OceanLotus, borsa uygulamasının güncelleme sunucusunu ele geçirerek yatırımcılara arka kapı yükledi

ESET Research, APT32 olarak da bilinen Vietnam bağlantılı OceanLotus grubunun yürüttüğü iki ayrı casusluk operasyonunu ortaya koydu. Bunlardan ilki, Vietnamlı borsa yatırımcılarının kullandığı FireAnt MetaKit platformunu hedef alan bir tedarik zinciri saldırısı.

Güncelleme kanalı nasıl istismar edildi?

The Hacker News'in aktardığına göre saldırganlar uygulamanın güncelleme sunucusunu ele geçirerek meşru güncellemelerin yerine kötü amaçlı bir indirici koydu. ESET, güncelleme sürecinde dijital imza doğrulaması yapılmadığı için uygulamanın zararlı dosyayı meşru bir güncelleme gibi çalıştırdığını belirtiyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Saldırının yaklaşık 2 Ekim 2025'te başladığı ve Mart 2026'ya kadar sürdüğü değerlendiriliyor; ESET, 9 Mart 2026'dan bu yana bu kanaldan yeni bir zararlı güncelleme gözlemlemediğini açıkladı. Kampanya oldukça seçici: yalnızca az sayıda yatırımcı zararlı güncellemeye maruz kaldı ve bunların da küçük bir kısmına son aşamadaki SPECTRALVIPER arka kapısı yüklendi.

İndirici önce sistem hakkında keşif bilgisi topluyor, ardından DLL yan yükleme tekniğiyle meşru bir süreç üzerinden arka kapıyı çalıştırıyor. SPECTRALVIPER, yanal hareket yapabilen ve komuta sunucusundan gelen ek kodları hedef süreçlere enjekte edebilen bir arka kapı olarak tanımlanıyor. Bu zararlı ilk kez 2023'te Elastic Security Labs tarafından belgelenmişti.

İkinci kampanya: altyapı şirketi

ESET, grubun ayrıca Vietnam'daki bir altyapı ve ulaştırma inşaat şirketine Kasım 2024'ten Şubat 2026'ya kadar gizlice erişimini sürdürdüğünü tespit etti. İlk erişimin internete açık bir Microsoft SQL sunucusundaki uzaktan kod çalıştırma açıkları üzerinden sağlandığından şüpheleniliyor. Aynı ağda üç farklı SPECTRALVIPER varyantı bulundu.

ESET, mevcut bulguların grubun operasyonel düzeninde bir değişime ve ülke içi casusluğa daha fazla ağırlık verilmesine işaret ettiğini değerlendiriyor.

Ne yapılmalı?

• Kurum içinde kullanılan yazılımların güncellemeleri imza doğrulaması yapıp yapmadığını sorgulayın; yapmayan ürünleri risk listesine alın.
• Meşru süreçlerin beklenmedik DLL'ler yüklemesini ve OneDrive gibi süreçlere enjeksiyonu izleyin.
• İnternete açık veritabanı sunucularını güncel tutun ve doğrudan erişime kapatın.
• ESET'in yayımladığı komuta sunucusu alan adlarını engelleme listelerine ekleyin.