APT28 iki NATO ülkesinde savunma hedeflerine girdi: bir donanma tersanesinde yeni "reflective loader"

Tehdit aktörü 6 dk okuma 20 Ekim 2026

Symantec'in Threat Hunter ekibi, Rus devlet bağlantılı APT28 grubunun iki NATO üyesi ülkede bir kolluk kuvveti kurumunu, bir donanma tersanesini ve bir askerî uçak motoru üreticisini hedef aldığını duyurdu. Tersane saldırısında daha önce belgelenmemiş bir "reflective loader" kullanıldı. Saldırı, makro içeren bir Word belgesiyle başladı ve yaklaşık iki ay sürdü.

Doğrulama: Haber doğru ve birincil kaynağı Symantec'in 20 Ekim tarihli analizi. Haberdeki "NATO ülkesindeki denizcilik firması" ifadesini biraz netleştiriyorum: Symantec iki NATO ülkesinde üç hedeften söz ediyor ve ülkelerin adını vermiyor. Denizcilik firması bir donanma tersanesi. Hangi hedefin hangi ülkede olduğu belli değil. Atıf konusunda: Symantec "Swallowtail" adını kullanıyor ve APT28 ile eşleştiriyor, ancak resmî bir güven düzeyi belirtmiyor.

Ne oldu?

Symantec, Swallowtail adını verdiği kümenin APT28 (Fancy Bear, Forest Blizzard, BlueDelta olarak da bilinir) ile aynı olduğunu söylüyor. Analiz, ABD hükûmetinin bir uyarısına atıfla grubu Rusya'nın askerî istihbaratı GRU'ya bağlı bir birim olarak tanımlıyor. Hedeflenen üç kuruluşun yabancı bir istihbarat servisini ilgilendirecek bilgilere sahip olduğu belirtiliyor.

En ayrıntılı vaka, bir donanma tersanesindeki yaklaşık iki aylık saldırı. Zaman çizelgesi:

24 Temmuz: Bir kullanıcı, Outlook ekindeki makro içeren bir Word belgesini açtı. Makrolar, antivirüs taramasından kaçmak için gizlenmişti.
24-27 Temmuz: Saldırganlar keşif yaptı, ağın hangi giden bağlantılara izin verdiğini denedi ve yaklaşık üç gün sessiz kaldı.
27 Temmuz: İkinci aşama betik, sabit bir IP adresinden görev aldı. Operatörler bir SSH özel anahtarını çaldı, iç ağa kalıcı bir tünel açtı ve iç sunucu adlarını haritaladı.
Temmuz sonu: NTLM kimlik doğrulaması yakalandı, yetkiler ve grup üyelikleri kontrol edildi.
28 Temmuz: Sistem ve yama bilgileri toplandı, ardından SSH tüneli sonlandırıldı. Nedeni belirsiz.
31 Temmuz: "ld.exe" adlı yükleyici, bir şifre çözme anahtarı ve şifreli bir dosyayla çalıştırıldı. Yükün ne yaptığı bilinmiyor.
Sonrası: Yükleyici ve başlatıcı Ağustos sonuna kadar sistemde kaldı. Başlatıcı 24 Eylül'de yeniden görüldü.

Kullanılan araçlar

HOOKEDGE: Word belgesiyle gelen toplu betik (batch script) tabanlı arka kapı. Görev almak ve veri çıkarmak için başta webhook.site hizmetini kullanıyordu. HTTP istemcisi olarak ekran dışında gizlenmiş bir Microsoft Edge penceresi çalıştırıyor. Temmuz sonundaki tersane saldırısında yeni varyantlar bunun yerine özel bir IP adresine (185.82.218.119) geçti.
Yeni reflective loader (ld.exe): Komut satırından aldığı anahtarla şifreli bir dosyayı bellekte çözüp ExecuteLoader adlı dışa aktarılmış işlevi çağırıyor. "Reflective" yükleyici, kodu diske yazmadan doğrudan belleğe yüklediği için dosya tabanlı tespitten kaçmayı kolaylaştırır.
Kimlik bilgisi hırsızlığı: İki yöntem görüldü. Biri, hedefe bir SSH anahtarı bırakıp saldırgan altyapısına arka planda tünel açmak. Diğeri, makineyi yerel bir dinleyiciye kimlik doğrulamaya zorlayıp NTLM el sıkışmasını yakalayan bir PowerShell betiği.

Neden APT28?

The Hacker News'e göre HOOKEDGE, APT28'in Nisan 2023'ten beri diplomatlara karşı kullandığı modüler bir implant olan HEADLACE ile önemli ölçüde kod ve yöntem benzerliği taşıyor. Aynı habere göre Recorded Future, HOOKEDGE'in Eylül 2025 ile Nisan 2026 arasında Romanya, İspanya ve Türkiye'deki devlet ve diplomatik kuruluşlara karşı kullanıldığını belgelemişti. Bu kampanyanın, Symantec'in anlattığı NATO savunma hedefleriyle bağlantılı olduğu söylenmiyor.

Symantec'in tüm atıf gerekçesini yazıda göremedim, bu yüzden atfı "güçlü kod ve yöntem örtüşmesine dayanan bir değerlendirme" olarak okumak doğru olur, kanıtlanmış bir hüküm olarak değil.

Savunma açısından ne öğretiyor?

Symantec'in önerileri:

HOOKEDGE göstergelerini, kapanmış bir olay değil, olası sürmekte olan bir ihlal olarak ele al.
Yalnızca arka kapıyı değil, kimlik bilgisi hırsızlığını ve tünellemeyi ara. Ters ya da dinamik yönlendirmeli beklenmedik SSH oturumlarına ve NTLM kimlik doğrulamasını localhost'a zorlayan PowerShell betiklerine bak.
Yayımlanan özetleri, ld.exe dosyasını, IP adresini ve alan adlarını ara.

Yorum: Bu vakadan çıkan genel dersler, büyük kuruluşlarla sınırlı değil. İnternetten gelen belgelerdeki makroları engellemek, giden trafiği (özellikle bilinmeyen webhook hizmetlerine ve çıplak IP'lere) kısıtlamak ve uç noktada beklenmedik SSH tünellerini izlemek, küçük ağlar için de uygulanabilir önlemler. Saldırının ilk adımı, yine bir e-posta eki.

Bilinmeyenler

İki ülkenin ve üç hedefin adları ve hangi hedefin hangi ülkede olduğu.
Tersane saldırısındaki ilk erişim dışındaki hedeflerde ilk erişim yöntemi.
31 Temmuz'da çalıştırılan yükün işlevi ve verinin gerçekten çıkarılıp çıkarılmadığı.
Symantec'in atıf güveni.

Bu yazı genel bilgi amaçlıdır. Rakamlar ve iddialar belirtilen kaynaklardan alınmıştır ve gelişmelerle değişebilir.

Kaynaklar

Tüm haberlere dön