Özet
DragonForce fidye yazılımıyla ilişkili tehdit aktörleri, Microsoft Teams altyapısı üzerinden komut ve kontrol (C2) trafiğini gizlemek için özel olarak geliştirilmiş bir Go tabanlı uzaktan erişim trojanı (RAT) olan Backdoor.Turn‘ü kullanıyor. Bu durum, siber güvenlik alanında önemli bir tehdit oluşturmakta ve hedef alınan kuruluşların güvenlik açıklarını artırmaktadır.
Saldırı Nasıl Çalışıyor?
DragonForce’un kullandığı Backdoor.Turn, Microsoft’un Skype destekli kimlik hizmetlerinden anonim bir Teams ziyaretçi token’ı alıyor. Bu süreç şu şekilde işlemektedir:
- Legitim Microsoft TURN iletimi kullanarak bağlantı kurar.
- C2 sunucusuna doğrudan bir QUIC oturumu başlatır.
Tehdit avcıları, bu bağlantının yalnızca dışa doğru giden Microsoft Teams sunucularına olan bağlantılardan ibaret olduğunu gözlemlemiştir.
Etkilenen Sistemler
Yapılan araştırmalara göre, tehdit aktörü başlangıçta ya bir SQL ya da MS-SQL sunucusundaki bir güvenlik açığını istismar ederek sisteme sızmayı başardı. Aynı zamanda, ilk erişim aracısı (IAB) aracılığıyla da bu erişimin sağlanmış olabileceği düşünülmektedir. Bu aktiviteler, Aralık 2025’te başladı ve saldırganlar, kullanıcılara teknik destek görünümü altında bir ZIP arşivinin yüklenmesini sağladı.
UYARI: Teknik Detaylar
Backdoor.Turn uygulaması, DbgView64.exe sürecine enjekte edilerek çalıştırılmaktadır. Bu, daha sonraki saldırılar için uzaktan erişim sağlamaya ve hedef sistemi yeniden satmaya yönelik bir strateji olarak yorumlanabilir.
Çözüm ve Korunma
Siber güvenlik uzmanları, aşağıdaki adımları takip ederek bu tür bir saldırıya karşı önlem alabilir:
- Sistem güncellemelerini düzenli olarak uygulayın.
- Güvenlik duvarları ve ağ izleme araçlarını etkinleştirin.
- Bilgi güvenliği politikalarınızı gözden geçirin ve güçlendirin.
- SQL ve MS-SQL sunucularındaki güvenlik açıklarını titizlikle kontrol edin.
Sonuç
Okuyucular, kullanmakta oldukları sistemlerin güncellemelerini derhal yapmalı, ağlarını güçlendirmeli ve olası tehditlere karşı mevcut güvenlik protokollerini gözden geçirmelidir. Ek olarak, portları dikkatle kapatmak ve izinsiz erişim tespit sistemlerini devreye almak hayati önem taşımaktadır.
