devre dışı kalsa bile saldırganların alternatif iletişim kanalı oluşturabildiği ifade ediliyor.
Cisco Talos’un gözlemlerine göre saldırıların büyük bölümü ABD’ görüldü. Almanya, Romanya Venezuela kampanyadan etkilenen ülkeler arasında yer. Araştırmacılar ayrıca saldırganlarla bağlantılı olduğu değerlendirilen “stuk komanda” isimli özel Telegram kanalını tespit. Geçen yıl oluşturulan kanalın sınırlı sayıda kullanıcı tarafından kullanıldığı belirtilirken bunun operasyonun koordinasyonunda rol oynadığı değerlendiriliyor.
Huntress CISO’su Muhammad Yahya Patel, saldırganların uzaktan çalışan ekiplerin günlük kullandığı yazılımları hedef seçmesinin dikkat çekici olduğunu söyledi. Patel’e göre güvenilir görünen kurulum dosyalarının kötüye kullanılması, klasik çevre güvenliği önlemlerinden çok kullanıcı psikolojisini hedef alan yeni saldırı eğilimini yansıtıyor.
Exabeam Güvenlik Operasyonları Stratejisti Gabrielle Hempel, kullanıcıların Zoom veya WebEx gibi uygulamalardan uzak durmasının gerekmediğini ancak yazılımın indirildiği kaynağın mutlaka doğrulanması gerektiğini vurguladı. Güvenlik ekiplerinin beklenmeyen süreçleri, kalıcılık mekanizmalarını şüpheli ikili dosyaları yakından izlemesi gerektiğini belirten Hempel, dijital imzaya sahip yükleyicilerin tek başına güvenli kabul edilmemesi gerektiğini ifade.
Uzmanlara göre kurumlar artık yalnızca güvenlik açıklarının kapatılıp kapatılmadığını değil, kullanılan her çalıştırılabilir dosyanın hangi kaynaktan geldiğini doğrulayabilmeli. Özellikle yazılım tedarik zinciri saldırıları yaygınlaşırken yaklaşım kurumsal siber güvenlik stratejisinin önemli parçalarından biri hâline geliyor.
