NATO Üyesi Ülkede Deniz Tersanesi Hedef Alındı: APT28 Yeni Yükleyici Kullandı

Rusya ile ilişkilendirilen ve devlet destekli olduğu bilinen siber tehdit aktörü APT28, iki NATO üyesi devlete yönelik saldırılarla yeniden gündemde. BlueDelta, Fancy Bear ve Forest Blizzard gibi isimlerle de anılan bu grup, kritik altyapıları hedef alarak yeni bir yansıtıcı yükleyici ve sofistike saldırı teknikleri kullandı. Elde edilen bilgilere göre, bir deniz tersanesi, bir kolluk kuvveti ve askeri uçak motoru üreticisi gibi stratejik öneme sahip kurumlar, yabancı bir istihbarat teşkilatının ilgisini çekebilecek verilere ulaşma potansiyeli taşıyan siber casusluk faaliyetlerinin odağı haline geldi.

Siber Casuslukta Tanıdık Bir İsim: APT28

Uzun yıllardır çeşitli siber casusluk ve yıkıcı siber operasyonlarla adından söz ettiren APT28, devlet destekli bir siber saldırı grubudur. Temel motivasyonu, hedef alınan ülkelerden stratejik istihbarat toplamak ve jeopolitik çıkarlara hizmet eden kritik bilgilere erişim sağlamaktır. Bu grup, karmaşık saldırı zincirleri ve sürekli yenilenen araç setleriyle tanınır. Özellikle Batı ülkelerindeki savunma sanayi, kamu kurumları ve diplomatik hedefler, APT28’in geçmişteki ve günümüzdeki operasyonlarında sıkça karşımıza çıkmaktadır.

APT28’in kullandığı arka kapılardan biri olan HOOKEDGE, ilk olarak Ağustos 2026’nın sonlarında kamuoyuyla paylaşılan bir siber casusluk kampanyasında belirginleşmişti. Bu kampanya, Eylül 2025 ile Nisan 2026 başları arasında Romanya, İspanya ve Türkiye’deki hükümet ve diplomatik kuruluşları hedef almıştı. HOOKEDGE, APT28’in Nisan 2023’ten bu yana diplomatlara yönelik saldırılarda kullandığı modüler bir Windows implantı olan HEADLACE ile önemli kod ve teknik örtüşmeler sergiliyor. Bu durum, grubun araç setini sürekli olarak güncellediğini ve mevcut altyapısını yeni tehditlere adapte ettiğini gösteriyor.

HOOKEDGE Arka Kapısı ve İletişim Mekanizmaları

HOOKEDGE, temel bir Windows toplu iş (batch) betiği olarak işlev görür. Amacı, saldırgan tarafından verilen komutları kabul etmek ve bu komutların sonuçlarını geri göndermektir. Genellikle oltalama (spear-phishing) yemleri aracılığıyla, makro özellikli Microsoft Word belgeleri üzerinden dağıtılan bu arka kapı, hedeflenen sisteme sızmak için sosyal mühendislik tekniklerinden yararlanır. Kullanıcıların güvenini kötüye kullanarak zararlı makroları etkinleştirmeleri teşvik edilir ve böylece ilk erişim sağlanır.

Sisteme bulaşan makineler, görevleri almak için geleneksel bir indiriciye güvenmek yerine, Microsoft Edge tarayıcısının gizli, ekran dışı bir örneğini kullanır. Başlangıçta, HOOKEDGE tamamen webhook[.]site URL’si aracılığıyla iletişim kurmaktaydı; bu platform, görevleri aşamalandırmak ve yürütme çıktılarını almak için bir kanal görevi görüyordu. Ancak, Temmuz 2026’nın sonlarında deniz tersanesine yönelik saldırıda, APT28’in HOOKEDGE’in yeni varyantlarını konuşlandırdığı ve görevlendirme ile veri sızdırma için özel bir IP adresine (185.82.218[.]119:443) geçiş yaptığı gözlemlendi. Bu değişiklik, saldırganların tespit edilme riskini azaltma ve iletişim altyapıları üzerinde daha fazla kontrol sağlama çabalarını ortaya koyuyor.

Yeni Yansıtıcı Yükleyici ve Gelişmiş Kimlik Avı Teknikleri

Siber güvenlik araştırma ekipleri, APT28’in bu operasyonlarında daha önce belgelenmemiş yeni bir yansıtıcı yükleyici kullandığını tespit etti. Bu özel yükleyici, çalışma zamanında sağlanan kriptografik bir anahtar kullanarak bellekte şifreli bir yükü çözmek ve çalıştırmak için tasarlanmıştır. Bu yöntem, kötü amaçlı yazılımların diskte kalıcı iz bırakmasını zorlaştırır ve analizi karmaşıklaştırır, böylece güvenlik çözümlerinin tespitini atlatma potansiyelini artırır.

Deniz tersanesine yönelik saldırıda, saldırganlar iki farklı kimlik bilgisi çalma tekniği kullandı. İlk yöntemde, tehlikeye atılan ana bilgisayara bir SSH özel anahtarı yüklendi ve bu anahtar derhal kendi sunucularına geri bir SSH bağlantısı açmak için kullanıldı. Bu bağlantı, kalıcı, arka planda çalışan bir tünel talep ederek saldırganlara kendi altyapılarından hedefin dahili ağına bir rota sağladı. Bu sayede, ağ içinde yanal hareketlilik ve daha derin erişim imkanları elde edildi.

İkinci kimlik bilgisi çalma tekniğinde ise, kısa ve bağımsız bir PowerShell betiği çalıştırıldı. Bu betik, ana bilgisayarın kendi geri döngü (loopback) adresinde bir dinleyici kurar ve makineyi bu dinleyiciye karşı kimlik doğrulamaya zorlar. Bu zorlama sonucunda oluşan NTLM el sıkışması, saldırganlar tarafından ele geçirilerek hedef ağdaki diğer sistemlere erişim için kullanılabilecek değerli kimlik bilgisi özetleri elde edilmesini sağlar. Bu tür teknikler, kurumsal ağlarda genellikle güvenilen iç mekanizmaları hedef alarak savunma katmanlarını aşmayı amaçlar.

Kritik Altyapılara Yönelik Tehdidin Boyutları

Bu saldırılar, özellikle NATO üyesi ülkelerdeki stratejik öneme sahip hedeflere odaklanmasıyla dikkat çekiyor. Bir deniz tersanesi, bir kolluk kuvveti ve askeri uçak motoru üreticisi gibi kurumlar, ulusal güvenlik açısından hayati bilgiler barındırır. Bu tür hedeflere yönelik siber saldırılar, sadece veri sızıntılarına yol açmakla kalmaz, aynı zamanda operasyonel süreçleri aksatabilir, fikri mülkiyeti tehlikeye atabilir ve uzun vadede ulusal savunma kapasitelerini zayıflatabilir. Deniz tersanesindeki “hands-on-keyboard” faaliyetinin bir hafta boyunca tekrar tekrar gözlemlenmesi, saldırganların hedeflenen ağ üzerinde aktif ve manuel kontrol sağladığını, dolayısıyla daha derinlemesine keşif ve veri toplama çabasında olduğunu gösteriyor.

APT28 gibi devlet destekli siber aktörlerin hedefli saldırıları, siber casusluğun uluslararası ilişkilerdeki ve güvenlik politikalarındaki merkeziyetini bir kez daha ortaya koyuyor. Kritik altyapıların siber savunması, sadece teknik önlemlerden ibaret değil, aynı zamanda siber tehdit istihbaratının sürekli takibini, uluslararası işbirliğini ve ulusal düzeyde kapsamlı stratejileri gerektiriyor. Bu saldırılar, NATO üyesi ülkelerin siber güvenlik duruşlarını gözden geçirmeleri ve olası tehdit senaryolarına karşı daha dirençli sistemler geliştirmeleri gerektiğini açıkça gösteriyor.

Siber Savunmada Alınacak Önlemler

Kritik altyapılara ve hassas bilgilere sahip kurumlar için siber güvenliği güçlendirmek, sürekli bir çaba gerektirir. İlk olarak, kullanıcı farkındalığı eğitimleri ile oltalama (phishing) saldırılarına karşı direnç artırılmalıdır. Makro özellikli belgelerden veya şüpheli e-postalardan gelebilecek tehditlere karşı çalışanların dikkatli olması esastır. Ayrıca, tüm yazılımların, özellikle işletim sistemleri ve güvenlik çözümlerinin güncel tutulması, bilinen güvenlik açıklarının kapatılması için zorunludur.

Ağ izleme ve tehdit avcılığı (threat hunting) yeteneklerinin geliştirilmesi, ağdaki anormal davranışları ve potansiyel sızmaları erken aşamada tespit etmek için hayati öneme sahiptir. Kimlik doğrulama sistemlerinin güçlendirilmesi, çok faktörlü kimlik doğrulamanın (MFA) yaygınlaştırılması ve ayrıcalıklı erişim yönetimi (PAM) çözümleri, kimlik bilgisi hırsızlığına karşı ek bir savunma katmanı oluşturur. SSH özel anahtarlarının ve PowerShell betiklerinin kötüye kullanımını engelleyecek sıkı güvenlik politikaları ve yapılandırmaları uygulamak, bu tür gelişmiş saldırı tekniklerine karşı kritik bir adım olacaktır.