Rusya bağlantılı APT28, iki NATO ülkesinde savunma şirketlerine casusluk saldırısı düzenledi
Symantec'e göre Rusya askeri istihbaratıyla ilişkilendirilen APT28, Avrupa'daki iki NATO ülkesinde bir askeri gemi üreticisini, bir askeri uçak motoru üreticisini ve bir kolluk kurumunu hedef aldı. Saldırılar Temmuz'dan Eylül sonuna kadar sürdü ve kampanyanın hâlâ devam ettiği düşünülüyor.
- 2 dk okuma
- 2 kaynak
Kısaca
- Gemi üreticisine giriş, bir çalışanın e-postayla gelen zararlı bir Word belgesini açmasıyla oldu. Saldırganlar Hookedge adlı arka kapıyla ağı keşfetti ve kullanıcı bilgilerini çalmaya çalıştı.
- Ülkelerin ve kurumların adı açıklanmadı. Symantec, savunmayla ilgili bilgilerin çalınıp çalınmadığını belirleyemedi. APT28'in bu yıl başında Türkiye'de de denizcilik, ulaşım ve diplomasi kurumlarını hedef aldığı raporlanmıştı.
Güvenlik şirketi Symantec, Rusya’nın askeri istihbarat servisi GRU ile ilişkilendirilen APT28 grubunun Avrupa’daki iki NATO ülkesinde savunma sanayisini hedef alan bir casusluk kampanyası yürüttüğünü açıkladı. Hedefler arasında bir askeri gemi üreticisi, bir askeri uçak motoru üreticisi ve bir kolluk kurumu var. Symantec ülkelerin ve kurumların adını vermedi.
APT28, Fancy Bear, BlueDelta ve Forest Blizzard adlarıyla da biliniyor. Grup on yılı aşkın süredir Avrupa ve Kuzey Amerika’daki askeri, kamu ve savunma kurumlarına yönelik siber casusluk faaliyetleriyle tanınıyor. 2016’da ABD Demokrat Parti Ulusal Komitesi’nin hacklenmesiyle ilişkilendirildikten sonra uluslararası ilgi görmüştü.
Saldırının yöntemi
Gemi üreticisine yönelik saldırıda giriş, bir çalışanın Temmuz’da e-posta ekinde gelen zararlı bir Microsoft Word belgesini açmasıyla oldu. Saldırganlar ardından şirketin iç ağını dolaştı ve kullanıcı bilgilerini çalmaya çalıştı. Sonraki bir hafta boyunca aynı bilgisayara defalarca geri dönerek, zararlı kodu çözüp doğrudan bellekte çalıştıran ve daha önce hiç belgelenmemiş bir araç kurdular. Bu aracın asıl amacı hâlâ bilinmiyor.
Saldırılarda Hookedge adlı arka kapı kullanıldı. Bu zararlıyı ilk olarak Ağustos’ta Recorded Future’ın Insikt Group ekibi belgelemişti. Symantec’e göre doğrulanan ilk bulaşma 24 Temmuz’da oldu, kampanyayla ilişkili son hareket ise 24 Eylül’de görüldü. Bu, operasyonun en az iki ay sürdüğünü gösteriyor, ancak saldırganların bu süre boyunca kesintisiz erişimde kalıp kalmadığı belirlenemedi.
Symantec’ten Dick O’Brien, saldırganların hassas bilgi çalıp çalamadığının tespit edilemediğini söyledi. O’Brien’a göre hedeflerin niteliği, amacın savunmayla ilgili bilgiler olduğunu düşündürüyor. Bazı durumlarda saldırganlar birkaç hafta ağda kaldı ve bu süre onlara veri toplama fırsatı vermiş olabilir. O’Brien, Recorded Future’ın Ağustos’taki bulgularından sonra Eylül’de de hareket görülmesinin kampanyanın sürdüğüne işaret ettiğini söylüyor.
APT28 ve Türkiye
Symantec’in bu kampanyada hedef alınan iki ülkenin adını vermediğini hatırlatalım. Ancak APT28 daha önce Türkiye’deki kurumları da hedef almıştı. Güvenlik şirketi Trellix’in Şubat 2026’da yayımladığı rapora göre grup, Polonya, Slovenya, Türkiye, Yunanistan ve Birleşik Arap Emirlikleri’nde denizcilik, ulaşım ve diplomasi alanındaki kurumları hedef almıştı. Batılı siber güvenlik kurumları da grubun özellikle Ukrayna’ya destek sağlayan savunma ve askeri lojistik kuruluşlarını hedef aldığı konusunda defalarca uyarı yayımladı.