APT28, NATO Üyesi Ülkedeki Deniz Kuvvetleri Tersanesini Hackledi: Yeni Reflektif Loader Tespit Edildi

Rusya devletiyle bağlantılı olduğu değerlendirilen APT28 tehdit grubu — BlueDelta, Fancy Bear ve Forest Blizzard isimleriyle de takip edilen yapı — iki NATO üyesi ülkede kritik savunma ve güvenlik kuruluşlarını hedef aldı. Broadcom bünyesindeki Symantec Threat Hunter Team, faaliyeti Swallowtail kod adıyla izlediğini açıklarken saldırılarda HOOKEDGE adlı bir arka kapı ile daha önce kamuoyuyla paylaşılmamış yeni bir reflektif loader kullanıldığını ortaya koydu.
Hedefler arasında bir kolluk birimi, bir deniz kuvvetleri tersanesi ve askeri uçak motorları üreten bir imalatçı yer aldı. Symantec, söz konusu kuruluşların yabancı bir istihbarat servisi için değer taşıyabilecek bilgilere sahip olduğunu vurguladı.

Tersanede Bir Haftayı Aşan Operasyon​

Symantec'in The Hacker News ile paylaştığı rapora göre, deniz kuvvetleri tersanesine yönelik saldırıda operatörler ele geçirilmiş bir sisteme bir hafta boyunca defalarca döndü. Bu durum, saldırının otomatik araçlarla değil, doğrudan klavye başında gerçekleştirilen bir operasyon olduğuna işaret ediyor.
Saldırganlar bu süreçte iki farklı teknikle kimlik bilgilerini çaldı. İlk yöntemde hedef sisteme bir SSH özel anahtarı bırakılarak kendi sunucularına geri bağlantı açıldı ve kurumun iç ağına kalıcı, arka planda çalışan bir SSH tüneli oluşturuldu. İkinci yöntemde ise sistemin kendi geri döngü adresinde bir dinleyici başlatan kısa ve bağımsız bir PowerShell betiği çalıştırıldı; bu betik makinenin kendisine kimlik doğrulaması yapmasını zorlayarak NTLM el sıkışmasını yakaladı.
Saldırganlar ayrıca SSH üzerinden bir curl komutuyla ld.exe adlı yeni bir reflektif loader bıraktı. Bu loader, şifreli bir yükü çalışma zamanında sağlanan bir kriptografik anahtarla bellekte çözüp çalıştırmak üzere tasarlanmış. Yükün tam içeriği henüz bilinmiyor.

HOOKEDGE Nedir, Nasıl Çalışır?​

HOOKEDGE, makro içeren Microsoft Word belgeleri aracılığıyla iletilen, yalnızca Windows üzerinde çalışan bir toplu iş betiğidir. Saldırganların göndereceği komutları kabul edip sonuçları geri iletebilen bu arka kapı, iletişimini tamamen bir webhook[.]site URL'si üzerinden yürütüyor; komutları almak ve çıktıyı göndermek için gizli, ekran dışı bir Microsoft Edge tarayıcı örneğinden yararlanıyor.
HOOKEDGE'in kamuoyunda ilk kez belgelenmesi, Recorded Future Insikt Group'un Ağustos 2026 sonlarında yayımladığı bir raporla gerçekleşti. Bu rapor, Eylül 2025 ile Nisan 2026 başı arasında Romanya, İspanya ve Türkiye'deki hükümet ve diplomatik kuruluşları hedef alan bir siber casusluk kampanyasıyla ilişkilendirilmişti. Araç, APT28'in Nisan 2023'ten bu yana diplomatlara yönelik saldırılarda kullandığı modüler Windows implantı HEADLACE ile önemli kod ve teknik örtüşmeler taşıyor.
Temmuz 2026 sonlarında gerçekleştirilen tersane saldırısında ise HOOKEDGE'in yeni varyantları kullanıldı. Bu varyantlar, webhook[.]site adresini bırakarak hem görev iletimi hem de sızdırma için 185.82.218[.]119:443 adresine yöneldi.

LegionRelay C2 Sunucuları ve Ukrayna'ya Yönelik Saldırılar​

Bu gelişmelerin yanı sıra Team Cymru, Ukrayna'yı hedef alan saldırılarda kullanılan beş yeni LegionRelay komuta ve kontrol (C2) sunucusu tespit ettiğini açıkladı. Söz konusu IP adresleri şunlar: 91.149.221[.]118:8000, 91.149.221[.]123:8000, 166.88.239[.]54:8000, 194.87.108[.]12:8000 ve 194.87.108[.]217:8000.
PowerShell tabanlı bir uzaktan erişim aracı olan LegionRelay; dosya listeleme, dosya sızdırma, ekran görüntüsü alma, tarayıcı verisi çalma, Telegram ve WhatsApp verisi sızdırma ile RDP erişimi kurma gibi işlevleri destekliyor. Araç, en az Ağustos 2025'ten bu yana Ukrayna ve Ukrayna ile ilgili kuruluşlara yönelik kalıcı saldırılar gerçekleştirdiği değerlendirilen GREYVIBE adlı tehdit aktörüne atfediliyor.

Ukrayna'da Akıllı Telefonlar ve Mobil Kötü Amaçlı Yazılımlar​

Ukrayna Bilgisayar Acil Müdahale Ekibi (CERT-UA) geçen ay yayımladığı raporda, Rus hackerların Ukraynalı askeri personel ve devlet yetkililerine ait akıllı telefonları giderek daha fazla hedef aldığını ortaya koydu. Ajans, askeri personel, devlet çalışanları ve siviller arasında akıllı telefonların iletişimdeki artan rolünün bu cihazları istihbarat toplama ve finansal amaçlı saldırılar için daha cazip hale getirdiğini belirtti.
iOS platformunu hedef alan DarkSword exploit kiti, ele geçirilmiş meşru Ukrayna haber siteleri ve devlet portalları üzerinden sulama yeri (watering-hole) saldırılarıyla dağıtılıyor. Google Tehdit İstihbaratı Grubu (GTIG) Mart 2026'da yayımladığı raporda, Rus casusluk aktörü UNC6353'ü yaz 2025'ten bu yana Ukraynalı kullanıcıları hedef alan Coruna ve DarkSword kitlerinin kullanımıyla ilişkilendirmişti.
Android ekosistemi de tehditten nasibini alıyor. UAC-0244 kümesi, cihaz sistem bilgisi, konum, SIM kart ayrıntıları, kişiler, arama kayıtları ve galeri görüntüleri toplayan CAMELSPY'ı dağıtırken; UAC-0263 kümesi, saldırgana virüslü cihaz üzerinde tam kontrol ve veri sızdırma imkânı tanıyan BTMOB RAT'ı yayıyor.

APT28'in Ukrayna'da Kullandığı Güvenlik Açıkları​

CERT-UA ayrıca APT28'in Microsoft Office'teki CVE-2026-21509 güvenlik özelliği atlama açığı ile SOGo web posta istemcisindeki sıfır tıklama güvenlik açığı CVE-2026-8496'yı istismar ettiğini kaydetti. Bu açıklar sırasıyla COVENANT kötü amaçlı yazılımını iletmek ve kurbanların posta kutusu kimlik bilgileri ile verilerini ele geçirmek amacıyla kullanıldı. Ajans, grubun Roundcube web posta istemcisindeki XSS açıklarını ve makro içeren Excel belgelerini de COVENANT dağıtımında kullanmaya devam ettiğini ekledi.
CERT-UA, 2026'nın ilk yarısında kayıt altına aldığı 3.137 siber olayın, 2025'in ikinci yarısına kıyasla yüzde 8 daha fazla olduğunu açıkladı.

Sıkça Sorulan Sorular​

APT28 kimdir ve hangi isimlerle de tanınır?​

APT28, Rusya devletiyle bağlantılı olduğu değerlendirilen bir siber tehdit grubudur. Güvenlik araştırmacıları tarafından BlueDelta, Fancy Bear ve Forest Blizzard isimleriyle de takip edilmektedir.

HOOKEDGE arka kapısı nasıl çalışır?​

HOOKEDGE, makro içeren Microsoft Word belgeleri aracılığıyla iletilen bir Windows toplu iş betiğidir. Saldırganların komutlarını kabul edip sonuçları geri iletir; iletişimini gizli bir Microsoft Edge tarayıcı örneği üzerinden yürütür. Tersane saldırısında kullanılan yeni varyantlar, webhook[.]site yerine doğrudan bir IP adresine yönelmiştir.

Tersane saldırısında hangi kimlik bilgisi hırsızlığı teknikleri kullanıldı?​

Saldırganlar iki farklı teknik kullandı: birincisi, hedef sisteme SSH özel anahtarı bırakarak kendi sunucularına kalıcı bir SSH tüneli oluşturmak; ikincisi ise sistemin kendi geri döngü adresinde bir dinleyici başlatan PowerShell betiğiyle NTLM el sıkışmasını yakalamak.

LegionRelay nedir ve kimlerle ilişkilendirilmektedir?​

LegionRelay, dosya listeleme, dosya sızdırma, ekran görüntüsü alma, tarayıcı verisi çalma, Telegram ve WhatsApp verisi sızdırma ile RDP erişimi kurma işlevlerini destekleyen PowerShell tabanlı bir uzaktan erişim aracıdır. En az Ağustos 2025'ten bu yana Ukrayna'yı hedef alan GREYVIBE adlı tehdit aktörüne atfedilmektedir.

CERT-UA'nın 2026'nın ilk yarısına ilişkin siber olay verileri ne gösteriyor?​

CERT-UA, 2026'nın ilk yarısında toplam 3.137 siber olay kayıt altına aldığını açıkladı. Bu rakam, 2025'in ikinci yarısına kıyasla yaklaşık yüzde 8 daha yüksek.