Siber Partizanlar, Rus Sağlık Kuruluşuna Neredeyse 2 Yıl Boyunca Sızdı

Rus siber güvenlik firması Solar, Belarus yanlısı hacktivist grup Siber Partizanlar'ın (Cyber Partisans) bir Rus sağlık kuruluşunun ağına sızdığını ve bu erişimi neredeyse iki yıl boyunca sürdürdüğünü açıkladı. Solar, söz konusu faaliyeti Partisan Zmiy olarak da bilinen tehdit kümesine bağladı. Hedef alınan kuruluşun adı kamuoyuyla paylaşılmadı.

İzinsiz Girişin Kapsamı ve Keşfi​

Solar, izinsiz girişi Aralık 2025'te tespit etti; ancak kanıtlar, ilk saldırı izlerinin 2024 yılının başlarına dayandığına işaret ediyor. Ağa ilk erişimin nasıl sağlandığı henüz bilinmiyor. Dikkat çekici olan husus, grubun bu süre zarfında herhangi bir yıkıcı eylem gerçekleştirmemiş olmasıdır. Bu durum, grubun bilinen operasyon tarzından belirgin bir sapma olarak değerlendiriliyor.
Solar'ın açıklamasına göre hedef alınan kuruluş, çok sayıda bağlı tıbbi kurumla çift yönlü güven ilişkileri içinde kapsamlı bir altyapıya sahipti. Solar, altyapının tahrip edilmemesini, bu erişimin daha ileri düzey casusluk ve güven ilişkisi saldırıları açısından taşıdığı değerle ilişkilendiriyor.

VMware Tools Dizinine Gizlenen Zararlı Yazılım​

Saldırganlar, kalıcılık sağlamak ve yüzeysel denetimleri atlatmak amacıyla meşru bir VMware bileşenini taklit eden vmauad adlı bir yükleyici-zamanlayıcı hizmeti kullandı. Bunun için güvenilir ancak izlenmeyen VMware Tools dizin konumundan yararlandılar; zararlı çalıştırılabilir dosyalar bu dizine yerleştirildi ya da meşru VMware DLL dosyaları, arka kapıyı barındıran kötü amaçlı bir sürümle (vmtools.dll) değiştirildi.
Windows hizmetinin temel işlevi, sahte authd.exe ikili dosyasını başlatmaktı. Bu dosya, her Cumartesi gece 22:00-23:00 arasında bir GOST tüneli açmanın yanı sıra hizmet başladıktan sekiz saat sonra Vasilek'in güncellenmiş sürümünü (1.5.8) bir kez çalıştırıyordu.

Vasilek Arka Kapısının Yetenekleri​

Vasilek, yüklendikten sonra virüs bulaşan bilgisayar hakkında bilgi toplama, Windows komutları çalıştırma, işlem başlatma ve sonlandırma, dosya aktarımı, ekran görüntüsü alma, tuş kaydı tutma ve ayrıcalık yükseltme gibi işlevlere sahip. Bunlara ek olarak makinenin uyku moduna geçmesini engelleme, kendini güncelleme veya kaldırma özelliklerine de sahip.
Yeni eklenen move_cursor komutu ise arka kapıya kurbanın ekranında imleci hareket ettirme ve kullanıcı girişini simüle etme imkânı tanıyor. Vasilek, komuta ve kontrol (C2) iletişimi ile veri sızdırma için Telegram'ı kullanıyor. Ancak Telegram'ın Rusya'da İSS'ler tarafından engellenmesi nedeniyle arka kapı ile C2 arasındaki iletişim kararsız hale geldi.

Grubun Operasyonel Güvenlik Anlayışı​

Solar'ın değerlendirmesine göre grup, yeni yetenekler geliştirmek yerine gizlilik ve operasyonel güvenliğe sürekli yatırım yapıyor. Bu yaklaşım; iki bağımsız bileşende ana bilgisayar adı bağlama, gece zamanlamalı yük başlatmaları, sistem proxy mirasını kullanma, meşru kurulmuş ancak kullanılmayan yazılık kılığına girme, aynı yollar üzerinde dosya döndürme, zaman damgası manipülasyonu, giden mesaj bastırma ve operatör sohbetlerinde grup adına anonim mesajlar gönderme gibi tekniklerle hayata geçiriliyor. Solar, arka kapının özellik setinin dört revizyon boyunca büyük ölçüde değişmediğini de vurguluyor.
Siber Partizanlar'ın en az 2020'den bu yana aktif olduğu biliniyor. Grup, daha önce Rusya ve Belarus'taki sanayi kuruluşları ile devlet kurumlarını hedef almıştı. Grubun diğer saldırılarında, meşru FortiClient VPN programını ve saldırganlara ele geçirilen sistem üzerinde kontrol sağlayan açık kaynaklı DNSCat2 aracını aynı anda yükleyen bir yükleyici dağıtmak için kimlik avı yemleri de kullanıldığı biliniyor. Grubun araç setinde ayrıca Pryanik adlı bir silici ve Windows olay günlüklerini temizleyen Evlx yardımcı programı da yer alıyor.

Solar'ın Açıkladığı Diğer Tehditler​

Solar, aynı rapor kapsamında HypeAgent adlı daha önce raporlanmamış bir zararlı yazılım ailesini de kamuoyuyla paylaştı. Bu zararlı yazılım, ödeme ve satın alma siparişi gibi iş temalı belgeleri taklit eden JavaScript eklentileri içeren kimlik avı kampanyaları aracılığıyla dağıtılıyor. HypeAgent; dosya çalma, konsol açma, masaüstü duvar kağıdı değiştirme, web kamerası açma, tuş kaydı tutma, gizli VNC ve RDP oturumları başlatma, fare kontrolü ve kripto para madencisi dağıtma gibi kapsamlı yeteneklere sahip tam özellikli bir truva atı olarak tanımlanıyor.
Zararlı yazılım aynı zamanda Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude ve Cursor gibi platformlarla ilişkili çerezleri çalabiliyor; kurulu Exodus cüzdan uygulamasına müdahale ederek kurbanın şifresini, PIN kodunu, anımsatıcı ifadesini ve özel anahtarını toplayabilen JavaScript enjekte edebiliyor.

Sıkça Sorulan Sorular​

Siber Partizanlar kimdir ve ne zamandan beri aktiftir?​

Siber Partizanlar, en az 2020'den bu yana aktif olduğu bilinen Belarus yanlısı bir hacktivist gruptur. Grup, Rusya ve Belarus'taki sanayi kuruluşları ile devlet kurumlarını hedef alan saldırılarıyla tanınmaktadır.

Vasilek zararlı yazılımı neden VMware Tools dizinine gizlendi?​

Saldırganlar, güvenilir ancak izlenmeyen VMware Tools dizin konumundan yararlanarak kalıcılık sağlamayı ve yüzeysel güvenlik denetimlerini atlatmayı amaçladı. Bu yöntemle meşru VMware bileşenlerini taklit eden dosyalar yerleştirdiler ya da mevcut DLL dosyalarını zararlı sürümlerle değiştirdiler.

Saldırıda hedef alınan kuruluş neden tahrip edilmedi?​

Solar, altyapının tahrip edilmemesini, söz konusu erişimin çok sayıda bağlı tıbbi kuruma yönelik casusluk ve güven ilişkisi saldırıları açısından taşıdığı değerle ilişkilendiriyor. Bu durum, grubun bilinen operasyon tarzından belirgin bir sapma olarak değerlendiriliyor.

Vasilek'in Telegram üzerinden iletişiminde sorun yaşandı mı?​

Evet. Telegram'ın Rusya'da İnternet servis sağlayıcıları tarafından engellenmesi nedeniyle Vasilek arka kapısı ile C2 sunucusu arasındaki iletişim kararsız hale geldi.

Solar'ın aynı dönemde açıkladığı HypeAgent zararlı yazılımı ne gibi yeteneklere sahip?​

HypeAgent, dosya çalma, konsol açma, masaüstü duvar kağıdı değiştirme, web kamerası açma, tuş kaydı tutma, gizli VNC ve RDP oturumları başlatma, fare kontrolü ve kripto para madencisi dağıtma özelliklerine sahip tam özellikli bir truva atıdır. Ayrıca Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude ve Cursor gibi platformlarla ilişkili çerezleri çalabilmekte ve Exodus cüzdan uygulamasına müdahale edebilmektedir.