İleri düzey bir tehdit aktörü, Rusya’daki devlet kurumları dahil olmak üzere çeşitli kuruluşları hedef almak amacıyla ViPNet özel ağ ürünleri paketinin güncelleme mekanizmasını suistimal ediyor.
HelloNet olarak adlandırılan bu kampanya en az Mayıs ayından beri aktif durumda ve ek kötü amaçlı yazılımlar için bir vekil sunucu (proxy) ile yükleyici (loader) görevi gören zararlı bir içerik yayıyor.
Kaspersky araştırmacılarına göre HelloNet; hükümet, enerji, ulaşım, eğitim ve lojistik sektörlerindeki kuruluşları etkiledi.
ViPNet güncelleme suistimali
ViPNet; VPN, uç nokta ve ağ erişim koruması, güvenlik duvarı (firewall), sertifika yönetimi, merkezi yönetim ile güvenli mesajlaşma ve dosya aktarımı sağlayan, InfoTeCS tarafından geliştirilen Rus menşeli bir bilgi güvenliği ürün ailesidir.
Araç, özellikle devlet kurumları ve diğer denetlenen ortamlarda kullanım için yetkililerce onaylanmış (sertifikalandırılmış) olması nedeniyle Rusya’da yaygın olarak kullanılmaktadır.
Rusya’daki geniş pazar payı ve özellikle yüksek değerli kuruluşlar arasındaki hakimiyeti nedeniyle, sistem sık sık siber saldırganların hedefi haline gelmektedir. Bu tür stratejiler, kritik altyapıları hedef alan tedarik zinciri saldırılarının klasik bir örneğidir; tıpkı 2020 yılında dünya çapında büyük yankı uyandıran SolarWinds vakasında olduğu gibi, güvenilen bir yazılımın güncelleme mekanizması üzerinden sisteme sızmak, geniş kapsamlı ve kalıcı bir erişim sağlamak için oldukça etkili bir yöntemdir. Nisan 2025’te Kaspersky, saldırganların bir ViPNet güncellemesini taklit ettiğini bildirdi.
Son kampanyada saldırganlar, sistem başlangıcında meşru itcsrvup64.exe dosyası aracılığıyla yan yükleme (sideload) yapılabilmesi için yerel ViPNet Güncelleme Sistemi dizinine “HelloInjector” olarak adlandırılan zararlı bir dosya (wtsapi32.dll) yerleştirdiler.
Bu DLL, svchost.exe sürecine sızarak Windows üzerinde sonraki aşama yüklemelerine yüksek ayrıcalıklar kazandıran ve yeniden başlatmalarda kalıcılık sağlayan ilk aşama bir yükleyicidir.
Kaspersky, saldırganların bu dosya değişikliğini gerçekleştirmek için başlangıç erişimini tam olarak nasıl elde ettiklerini açıklamadı ve ViPNet’in güncelleme altyapısının kendisinin ihlal edildiğini iddia etmiyor.
Zararlı yazılım araç seti
HelloInjector, Kaspersky tarafından HelloProxy olarak adlandırılan gömülü yükü bellek üzerinde çalıştırarak ek modülleri almak için komuta ve kontrol (C2) sunucusuyla iletişim kuruyor.
Bu modüllerden ilki olan HelloExecutor, ana makine üzerinde komutları yürütebilen ve ağ keşfi yapabilen bir arka kapı (backdoor) işlevi görüyor. İkinci modül ise zararlı faaliyetleri gizlemek amacıyla ViPNet günlük verilerini temizleyen HelloCleaner adlı araçtır.
Rust tabanlı başka bir yerleştirme olan HelloBackdoor, dosya yükleme ve indirme işlemlerinin yanı sıra komut yürütme desteği sunuyor. Kaspersky, bu kampanyayı tanımlanmamış Çince konuşan bir gelişmiş kalıcı tehdit (APT) grubuna atfetmektedir.
Ancak araştırmacılar kanıtların zayıf olduğunu vurguluyor; bu iddia temel olarak Çinli web sitesi sina.com’a atıfta bulunan kullanılmayan bir dizgiye ve Çin Bilim ve Teknoloji Üniversitesi’nde barındırılan bir zararlı yazılım indirme aynasına dayanıyor.
Bu tür karmaşık izleme ve yanıltma taktikleri aslında siber istihbaratın kadim bir parçasıdır. Geçmişte devlet destekli aktörlerin operasyonlarının kaynağını gizlemek için kullandıkları “yanıltma” (false flag) yöntemleri, bugün dijital dünyada çok daha sofistike araçlarla karşımıza çıkıyor; tıpkı soğ1940’lı yıllardan itibaren istihbarat servislerinin kimliklerini maskelemek için kullandığı karmaşık operasyonel örtüleme teknikleri gibi.
Bu bağlamda, saldırının kaynağına dair güven düzeyi düşük olarak belirlenmiş ve bir yanıltma operasyonu olasılığı tamamen dışlanmamıştır. Siber güvenlik firması, özellikle 5003, 5060 (HelloProxy) ve 443 (HelloBackdoor) portlarından geçen trafiği dahil olmak üzere ViPNet yazılımı kullanan sistemlerin yakından izlenmesini önermektedir.
Güvenlik ekipleri başarılı saldırıların %54’ünü kaydediyor ve sadece %14’ü hakkında uyarı veriyor. Geri kalanlar ise çevrenizde fark edilmeden ilerliyor. Picus beyaz bülteni, ihlal ve saldırı simülasyonlarının SIEM ve EDR kurallarınızı nasıl test ettiğini ve tehditlerin tespitten kaçmasını nasıl önlediğini gösteriyor.
ABD hükümeti, WhatsApp ve Signal gibi uçtan uca şifreleme sunan platformlardaki kullanıcıları hedef alan korsanlara karşı 10 milyon dolarlık ödül koyarak dijital güvenlik önlemlerini artırıyor. Bu hamlenin hemen ardından, kurumsal iletişim araçlarının da saldırı altında olduğu rapor edildi; Rus korsanların WebEx ve Zoom uygulamalarına Starland adlı kötü amaçlı yazılımı bulaştırmak için truva atı kullandıkları tespit edildi.
Bu tür siberer alanlardaki çatışmalar, aslında modern dönemin yeni birer ‘vekalet savaşı‘ alanı olarak değerlendiriliyor. Geçmişte soğuk savaş döneminde fiziksel altyapıların ve haberleşme hatlarının kontrolü için verilen mücadeleler, bugün dijital ağlar üzerinde devam ediyor; ancak bu kez cephe, fiber optik kablolar yerine veri paketleri ve şifreleme protokolleri üzerinden şekilleniyor.
Teknolojinin gelişimiyle birlikte yapay zekanın kötü niyetli kullanımı da ciddi bir tehdit haline geldi. Google Gemini CLI arayüzünün birer hack ajanı ve botnet operatörü olarak suistimal edildiği tespit edilirken, Rus menşeli ‘kurşun geçirmez’ (bulletproof) barındırma hizmeti sağlayıcıları ABD tarafından yargı sürecine taşındı. Bu durumun diplomatik boyutunu vurgulayan Avrupa Birliği ve İngiltere, Rus GRU askeri korsanlarına yönelik ilk ortak siber yaptırım paketini hayata geçirdi.
.
Kaynak: Bleepingcomputer