Recorded Future: APT28 bağlantılı HOOKEDGE arka kapısı Türkiye'deki hükümet ve diplomatik kurumları hedef aldı

Tehdit istihbaratı şirketi Recorded Future'ın araştırma birimi Insikt Group, Rusya bağlantılı APT28 (Fancy Bear, Forest Blizzard) ile ilişkilendirdiği ve BlueDelta adıyla izlediği bir kampanyayı açıkladı. Araştırmaya göre grup, Eylül 2025 sonundan Nisan 2026 başına kadar Romanya, İspanya ve Türkiye'deki hükümet ve diplomatik kuruluşları HOOKEDGE adı verilen yeni bir arka kapıyla hedef aldı.

Saldırı zinciri nasıl işliyor?

Araştırmacılara göre ilk erişim, diplomatik temalı yemlerle hazırlanmış makro içeren Microsoft Word belgeleri üzerinden sağlanıyor. Kurbanın "İçeriği Etkinleştir" seçeneğine tıklamasıyla makrolar kullanıcı dizinine birkaç dosya yazıyor ve kurulum zincirini başlatıyor. Zincir, belirli aralıklarla çalışan bir zamanlanmış görev oluşturduktan sonra kendisini ve ilgili dosyaları siliyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

HOOKEDGE, hafif bir Windows toplu iş (batch) betiği olarak tanımlanıyor. Komutları ve çalınan verileri, ücretsiz bir webhook hizmeti üzerinden taşıyor; bu iletişim için gizli çalıştırılan tarayıcı örneklerinden yararlanıyor. Yüksek değerli hedeflerde daha sık iletişim kuran ikinci aşama bir yükün devreye alındığı belirtiliyor. Araştırmacılar, kampanyanın erken sürümlerinde İspanyol hükümeti materyallerinin taklit edildiğini, yaklaşık bir ay sonra farklı bir sosyal mühendislik yaklaşımına geçildiğini aktarıyor.

Atıf ve Türkiye boyutu

Recorded Future, faaliyeti grubun daha önce diplomatlara karşı kullandığı HEADLACE arka kapısıyla kod ve yöntem benzerliklerine dayanarak orta güven düzeyinde APT28'e atfediyor. Yayımlanan özetlerde Türkiye'deki hedef kurumların adı, kullanılan Türkiye'ye özgü yemler veya saldırıların başarılı olup olmadığına dair ayrıntı bulunmuyor. Türk makamlarından konuya ilişkin bir açıklama da yapılmadı.

Ne yapılmalı?

• İnternetten gelen Office belgelerinde makroların varsayılan olarak engellendiği grup politikaları uygulanmalıdır.
• Uç noktalarda Office uygulamalarından komut satırı veya betik başlatılması ve yeni zamanlanmış görev oluşturulması izlenmelidir.
• Kurumsal ağlarda ücretsiz webhook ve dosya paylaşım servislerine giden trafik görünür kılınmalı, gerekmiyorsa engellenmelidir.
• Diplomatik ve kamu kurumlarında çalışanlar, beklenmedik davet ve resmi yazı görünümlü eklere karşı bilgilendirilmelidir.