Cisco Talos, ABD ile Avrupa’daki kuruluşları hedef alan yeni bir Rusça konuşan tehdit grubunu ortaya çıkardı. UAT-11795 adıyla izlenen grup, popüler kurumsal yazılımların değiştirilmiş yükleyicilerini kullanarak kullanıcı bilgilerini, tarayıcı verilerini ile kripto para cüzdanlarını ele geçirmeye çalışıyor. Güvenlik araştırmacıları, saldırı zincirinin yalnızca zararlı yazılıma değil, kullanıcıların güven duygusuna da dayandığını belirtiyor.

Değiştirilmiş Yazılım Kurulum Dosyaları Saldırının İlk Aşamasını Oluşturuyor

Cisco Talos’un analizine göre UAT-11795, Haziran 2025’ten bu yana faaliyet gösteriyor. Grup; MobaXterm, WebEx, Zoom, DBeaver ile FaceIT gibi yaygın kullanılan yazılımların truva atına dönüştürülmüş kurulum dosyalarını dağıtarak sistemlere sızıyor. İlk erişim ise ClickFix adı verilen sosyal mühendislik yöntemiyle sağlanıyor. Saldırganlar, kullanıcıyı belirli bir komutu çalıştırmaya ikna ettikten sonra uzaktaki sunucudan zararlı HTA dosyası indiriyor. Ardından VBScript çalıştırılarak geçici klasöre bir Windows toplu iş dosyası bırakılıyor ve saldırganın hazırladığı sahte kurulum paketi sisteme yükleniyor. Bu yöntem, ClickFix saldırısı tekniklerinin kullanıcı davranışını hedef alarak güvenlik katmanlarını aşabildiğini gösteriyor.

Araştırmacılar kampanya sırasında daha önce belgelenmemiş iki zararlı aracı da tespit etti. Starland RAT adlı Python tabanlı uzaktan erişim aracı ile PowerShell tabanlı WLDR Agent birlikte kullanılarak saldırganların sistem üzerindeki kontrolü sürdürmesi hedefleniyor. Bellek üzerinde çalışan WLDR Agent, şifrelenmiş komuta kontrol (C2) iletişimi kurabiliyor, görevleri sıraya alabiliyor ve ek zararlı bileşenleri çalıştırabiliyor. Zararlı yazılım ailesi yalnızca kimlik bilgilerini toplamakla kalmıyor; tarayıcı verileri ile kripto para cüzdanı bilgilerini de ele geçirmeye çalışıyor.

Cisco Talos, grubun yedek komuta kontrol kanalını Polygon blok zinciri üzerindeki bir akıllı sözleşmeye gizlediğini de belirledi. Böylece klasik sunucular devre dışı kalsa bile saldırganların alternatif iletişim kanalı oluşturabildiği ifade ediliyor.

Cisco Talos’un gözlemlerine göre saldırıların büyük bölümü ABD’de görüldü. Almanya, Romanya ile Venezuela da kampanyadan etkilenen ülkeler arasında yer aldı. Araştırmacılar ayrıca saldırganlarla bağlantılı olduğu değerlendirilen “stuk komanda” isimli özel bir Telegram kanalını da tespit etti. Geçen yıl oluşturulan kanalın sınırlı sayıda kullanıcı tarafından kullanıldığı belirtilirken bunun operasyonun koordinasyonunda rol oynadığı değerlendiriliyor.

Huntress CISO’su Muhammad Yahya Patel, saldırganların uzaktan çalışan ekiplerin günlük kullandığı yazılımları hedef seçmesinin dikkat çekici olduğunu söyledi. Patel’e göre güvenilir görünen kurulum dosyalarının kötüye kullanılması, klasik çevre güvenliği önlemlerinden çok kullanıcı psikolojisini hedef alan yeni saldırı eğilimini yansıtıyor.

Exabeam Güvenlik Operasyonları Stratejisti Gabrielle Hempel, kullanıcıların Zoom veya WebEx gibi uygulamalardan uzak durmasının gerekmediğini ancak yazılımın indirildiği kaynağın mutlaka doğrulanması gerektiğini vurguladı. Güvenlik ekiplerinin beklenmeyen süreçleri, kalıcılık mekanizmalarını ile şüpheli ikili dosyaları yakından izlemesi gerektiğini belirten Hempel, dijital imzaya sahip yükleyicilerin tek başına güvenli kabul edilmemesi gerektiğini ifade etti.

Uzmanlara göre kurumlar artık yalnızca güvenlik açıklarının kapatılıp kapatılmadığını değil, kullanılan her çalıştırılabilir dosyanın hangi kaynaktan geldiğini de doğrulayabilmeli. Özellikle yazılım tedarik zinciri saldırıları yaygınlaşırken bu yaklaşım kurumsal siber güvenlik stratejisinin önemli parçalarından biri hâline geliyor.