Belarus yanlısı hackerlar Vasilek arka kapısını iki yıl VMware Tools içinde gizledi

Rus güvenlik şirketi Solar 4RAYS'in incelemesine göre Belarus yanlısı bir hacktivist grup, Vasilek adlı ve Telegram üzerinden yönetilen bir arka kapıyı VMware Tools dizinine gizleyerek bir Rus sağlık kuruluşunun ağında yaklaşık iki yıl boyunca kaldı. The Hacker News'ün 21 Ekim'de aktardığı bulgular, saldırganların güvenilen ama nadiren izlenen bir yazılım klasörünü tespitten kaçmak için nasıl kullandığını ortaya koyuyor.

Neler oldu?

Rostelecom'un iştiraki Solar'a bağlı Solar 4RAYS, müşterinin alan adına yönelik bir taramanın bağlı kuruluşlardan birinin ağından geldiğinin fark edilmesi üzerine Aralık 2025'te olaya dahil edildiğini açıkladı. İncelenen altyapıdaki en eski ihlal izleri 2024'ün başına uzanıyor. Adı açıklanmayan kurban, çok sayıda bağlı sağlık kuruluşuyla çift yönlü güven ilişkisi bulunan büyük bir sağlık kurumu olarak tanımlandı.

Şirket, ortak altyapı ve taktikler ile daha önce yalnızca bu grubun operasyonlarında görülen Vasilek'in kullanılmasına dayanarak saldırıyı Siber Partizanlar olarak da bilinen Partisan Zmiy'e bağladı. Grubun bazı önceki saldırılarının aksine yıkıcı bir faaliyet gözlenmedi; Solar, erişimin casusluk ve güvenilen ortaklara saldırı açısından daha değerli görülmüş olabileceğini değerlendiriyor. The Hacker News'e göre ilk erişim yöntemi hâlâ bilinmiyor.

Teknik detaylar

Solar 4RAYS'e göre saldırganlar VMware Tools klasöründeki meşru vmtools.dll dosyasını Vasilek içeren imzasız bir kopyayla değiştirdi ve orijinal dosyayı geri dönüş için başka bir adla sakladı. authd.exe adlı özel bir yükleyici, vmauad adını taşıyan sahte bir "VMware Auth Adapter" servisi olarak çalıştı; her cumartesi 22.00 ile 23.00 arasında GOST vekil sunucu tünelini, gecikmeli tek seferlik bir zamanlamayla da Vasilek'i başlattı.

Vasilek'in 1.5.8 sürümü komutlarını bir Telegram grubundan Bot API aracılığıyla alıyor ve verileri aynı yolla gönderiyor. Solar, komut çalıştırma, dosya aktarımı, ekran görüntüsü alma, tuş kaydı, kullanıcı girdisi taklidi ve yetki yükseltme dahil 59 komut tespit etti. Arka kapı, ana bilgisayar adının tuzlanmış özetini kontrol ediyor ve başka makinelerde sessizce kapanarak sanal ortam analizini zorlaştırıyor. Grup ayrıca DNSCat2, PartisanDNS adı verilen bir DNS tünelleme aracı, GOST ve 3proxy kullandı; ağ içinde RDP ve SMB ile yayıldı. Dosya zaman damgaları gerçek VMware Tools dosyalarıyla uyumlu olacak şekilde değiştirildi.

Kimler etkileniyor?

Siber Partizanlar daha önce Rusya ve Belarus'taki sanayi kuruluşlarını ve devlet kurumlarını hedef almıştı. Ancak kullanılan kalıcılık teknikleri, VMware Tools gibi üretici dizinlerinin varsayılan olarak güvenilir kabul edildiği sanallaştırılmış Windows sistemleri işleten her kurum için önem taşıyor.

Ne yapmalı?

Solar; güvenilen yazılım dizinlerindeki dosyaların dijital imzalarının doğrulanmasını, System32 ve üretici klasörlerinden çalıştırılabilir dosya veya DLL yükleyen servislerin denetlenmesini, servis kurulum olaylarının (Olay Kimliği 7045) ve AppMgmt gibi servis kayıt defteri anahtarlarındaki beklenmedik değişikliklerin incelenmesini öneriyor. Savunmacıların tarayıcı dışı süreçlerden çıkan Telegram Bot API trafiğini ve olağandışı TLS parmak izlerini izlemesi, ADMIN$ paylaşımına yazılan Impacket tarzı komut çıktılarını araması da tavsiye ediliyor. Solar'ın raporu tehdit avı için dosya özetleri, vmauad, tpvmmon ve msadcs32 gibi servis adları ve gov-by[.]com dahil alan adları içeriyor.