Rusya bağlantılı APT28, iki NATO ülkesinde savunma şirketlerine sızdı

Rus devletiyle bağlantılı bilgisayar korsanları bu yaz en az iki ay boyunca, iki Avrupa NATO ülkesindeki bir deniz gemi inşa şirketine, askeri uçak motoru üreticisine ve bir kolluk kurumuna sızdı. The Record'un 20 Ekim'de aktardığı Symantec araştırmasına göre operasyon, Rusya askeri istihbaratı GRU ile ilişkilendirilen APT28 grubuna ait. Symantec, hedef seçiminin Avrupa'daki kamu ve savunma kuruluşlarına yönelik daha geniş bir istihbarat toplama çabasına işaret ettiğini belirtiyor.

Neler oldu?

The Record'un haberine göre gemi inşa şirketindeki sızma temmuz ayında, bir çalışanın e-posta eki olarak gelen zararlı bir Word belgesini açmasıyla başladı. İlk doğrulanan bulaşma 24 Temmuz tarihli. Sonraki hafta saldırganlar ele geçirilen bir bilgisayara defalarca geri dönerek daha önce belgelenmemiş bir araç yükledi. İlgili son zararlı etkinlik 24 Eylül'de tespit edildi; ancak araştırmacılar erişimin bu süre boyunca kesintisiz sürdüğünü doğrulayamadı.

The Record, iki ülkenin ve hedef kurumların adını vermedi; yalnızca Avrupa'da bulunduklarını belirtti.

Teknik detaylar

Haberde, saldırganların erişim sağlamak, kimlik bilgisi çalmak ve ağ hakkında bilgi toplamak için Hookedge arka kapısını kullandığı aktarılıyor. Hookedge ilk kez ağustos ayında Recorded Future'ın Insikt Group ekibi tarafından belgelenmişti. Saldırganlar hedef ağlarda iç sistemleri keşfetti ve oturum açma bilgilerini çalmaya çalıştı. Symantec ayrıca zararlı kodu bellekte çözüp çalıştıran, daha önce belgelenmemiş bir araç tespit etti; aracın nihai amacı belirsiz.

Araştırmacılar hassas bilgilerin çalınıp çalınmadığını belirleyemedi. Symantec analisti Dick O'Brien, bazı durumlarda saldırganların ağda birkaç hafta kaldığını ve hedefler düşünüldüğünde amacın savunmayla ilgili bilgiler olduğunu varsaymanın makul olduğunu söyledi.

Kimler etkileniyor?

Fancy Bear, BlueDelta ve Forest Blizzard adlarıyla da bilinen APT28, uzun süredir hükümetleri, orduları ve tedarikçilerini hedef alıyor. The Record'a göre grup bu yıl başında Polonya, Slovenya, Türkiye, Yunanistan ve Birleşik Arap Emirlikleri'ndeki denizcilik, ulaştırma ve diplomatik kuruluşlara yönelik saldırılarla ilişkilendirildi. İngiliz yetkililer de nisan ayında APT28'in trafiği yönlendirmek ve casusluk yapmak için yönlendirici açıklarını kullandığı konusunda uyarmıştı. 2025'te 20'yi aşkın Batılı kurum, grubun Ukrayna'ya yardım sağlayan lojistik ve teknoloji firmalarını hedef aldığına dair ortak bir uyarı yayımlamıştı.

Ne yapmalı?

The Record'un haberinde özel bir öneri yer almıyor. Avrupa'daki savunma tedarikçileri ve kamu kurumları, e-postayla gelen Office belgelerindeki makroları engelleyerek veya sıkı denetleyerek, olağan dışı kimlik bilgisi erişimini ve yanal hareketi izleyerek ve yayımlanan Hookedge göstergelerini kendi kayıtlarıyla karşılaştırarak riski azaltabilir.