Anubis fidye yazılımı operatörleri yeni Lindnor backdoor'unu iki Microsoft SQL Server'a yerleştirdi; şifreleme son anda engellendi
Symantec Threat Hunter Team, Ekim ayında ABD'li bir kuruma yönelik Anubis saldırısında daha önce belgelenmemiş Lindnor adlı backdoor'un iki SQL Server'da Chrome ve VMware bileşeni kılığında çalıştığını açıkladı. Saldırganlar güvenlik ürünlerini 13 ayrı araç ve BYOVD sürücüleriyle devre dışı bırakmaya çalıştı.
Broadcom'a bağlı Symantec Threat Hunter Team, Anubis fidye yazılımı operatörlerinin Ekim 2026'da ABD'deki bir kuruma düzenlediği saldırıda daha önce belgelenmemiş bir backdoor kullandığını 5 Kasım'da duyurdu. Lindnor adı verilen araç, kurumdaki iki Microsoft SQL Server üzerinde bulundu; biri Chrome bileşeni, diğeri VMware dosyası kılığına sokulmuş ve servis olarak çalışıyor görünüyordu.
Symantec'e göre şifreleme payload'u engellendi ve dosyaların şifrelendiğine dair bir kanıt yok. Saldırganların ilk erişimi nasıl elde ettiği ise belirlenemedi; araştırmacılar bunu açıkça "tespit edemedik" diye not ediyor.
Lindnor ne yapıyor?
Backdoor, bulaştığı makineden süreç kimliği, işletim sistemi sürümü, dosya yolu, bilgisayar adı, kullanıcı adı, domain ve logon server bilgilerini toplayıp komuta kontrol (C&C) sunucusuna gönderiyor. Bir birincil, bir de yedek C&C adresi bulunuyor; ikisi de 443 numaralı portu kullanıyor, bu da trafiğin sıradan HTTPS içinde kaybolmasını kolaylaştırıyor.
Güvenlik ürünlerine karşı 13 araç
Saldırı yaklaşık bir saat sürdü. Bu sürede art arda en az 13 çalıştırılabilir dosya bırakıldı; amaçları güvenlik yazılımlarını durdurmaktı. İkisi Symantec yazılımı gibi adlandırılmıştı. Saldırganlar ayrıca bilinen beş zafiyetli sürücüyü yükleyerek BYOVD (Bring Your Own Vulnerable Driver) tekniğine başvurdu ve AnyDesk'i, makine Güvenli Mod'da açılsa bile çalışacak şekilde kaydeden bir yardımcı araç kullandı.
Symantec saldırıyı, Anubis'i bir RaaS (fidye yazılımı hizmeti) olarak işleten ve Aralık 2024'te Sphinx'in yeniden markalanmasıyla ortaya çıktığını söylediği Hawkmoth grubuna bağlıyor. Grubun son 12 ayda yaklaşık 96 kurbanı olduğu, bunların yüzde 52'sinin ABD'de bulunduğu belirtiliyor. Temmuz 2026'daki ayrı bir Anubis vakasında veri sızdırmak için Megasync, WinSCP, FileZilla ve S3 Browser gibi araçlar görülmüştü.
Ne yapılmalı?
- SQL Server'ları ayrı izleyin: Bu sunucularda yeni servis oluşturulması, Chrome veya VMware adını taşıyan beklenmedik servisler ve imzası tutmayan ikili dosyalar alarm üretmeli.
- Sürücü yüklemeyi denetleyin: Microsoft'un zafiyetli sürücü engelleme listesinin (Vulnerable Driver Blocklist) etkin olduğunu doğrulayın; yeni çekirdek sürücüsü yüklemelerini EDR'da takip edin.
- Uzaktan erişim araçlarını sınırlayın: Sunucularda onaysız AnyDesk kurulumu ve Güvenli Mod ile ilgili kayıt defteri değişiklikleri incelemeye alınmalı.
- IOC taraması: Symantec'in raporunda 22 SHA-256 dosya özeti ve iki ağ göstergesi (msrcontrib[.]com, cfgsync-relay.eastus.cloudapp.azure[.]com) yayımlandı. Bu göstergeleri SIEM ve EDR'da geriye dönük arayın.
- SQL Server'ı internete açmayın: İlk erişim yolu bilinmese de, internete açık veritabanı servisleri ve zayıf parolalı hesaplar bu tür saldırıların klasik giriş noktasıdır; erişimi yalnızca gerekli uygulama sunucularıyla sınırlayın.
