APT28in – Teknomers | Dünyadan Güncel Teknoloji | Oyun | Müzik | Film | Spor Haberleri

APT28’in Avrupa Hedeflerine Yönelik Acil Webhook Tabanlı Tehditleri

teknomers — Mon, 23 Feb 2026 22:21:07 +0000

APT28’in Yeni Tehditi: Operation MacroMaze

Rusya bağlantılı devlet destekli tehdit aktörü APT28, Batı ve Orta Avrupa’daki belirli kuruluşları hedef alan yeni bir kampanya ile dikkat çekiyor. Operation MacroMaze adını taşıyan bu saldırı, siber güvenlik alanında önemli bir risk oluşturmakta ve bu nedenle güvenlik uzmanlarının dikkatini çekmektedir.

Saldırı Nasıl Çalışıyor?

Operation MacroMaze, belirli bir yapı üzerinde kurulu saldırı zincirleri kullanarak gerçekleştirilmektedir. Saldırının detayları şu şekildedir:

Saldırılar, spear-phishing (hedefli oltalama) e-postaları ile başlamakta.
Bu e-postalar, “INCLUDEPICTURE” adlı bir alan içeren XML yapısına dayanan tuzak belgeleri dağıtmaktadır. Bu alan, uzaktaki bir web sitesinden (webhook[.]site) bir JPG görüntüsüne işaret etmektedir.
Belge açıldığında, bu mekanizma bir “beacon” işlevi görerek dışa doğru bir HTTP isteği tetiklemektedir.

Bu mekanizma ile sunucu operatörü, isteğin meta verilerini kaydedebilmekte ve belgenin gerçekten alıcı tarafından açıldığını doğrulayabilmektedir.

Etkilenen Sistemler

LAB52’nin tespitlerine göre, bu kampanya süresince (Eylül 2025 – Ocak 2026) birkaç belgede küçük değişikliklerle tekrarlanan makrolar kullanılmıştır. Bu makrolar, saldırganların hedef makinede bir zafiyet yaratmak için bir “dropper” işlevi görmektedir.

Makro mantığı, her ne kadar tutarlı kalsa da, kaçınma tekniklerinde bir evrim göstermektedir.
Eski versiyonlar ‘headless’ (görünmez) tarayıcı çalıştırmayı kullanırken, yeni versiyonlar, güvenlik uyarılarını atlatmak için tuş simülasyonu (SendKeys) kullanmaktadır.

Makro, Visual Basic Script (VBScript) çalıştırarak enfeksiyonun sonraki aşamasına geçmektedir. Bu script, bir CMD dosyası çalıştırarak kalıcılığı sağlamakta ve HTML yükünün Microsoft Edge’de görünmez modda render edilmesini sağlamaktadır.

Çözüm ve Korunma

LAB52’nin açıkladığına göre, bu kampanyanın basitliği, saldırının etkinliğini artırmaktadır. Saldırgan, çok temel araçlar (batch dosyaları, küçük VBS başlatıcıları ve basit HTML) kullanmasına rağmen, bunları dikkatle düzenleyerek sızma ve veri sızıntısı süreçlerini gizlemektedir.

Önerilen önlemler aşağıdaki gibidir:

Güncellemeleri düzenli olarak kontrol edin: Yazılımlarınızı ve güvenlik çözümlerinizi güncel tutun.
Güvenlik duvarını etkinleştirin: Dışa doğru gereksiz portları kapatın.
Phishing Simülasyonları Yapın: Çalışanlarınızı potansiyel oltalama saldırılarına karşı eğitin.

Sonuç olarak, sistemlerinizin güvenliğini sağlamak için düzenli güncellemeler yapmanız, gereksiz bağlantıları kapatmanız ve kullanıcı eğitimleri gerçekleştirmeniz kritik öneme sahiptir. Cyber tehditlere karşı sürekli tetikte olmalısınız.

Acil: APT28’in Enerji ve Politika Kuruluşlarını Hedef Alan Hırsızlık Kampanyası

teknomers — Sat, 10 Jan 2026 23:21:22 +0000

Giriş

Rusya destekli tehdit aktörleri, Türkiye’deki bir enerji ve nükleer araştırma ajansıyla, Avrupa’daki bir düşünce kuruluşu ve Kuzey Makedonya ile Özbekistan’daki organizasyonlarla bağlantılı bireyleri hedef alan yeni bir kimlik avı saldırısı gerçekleştirmiştir. Bu saldırıların, APT28 (BlueDelta) grubu tarafından gerçekleştirildiği belirlenmiştir ve siber güvenlikte önemli bir endişe kaynağı olmaktadır.

Saldırı Nasıl Çalışıyor?

Saldırılar, Ocak 2025’te CVE-2025-XXXX ve CVE-2025-YYYY referanslı kampanyalarla aynı dönemde gerçekleştirilmiştir. APT28, bu yeni saldırılarda kullanıcıları, Microsoft Outlook Web Erişimi (OWA), Google ve Sophos VPN alanında popüler hizmetlere benzeyen sahte giriş sayfalarına yönlendirmektedir.

Saldırının başlangıcı, hedef bireylere gönderilen bir kimlik avı e-postasıyla başlar. Bu e-posta, tıklanıldığında kullanıcıları webhook[.]site üzerindeki sahte sayfaya yönlendirir.
Daha sonra, bu sayfa kullanıcılara sahte bir Microsoft OWA giriş sayfası sunarak, kimlik bilgilerini toplamaya çalışır.
Kullanıcılar kimlik bilgilerini girdiklerinde, bu veriler webhook endpoint’ine aktarılır, böylelikle tehlike algılanmaz.

Etkilenen Sistemler

Yapılan saldırılarda kullanılan altyapı, aşağıdaki gibi hizmetlerden yararlanmaktadır:

Webhook[.]site
InfinityFree
Byet Internet Services
ngrok

Bu sistemler, sahte giriş sayfalarını barındırmakta ve çalınan verilerin aktarımını sağlamakta kullanılmaktadır. APT28 “BlueDelta” grubunun bu hizmetlerden yararlanarak kullanıcılardan bilgi toplama çabaları, siber güvenlik alanında önemli bir tehdit oluşturmaktadır.

Çözüm ve Korunma

Bu tehditlere karşı korunmak için aşağıdaki adımlar alınmalıdır:

Şirketlerde e-posta güvenlik yöntemleri güçlendirilmelidir.
Kullanıcıların şifrelerini düzenli olarak değiştirmesi ve karmaşık şifreler kullanması teşvik edilmelidir.
Bir VPN veya güvenilir bir ağ üzerinden bağlantı sağlama gibi koruma önlemleri alınmalıdır.
Yetkisiz web sitelerine (örneğin webhook[.]site gibi) yönlendirilme ihtimali konusunda kullanıcılar bilgilendirilmelidir.

Sonuç

Okuyuculara tavsiyemiz, yukarıda belirtilen güvenlik önlemlerini dikkate alarak sistemlerini güncellemeleri ve sahte içeriklere karşı daha dikkatli olmalarıdır. Ayrıca, güvenlik güncellemelerini ve yamalarını düzenli olarak uygulamayı unutmayınız. Bu önlemler, hedef olma riskinizi azaltacaktır.

APT28’in Ukrayna UKR-net Kullanıcılarına Yönelik Phishing Saldırıları

teknomers — Wed, 17 Dec 2025 16:31:30 +0000

Dec 17, 2025Email Security / Threat Intelligence

APT28 ve UKR-net Kullanıcılarına Yönelik Tehditler

Son dönemlerde dikkat çeken bir siber tehdit aktörü, Rusya destekli APT28 olarak bilinen grup. Bu grup, özellikle Ukrayna’nın popüler webmail ve haber servisi UKR[.]net kullanıcılarına yönelik uzun süreli bir kimlik avı kampanyası düzenlemektedir. Recorded Future’ın Insikt Grubu tarafından 2024 Haziran ile 2025 Nisan arasında izlenen bu faaliyet, daha önceki saldırıların üzerine inşa edilmiştir.

APT28’in Tanımı ve Tarihçe

APT28, aynı zamanda BlueDelta, Fancy Bear, ve Sofacy gibi farklı isimlerle de anılmaktadır. Rusya’nın Genelkurmay Başkanlığı’na (GRU) bağlı olduğu değerlendirilmektedir. Bu grup, devlet destekli bir aktör olarak bilinen siber casusluğun öncülerindendir ve tarihsel olarak kamu kurumları, savunma sanayi şirketleri ve stratejik düşünce kuruluşlarını hedef almıştır.

Kimlik Avı Kampanyasının Detayları

Yeni saldırılar, kullanıcıları sahte UKR[.]net giriş sayfalarına yönlendirmek için Mocky gibi meşru hizmetlerde oluşturulmuş sahte sayfaların kullanılmasıyla karakterize edilmektedir. Bu sahte sayfalara yönlendiren bağlantılar, phishing e-postaları aracılığıyla dağıtılan PDF belgelerine gömülüdür.

Kısaltılmış Bağlantılar ve İki Aşamalı Yönlendirme

Saldırganlar, bağlantıları tiny.cc ya da tinyurl.com gibi kısaltma servisleri kullanarak gizlemektedir. Bazı durumlarda ise, Blogger platformlarında (blogspot.com gibi) oluşturulan alt alan adlarıyla iki aşamalı bir yönlendirme zinciri kurulmakta ve sonrasında kimlik avı sayfasına ulaşılmaktadır.

Stratejik Amaçlar ve Hedef Seçimi

APT28’in bu kampanyası, Rusya’nın stratejik hedefleri doğrultusunda, Ukrayna’ya karşı yürüttüğü siber savaşın bir parçası olarak değerlendiriliyor. Daha önceki çalışmalarda belirtildiği gibi, grup, önemli bilgileri toplamak üzere hedef alır. Ancak bu kampanya spesifik hedefler ortaya koymamakla birlikte, Ukrayna kullanıcılarından hassas bilgilerin toplanması amacını taşımaktadır.

Değişen Yöntemler ve Altyapı Kullanımı

Saldırganlar, daha önce kullanılan ihlal edilmiş yönlendiricilerden, proxy tünelleme hizmetleri gibi yeni yöntemlere geçiş yapmıştır. Örneğin, ngrok ve Serveo gibi hizmetler, ele geçirilen kimlik bilgilerini ve iki faktörlü kimlik doğrulama kodlarını yakalamak ve iletmek için kullanılmaktadır.

Sonuç ve Siber Güvenlik Önlemleri

APT28’in UKR-net kullanıcılarına yönelik bu mevcut kampanyası, Rusya’nın siber saldırı kapasitesinin ve teknik gücünün bir göstergesidir. Batı odaklı altyapıların kaldırılması sonrası, saldırganların, anonim tünelleme yapılarına başvurması önemli bir adaptasyon gösterdiğini yansıtmaktadır.

Sonuç olarak, bireyler ve kuruluşlar, bu tür tehditlere karşı daha proaktif önlemler almalı ve siber güvenliklerini artırmalıdır. Kimlik avı e-postalarına karşı dikkatli olunması, şüpheli bağlantılara tıklanmaması ve güvenlik çözümlerinin aktif kullanılması bu süreçte kritik öneme sahiptir.

Güncel Siber Güvenlik Haberleri – 1

Siber Güvenlik Kurumları Ubiquiti EdgeRouter Kullanıcılarını APT28’in MooBot Tehdidine Karşı Uyardı

teknomers — Wed, 28 Feb 2024 07:24:17 +0000

28 Şubat 2024Haber odasıÜrün Yazılımı Güvenliği / Güvenlik Açığı

Yeni bir ortak tavsiye belgesinde, ABD ve diğer ülkelerdeki siber güvenlik ve istihbarat teşkilatları, Dying Ember kod adlı bir operasyonun parçası olarak kolluk kuvvetleri tarafından virüslü yönlendiricilerden oluşan bir botnet’in düşürülmesinden haftalar sonra, Ubiquiti EdgeRouter kullanıcılarını koruyucu önlemler almaya çağırıyor.

MooBot adlı botnet’in, APT28 olarak bilinen Rusya bağlantılı bir tehdit aktörü tarafından gizli siber operasyonları kolaylaştırmak ve daha sonra istismar edilmek üzere özel kötü amaçlı yazılımları bırakmak için kullanıldığı söyleniyor. Rusya’nın Genelkurmay Ana Müdürlüğü’ne (GRU) bağlı APT28’in en az 2007’den beri aktif olduğu biliniyor.

Yetkililer, APT28 aktörlerinin “kimlik bilgilerini toplamak, NTLMv2 özetlerini, proxy ağ trafiğini toplamak ve hedef odaklı kimlik avı açılış sayfalarını ve özel araçları barındırmak için dünya genelinde güvenliği ihlal edilmiş EdgeRouters’ı kullandığını” belirtti. söz konusu [PDF].

Düşmanın EdgeRouters kullanımı 2022 yılına kadar uzanıyor; saldırılar Çek Cumhuriyeti, İtalya, Litvanya’da havacılık ve savunma, eğitim, enerji ve kamu hizmetleri, hükümetler, konaklama, üretim, petrol ve gaz, perakende, teknoloji ve ulaşım sektörlerini hedef alıyordu. Ürdün, Karadağ, Polonya, Slovakya, Türkiye, Ukrayna, BAE ve ABD

MooBot saldırıları, OpenSSH truva atlarını dağıtmak için varsayılan veya zayıf kimlik bilgilerine sahip yönlendiricileri hedeflemeyi gerektirir; APT28, kimlik bilgilerini, proxy ağ trafiğini, ana bilgisayar kimlik avı sayfalarını ve diğer araçları toplamak için bash komut dosyası ve diğer ELF ikili dosyalarını sunmak için bu erişimi elde eder.

Buna, siteler arası komut dosyası çalıştırma ve tarayıcıdaki tarayıcı (BitB) hedefli kimlik avı kampanyaları aracılığıyla toplanan, özel olarak hedeflenen web posta kullanıcılarına ait hesap kimlik bilgilerini yüklemek için Python komut dosyaları da dahildir.

APT28 ayrıca, Microsoft Outlook’ta NT LAN Manager (NTLM) karmalarının çalınmasına olanak tanıyan ve aktarma saldırısı başlatabilen, artık yamalanmış kritik bir ayrıcalık yükseltme kusuru olan CVE-2023-23397’nin (CVSS puanı: 9,8) kötüye kullanılmasıyla da ilişkilendirilmiştir. herhangi bir kullanıcı etkileşimi gerektirmeden.

Kötü amaçlı yazılım cephaneliğindeki bir diğer araç da, tehlikeye atılmış Ubiquiti EdgeRouters’ı komuta ve kontrol (C2) altyapısı olarak kullanarak kurban makinelerde rastgele komutlar yürütebilen bir Python arka kapısı olan MASEPIE’dir.

Ajanslar, “Güvenliği aşılmış Ubiquiti EdgeRouters’a root erişimi sayesinde APT28 aktörleri, araçları yüklemek ve kötü amaçlı kampanyalar yürütürken kimliklerini gizlemek için Linux tabanlı işletim sistemlerine sınırsız erişime sahip” dedi.

Kuruluşların, dosya sistemlerini kötü amaçlı dosyalardan temizlemek, en son ürün yazılımı sürümüne yükseltmek, varsayılan kimlik bilgilerini değiştirmek ve uzaktan yönetim hizmetlerinin açığa çıkmasını önlemek için güvenlik duvarı kurallarını uygulamak için yönlendiricileri donanım fabrika ayarlarına sıfırlaması önerilir.

Ortaya çıkanlar, ulus devlet korsanlarının yönlendiricileri saldırılar için giderek daha fazla bir başlangıç noktası olarak kullandığının, bunları VPNFilter, Cyclops Blink ve KV-botnet gibi botnet’ler oluşturmak ve kötü amaçlı faaliyetlerini yürütmek için kullandıklarının bir işareti.

Bülten, Five Eyes ülkelerinin, Rusya’nın Dış İstihbarat Servisi’ne (SVR) bağlı tehdit grubu ve SolarWinds, Microsoft ve HPE’ye yapılan saldırıların arkasındaki kuruluş olan APT29’u, buluta erişim için hizmet hesapları ve hareketsiz hesaplar kullanması konusunda çağırmasından bir gün sonra geldi. Hedef kuruluşlardaki ortamlar.

siber-2