Gamaredon Siber Saldırıları: Yeni Taktikler ve Bulut İstismarı Nasıl Yükseliyor?

Doğu Avrupa’nın siber arenası, yıllardır aralıksız bir mücadeleye sahne oluyor. Son raporlar, kötü şöhretli Gamaredon siber saldırıları grubunun 2025 boyunca Ukrayna’ya yönelik tehditlerini önemli ölçüde çeşitlendirdiğini ortaya koydu. Bu gelişme, siber güvenlik dünyasında yeni bir alarm zili çalıyor, peki bu tehditler ne kadar derinleşti?

Gamaredon Taktiklerinde Evrim: Hedefler ve İlk Temas

Gamaredon, 2025 yılı boyunca siber operasyonlarını durmaksızın sürdürdü ve odağını tamamen Ukrayna üzerinde yoğunlaştırdı. Grup, özellikle yılın ikinci yarısında olmak üzere, 35 farklı oltalama (spear-phishing) kampanyası düzenleyerek yeni hedeflere odaklandı. Bu kampanyaların birincil hedefleri arasında Ukrayna hükümet kurumları ve askeri teşkilatlar yer alıyordu.

Siber güvenlik uzmanları, grubun nihai amacının hassas bilgiler ve Rusya’nın devam eden savaş çıkarlarını destekleyebilecek diğer kritik verileri ele geçirmek olduğunu belirtiyorlar. Peki, bu denli yoğun ve hedefe yönelik saldırıların ardındaki mekanizmalar nelerdi? Oltalama kampanyaları genellikle arşiv ekleri veya HTML smuggling tekniğini kullanan XHTML dosyaları aracılığıyla kötü amaçlı HTA indiricileri dağıtıyordu. Bu indiriciler, PteroSand gibi ek kötü amaçlı yazılımları sisteme sızdırmaktan sorumluydu.

Bazı saldırılar, WinRAR’da tespit edilen ve artık yamalanmış olan CVE-2025-8088 güvenlik açığını da kötüye kullandı. Bu zafiyetten faydalanarak, kötü amaçlı HTA indiricisi kurbanın Windows Başlangıç klasörüne yerleştiriliyordu. Böylece, indirici bir sonraki oturum açılışında otomatik olarak çalışarak ele geçirme zincirine kalıcılık kazandırıyordu. Bu tür taktikler, saldırganların sistemde uzun süre varlığını sürdürme isteğini açıkça gösteriyor.

Gamaredon’un saldırıları, PteroLNK ve PteroPaste gibi araçları kullanarak yanal hareketi kolaylaştırmasıyla biliniyor. Bu araçlar, USB sürücüleri ve ağ sürücülerini kötü amaçlı LNK dosyalarıyla enfekte ederek çalışır. Şüphelenmeyen bir kullanıcı tarafından açıldığında, bu dosyalar indirici kötü amaçlı yazılımların sisteme sızmasını tetikler. Grubu eski bir silahı olan PteroSetup da 2025 saldırılarında yeniden yüzeye çıktı. Ocak 2021’de tespit edilen bu VBScript tabanlı araç, USB ve eşlenmiş ağ sürücülerini meşru yükleyici dosyaları için tarayarak, bunları orijinal yükleyiciyi ve kötü amaçlı bir VBScript indiricisini içeren 7z kendi kendine açılan (SFX) arşivleriyle değiştiriyor. Bu, sadece bir dosya ismini değiştirmekten öte, derinlemesine bir kandırmaca değil midir?

“Gamaredon, 2025 boyunca Ukrayna’daki kritik altyapıyı hedef alarak, siber savaşın karanlık yüzünü yeni bir boyuta taşıdı. Bu, sadece bir tehdit değil, aynı zamanda siber savunma stratejilerimizin sürekli evrimini zorunlu kılan bir meydan okumadır.”

Yeni Nesil Kötü Amaçlı Yazılımlar: Ptero Serisi

Grup, 2025’in ilk yarısında yeni araçlar geliştirmeye ve dağıtmaya önemli çaba harcadı. Ocak 2025’te kısa bir operasyonel ara vermesine rağmen, Gamaredon özellikle Rusya ve Kırım’daki önemli tatiller öncesinde birçok güncelleme gerçekleştirdi. Bu dönemlerde herhangi bir operasyonel ara verilmediği de gözlemlendi. Bu ne anlama gelir? Muhtemelen, bu tatil dönemleri, saldırıların yoğunluğunu artırmak için stratejik olarak seçilmiş zamanlardı.

Saldırıların karakteristiği, Gamaredon’un özel kötü amaçlı yazılım yelpazesini genişleten altı yeni PowerShell aracının tanıtılmasıyla belirlendi. Bu araçlar, grubun operasyonel kapasitesini ve tespit edilme zorluğunu artıran önemli yenilikler sunuyor:

• PteroDee ve PteroCache: Bellekte PowerShell yüklerini getirip çalıştırmak için tasarlanmışlardır. Bu, dosyasız saldırılarla daha az iz bırakmayı hedefler.
• PteroDum: Benzer şekilde, bellekte VBScript yüklerini getirip çalıştırmak için kullanılır.
• PteroOdd: Telegra.ph API’sini kullanarak tek bir PowerShell yükünü almak için geliştirilmiştir ve Gamaredon aktörlerinin Turla grubuyla işbirliği yaptığı kampanyalarda kullanıldığı düşünülmektedir. Bu tür bir işbirliği, tehdit aktörlerinin yeteneklerini nasıl birleştirdiğini gösterir, değil mi?
• PteroEffigy: GoFile bulut depolama hizmetini kullanarak komuta ve kontrol (C2) sunucusunu almak için kullanılır. Bulut hizmetlerinin bu şekilde kötüye kullanılması, geleneksel C2 tespit yöntemlerini nasıl zorlaştırıyor?
• PteroPaste: USB sürücülerini silahlandırmak ve şifreli bir kanal üzerinden ek PowerShell yüklerini indirmek için kullanılır. Daha önce yanal hareket için kullanılan bu araç, yeni yeteneklerle donatılmış durumda.

Bu yeni araçların her biri, Gamaredon’un saldırı zincirini daha modüler, esnek ve tespit edilmesi güç hale getirme stratejisinin bir parçası. Grup, bu sayede hem daha geniş bir hedef yelpazesine ulaşabiliyor hem de saldırılarını daha uzun süre devam ettirebiliyor.

Bulut Hizmetleri İstismarı: Görünmez Altyapı

2025 yılında Gamaredon’un üçüncü taraf hizmetlere bağımlılığı önemli ölçüde arttı. Tünel hizmetleri ve sunucusuz çalışan platformlar (serverless worker platforms), grubun gerçek arka uç altyapısını gizlemesinin giderek daha önemli bir parçası haline geldi. Bu, siber güvenlik uzmanlarının C2 altyapısını izlemesini ve engellemesini nasıl karmaşıklaştırıyor?

Grup, geleneksel sunucular yerine popüler bulut hizmetlerini ve gizlilik odaklı tünel çözümlerini kullanarak, saldırılarının izini sürmeyi neredeyse imkansız hale getiriyor. Örneğin, GoFile gibi meşru bulut depolama servislerini C2 sunucusu adresi olarak kullanmak, kötü niyetli trafiği normal ağ trafiği arasına karıştırma potansiyeli taşıyor. Bu, güvenlik duvarlarının ve IDS/IPS sistemlerinin ne kadar etkili kalabileceği sorusunu akla getiriyor.

Sunucusuz platformların kullanılması ise, saldırganların kendi altyapılarını kurma ve bakımını yapma maliyetinden kurtulmalarını sağlıyor. Böylece, hızla değişen ve tespit edilmesi zor C2 kanalları oluşturabiliyorlar. Bu durum, yalnızca teknik bir değişim değil, aynı zamanda siber savaşın yeni bir normali değil midir? Türkiye’deki organizasyonlar da bu tür gelişmiş tehditlere karşı ne kadar hazırlıklı?

Siber saldırganların bulut hizmetlerini kötüye kullanma eğilimi, modern siber savunma stratejilerinin adaptasyonunu zorunlu kılıyor. Artık sadece bilinen kötü amaçlı IP’leri engellemek yeterli değil; meşru bulut sağlayıcıları üzerinden gelen anormallikleri tespit etmek ve içeriği analiz etmek kritik önem taşıyor. Bu yeni dönemde, görünmez altyapılarla mücadele etmek, derinlemesine paket denetimi ve davranış analizi gibi proaktif yaklaşımları gerektiriyor.

Peki Gamaredon Tehdidine Karşı Ne Yapmalısınız?

Gamaredon gibi gelişmiş ve sürekli evrim geçiren tehdit aktörlerine karşı korunmak, çok katmanlı bir savunma stratejisi gerektirir. Öncelikle, yazılım ve işletim sistemlerinizin güncel olduğundan emin olmalısınız. WinRAR’daki CVE-2025-8088 gibi kritik açıklar, saldırganların sistemlere sızması için kapı aralayabiliyor. Düzenli yama yönetimi, bu tür zafiyetlerin kapatılmasında hayati rol oynar.

Kullanıcı farkındalığı eğitimleri, Gamaredon siber saldırıları için önemli bir savunma hattıdır. Oltalama e-postalarını tanıma, şüpheli ekleri açmama ve bilinmeyen USB sürücüleri takmama gibi temel güvenlik prensipleri, ilk temas noktasında saldırıları durdurabilir. Unutmayın, insan faktörü hala siber güvenlik zincirinin en zayıf halkası olabilir.

Kurumlar, gelişmiş tehdit tespit ve yanıt (EDR/XDR) çözümlerini benimsemelidir. Bu sistemler, kötü amaçlı faaliyetleri bellekte veya dosyasız yöntemlerle gerçekleştiğinde bile algılayabilir. Ayrıca, ağ trafiği analizi ve bulut hizmetleri üzerindeki davranış anormalliklerini izlemek, Gamaredon’un gizli C2 kanallarını ifşa etmede kilit rol oynayacaktır. Siber güvenlik politikaları, bulut hizmetlerinin güvenli kullanımı ve veri erişim kontrollerini kapsayacak şekilde güncellenmelidir.

Son olarak, kapsamlı bir olay müdahale planı oluşturmak ve düzenli olarak tatbikatlar yapmak, bir saldırı durumunda hızlı ve etkili bir şekilde yanıt verebilmenizi sağlar. Güvenlik ekiplerinin sürekli eğitim alması ve en yeni tehdit istihbaratını takip etmesi, bu tür sofistike tehditlere karşı bir adım önde olmanın tek yoludur. Unutmayın, siber güvenlik, sürekli bir adaptasyon ve gelişim sürecidir; statik savunmalar, dinamik tehditler karşısında çaresiz kalır.