Giriş
APT28 (Forest Blizzard) olarak bilinen Rusya bağlantılı tehdit aktörü, tarafınca yönetilen siber casusluk kampanyasında MikroTik ve TP-Link yönlendiricilerini hedef alarak, güvenlik açıklarından faydalandı. Bu olay, siber güvenlikte kritik bir tehdit oluşturmakta ve etkilenen sistemlerin güvenliğini sorgulanabilir hale getirmektedir.
Saldırı Nasıl Çalışıyor?
APT28, FrostArmada olarak adlandırılan geniş çaplı bir istismar kampanyası başlattı. Bu saldırı, zayıf ev ve küçük ofis (SOHO) internet cihazlarını hedef alarak, DNS trafiğini ele geçirmeyi ve ağ verilerini pasif olarak toplamayı amaçladı. Saldırganların teknikleri, kötü amaçlı DNS ayarlarını değiştirmiş ve Network Traffic’i ele geçirerek kimlik bilgilerini toplayıp dışarıya çıkardığı belirtilmiştir.
Black Lotus Labs, raporunda şunları ifade etmiştir:
- Tehdit aktörleri tarafından yönetilen AitM (attacker-in-the-middle) düğümüne yönlendirmek için, hedef alanlara yönelik isteklerde ağ trafiği yönlendirilmiştir.
- Bu yaklaşım, son kullanıcıdan hiçbir etkileşim gerektirmeyen neredeyse görünmez bir saldırı sağlamaktadır.
Etkilenen Sistemler
Bu saldırı, 2025 Mayısından itibaren sınırlı bir kapasiteyle başlamış ve Aralık 2025’te 120’den fazla ülkeden 18,000’den fazla benzersiz IP adresinin APT28 altyapısıyla haberleştiği tespit edilmiştir. Aşağıdaki sistem ve ağlar bu saldırılardan etkilenmiştir:
- TP-Link WR841N yönlendiricileri ( CVE-2023-50224 ) kullanan cihazlar
- MikroTik yönlendiricileri
- Devlet daireleri, law enforcement ve diğer üçüncü taraf e-posta ve bulut hizmet sağlayıcıları
Çözüm ve Korunma
Güvenlik açıklarına karşı alınacak önlemler şunlardır:
- Yönlendiricilerinizi güncelleyerek en son yazılım sürümünü yükleyin.
- Varsayılan ayarları değiştirin ve varsayılan şifreleri güçlü bir şekilde güncelleyin.
- DNS ayarlarını kontrol edin ve yalnızca güvenilir DNS sunucularını kullanın.
- Internet trafiğinizi izlemek ve potansiyel tehditleri tespit etmek için güvenlik duvarları ve izleme sistemleri kullanın.
Sonuç olarak, kullanıcıların yönlendiricilerini güncellemeleri, güvenlik ayarlarını güçlendirmeleri ve tanımadıkları sunuculara erişimi azaltmaları şiddetle önerilmektedir. Yönlendiricilerin kapatılması veya ağ güvenliği konusunda daha derinlemesine tedbirler alınması bu tür tehditlere karşı önemli bir adım olacaktır.
