Los Angeles ulaşım sistemine yönelik Mart ayında gerçekleşen bir saldırının, İran destekli siber saldırganlar tarafından yapıldığı ifade ediliyor. İsrailli girişim Gambit Security, hackinqin İran’ın İstihbarat ve Devlet Güvenliği Bakanlığı (MOIS) ile ilişkili olduğunu rapor etti.

Reuters, Gambit’in raporunu ilk olarak duyurmuştu.

Ababil of Minab adlı hacktivist grup, daha önce bu saldırının sorumluluğunu üstlenerek, LACMTA sistemlerinden veri çaldıklarını ve ardından bu verileri sildiklerini belirtti. Grubun adı, Minab şehrindeki İran’a yönelik bir ABD hava saldırısını referans alıyor; bu saldırı 175’ten fazla kişinin, çoğu çocuk olmak üzere, ölümüne neden olmuştu.

Gambit, “Onlar, iddia ettikleri gibi yeni bir bağımsız hacktivist grup değil,” ifadesini kullandı.

Ababil of Minab, TechCrunch ile iletişime geçildiğinde bir yanıt vermedi.

Gambit, grubun daha önceki İran bağlantılı kampanyalarına dair adli kanıtlara dayanarak, MOIS’e atfedilen faaliyetleri incelediğini ve İsrail, Suudi Arabistan ve Türkiye’deki diğer saldırıları araştırdığını belirtti.

Gambit’in değerlendirmesi doğruysa, Ababil of Minab, İran hükümetiyle çalışan sahte hacktivist gruplar serisinin en yenisi olacak. Bu yılın başlarında ABD tıbbi teknoloji devi Stryker’a yapılan saldırı, Handala grubunun bir örneğini sundu; bu saldırıda binlerce şirket sistem ve çalışan cihazı silinmişti.

Stryker saldırısının ardından FBI, iki Handala web sitesine el koydu ve ABD Adalet Bakanlığı, İran hükümetini bu hacktivist grubun ve saldırılarının arkasında olmakla suçladı.

İran bağlantılı hackerlar, ABD ve İsrail’in bu yılın başında İran’ı bombalamaya başlamasının ardından, faaliyetlerini ve iddia ettikleri hackleri artırdı. Nisan ayında, ABD ajanslarından oluşan bir koalisyon, İranlı hackerların Amerikan kritik altyapısını hedef aldığını bildirmişti.

Son dönemde, İran destekli tehdit aktörü Nimbus Manticore, havacılık ve yazılım sektörleri gibi önemli alanlarda, kendisini çeşitli kuruluşlar olarak tanıtan saldırılar gerçekleştirmektedir. Bu saldırılar, özellikle uluslararası gerilimlerin arttığı bir dönemde, siber güvenlik açısından büyük bir tehlike arz etmektedir.

Saldırı Nasıl Çalışıyor?

Nimbus Manticore, yeni bir arka kapı olan  MiniFast  (aka  MiniUpdate ) kullanarak, yapay zeka (AI) desteğiyle geliştirilmiş ve daha önce belgelenmemiş teknikler benimsemiştir. Saldırı zincirleri, farklı evrelerde kullanılarak  AppDomain  kaçırma saldırılarıyla kötü amaçlı yazılımlar dağıtmaktadır. Şubat 2026’da, yazılım ve havacılık sektöründeki çalışanlara sahte kariyer fırsatları sunulmuş, bu süreçte  Zip  arşivleri kullanılarak sahte dosyalar indirtme yöntemi tercih edilmiştir.

Etkilenen Sistemler

Nimbus Manticore, aşağıdaki hedefleri belirlemiş ve saldırılar gerçekleştirmiştir:

• Havacılık ve yazılım firmaları
• Çeşitli lider uluslararası şirketler
• Birçok ülkede faaliyet gösteren enerji sektörü

Çözüm ve Korunma

Saldırılardan korunmak için şu önlemleri almanız önerilmektedir:

• Güncellemeleri gerçekleştirin: Yazılım ve sistemlerinizi düzenli olarak güncelleyin.
• Portları kapatın: Gereksiz açık portları kapatın ve sadece gerekli olanları açık tutun.
• Ağ güvenliği: Güçlü güvenlik duvarları kullanın ve izinsiz giriş tespit sistemleri uygulayın.

Sonuç olarak, Nimbus Manticore’un gerçekleştirdiği bu tehditler, siber güvenlik alanında dikkat edilmesi gereken ciddi bir uyarı niteliğindedir. Önerilen güvenlik önlemlerini uygulamak, organizasyonlarınızı bu tür tehlikelere karşı korumanın en etkili yoludur.

MuddyWater olarak bilinen İran bağlantılı siber saldırı grubu, birçok sektörde ve ülkede en az dokuz yüksek profilli kurumu hedef alan geniş bir siber casusluk kampanyası başlattı. Bu saldırıların önemli sonuçları, endüstriyel ve entelektüel mülkiyet hırsızlığı ile devlet casusluğunun artmasıdır.

Saldırı Nasıl Çalışıyor?

Saldırı, genellikle güvenilir yazılımların zararlı DLL’leri yüklediği bilinen bir teknik olan DLL sideloading ile gerçekleştirildi. Kullanılan iki meşru ikili dosya:

• fmapp.exe: Meşru bir Fortemedia ses aracıdır.
• sentinelmemoryscanner.exe: Meşru bir SentinelOne bileşenidir.

Zararlı DLL’ler (fmapp.dll ve sentinelagentcore.dll) ayrıca ChromElevator adı verilen bir araç içeriyordu. Bu araç, Chrome tabanlı tarayıcılarda depolanan verileri çalar.

Saldırıda daha önce Seedworm saldırılarında kullanılan PowerShell, hala aktif olarak kullanıldı; fakat yükler doğrudan yerine Node.js yükleyicileri aracılığıyla kontrol edildi. PowerShell, aşağıdaki işlemler için kullanıldı:

• Screenshot alma
• Keşif yapma
• Ek yükleri indirme
• Persistans sağlama
• Kredileri çalma
• SOCKS5 tünelleri oluşturma

Etkilenen Sistemler

Saldırı, Şubat 2026’da Güney Kore’deki bir elektronik üreticisine yapıldı ve 20 ile 27 Şubat tarihleri arasında sürdü. Saldırı sırasında, aşağıdaki aşamalar gerçekleştirildi:

• Host ve domain keşfi
• Antivirüs sorgulaması (WMI ile)
• Screenshot alma
• Ek kötü amaçlı yazılımların indirilmesi

Kredilerin çalınması, sahte Windows istemleri, kayıt defteri içeriğinden (SAM/SECURITY/SYSTEM) veri çalma ve Kerberos bileti istismar araçlarıyla gerçekleştirildi. Persistans, kayıt defteri değişiklikleri ile sağlandı ve beyanlar 90 saniyelik aralıklarla yapıldı.

Çözüm ve Korunma

Sonuç olarak, son MuddyWater kampanyası, tehdit aktörlerinin coğrafi açıdan genişlemesi ve meşru araçları kötüye kullanmaları açısından dikkat çekicidir. Şunları yaparak korunabilirsiniz:

• Güvenlik yazılımlarını güncelleyin, özellikle antivirüs ve güvenlik duvarı yazılımlarınızı.
• Gereksiz portları kapatın ve yalnızca gerekli olanları açık tutun.
• Farklı hesaplar için benzersiz ve güçlü şifreler oluşturun ve düzenli olarak değiştirin.

Okuyucuların, bilgisayar güvenliğini sağlamaları için yukarıdaki önlemleri almaları ve sistem güncellemelerini düzenli olarak kontrol etmeleri önemlidir.

Trump, bir gün önce Truth Social’da İran’daki sekiz kadının idamlarının yakın olduğunu belirten bir paylaşımda bulunmuştu. Bu paylaşımda, kadınların dokuz fotoğrafı yer alıyordu; ancak bu fotoğrafların yapay zeka ürünü olduğu iddiaları ile karşılaştı. “Trump, İranlı liderlere, sekiz yapay zeka tarafından üretilen kadının idam edilmemesi için yalvarıyor. Bu gördüğüm en komik şey,” diyen bir sosyal medya kullanıcısı, bu tartışmayı başlattı.