Check Point: Üç ayrı casusluk kampanyası tek bir "tedarikçiye" bağlandı, Sparrow ekosistemi ve CopperDragon
Check Point Research, son bir yılda Latin Amerika, Asya ve Avrupa'da telekom, kamu, askeri ve araştırma kurumlarını hedef alan SilentDelivery, OceanGate ve DarkWire kümelerini ortak bir zararlı yazılım ekosistemine, Sparrow'a bağladı. Araçları geliştiren yapıya CopperDragon adı verildi.
Check Point Research, başta birbirinden bağımsız sanılan üç siber casusluk kümesinin ortak altyapı ve kod benzerlikleriyle tek bir zararlı yazılım ekosistemine bağlandığını açıkladı. Şirket bu ekosisteme Sparrow, araçları geliştiren yapıya ise CopperDragon adını verdi. Check Point'e göre CopperDragon, FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 ve UAT-8302 gibi Çin bağlantılı tehdit aktörlerine araç sağlayan bir "dijital levazım birimi" (digital quartermaster) gibi çalışıyor.
Kümeler son bir yılda Latin Amerika, Asya ve Avrupa'da telekom operatörlerini, kamu kurumlarını, askeri yapıları, araştırma kurumlarını ve kritik altyapıyı hedef aldı. FamousSparrow'un Salt Typhoon ile bir ölçüde örtüştüğü daha önce değerlendirilmişti; ancak ilişkinin tam niteliği hâlâ net değil.
Üç küme, üç farklı giriş yolu
- SilentDelivery (2026 başı): Avrupa ve Asya'da çok seçici watering hole saldırıları. Hedeflerin ziyaret ettiği meşru sitelere enjekte edilen JavaScript, ziyaretçiye sahte bir Chrome SSL sertifika uyarısı gösteriyor ve "Certificate Fix" adlı sahte bir araç kurdurmaya çalışıyor. Ele geçirilen siteler Çekya, Almanya, Fransa, Tayvan, Nepal, Hong Kong ve Endonezya'da kamu, denizcilik, BT ve araştırma sektörlerine ait. Aynı backdoor Endonezya'da phishing e-postalarıyla da dağıtıldı.
- OceanGate (2025–2026): Ağırlıklı olarak Asya'daki kurumlar. İlk erişim internete açık Linux sunucular üzerinden; ardından yeni Linux backdoor'ları, toplanan kimlik bilgileri ve RDP üzerinden parola denemeleriyle Windows ortamına geçiş.
- DarkWire (2025 ortası): Latin Amerika'da telekom operatörleri ve kamu kurumları.
Dikkat çeken teknik
Check Point'e göre aktör SparrowDoor'a çekirdek seviyesinde yetenekler ekledi. Meşru bir servisin kullandığı 443 gibi dışa açık bir port üzerinden gelen, belirli bir kaynaktan gelen bağlantılar paket seviyesinde backdoor'un iç portuna yönlendiriliyor; yanıtlar da meşru servisten geliyormuş gibi görünüyor. Bu, trafiğin ağ izlemede fark edilmesini zorlaştırıyor.
Ne yapılmalı?
- Kullanıcıları, bir web sitesinin "erişim için sertifika düzeltme aracı indirin" demesinin meşru bir durum olmadığı konusunda bilgilendirin; tarayıcı uyarısı kılığındaki indirme isteklerini phishing eğitimine ekleyin.
- İnternete açık Linux sunucularda beklenmeyen süreçleri, yeni kalıcılık kayıtlarını ve olağandışı SSH tünellerini düzenli kontrol edin.
- Windows'ta "güncelleme yardımcısı" gibi görünen ama imzası ya da yolu tutarsız Run anahtarı kayıtlarını EDR ile avlayın.
- Yönetici hesaplarına RDP üzerinden yapılan ardışık başarısız oturum açma denemelerini alarm kuralına bağlayın.
- Check Point raporundaki IOC'leri SIEM ve EDR'nize aktarın; telekom ve kamu sektöründeyseniz önceliklendirin.
