Nöbetçi Eczaneler
Kaspersky’nin Küresel Araştırma ve Analiz Ekibi (GReAT), PassiveNeuron adlı siber casusluk kampanyasını ortaya çıkardı. Operasyonun Aralık 2024’ten başladığı, Ağustos 2025’e kadar devam ettiği ve yaklaşık altı aylık bir duraklamanın ardından yeniden etkinleştiği bildirildi. Hedefler arasında kamu kurumları, finansal kuruluşlar ve endüstriyel organizasyonlar yer aldı; bölgesel odak Asya, Afrika ve Latin Amerika olarak belirtildi.
Analizde kampanyada üç ana aracın kullanıldığı tespit edildi: modüler arka kapı Neursite, .NET tabanlı implant NeuralExecutor ve popüler sızma testi aracı Cobalt Strike. Neursite’in sistem bilgisi toplama, süreç yönetimi ve ele geçirilen makineler üzerinden ağ trafiğini yönlendirerek yatay hareket kabiliyeti sağladığı; hem dış C2 sunucularıyla hem de ele geçirilmiş dahili sistemlerle iletişim kurduğu bildirildi. NeuralExecutor’ın ise ek zararlı yükleri dağıtmak için tasarlandığı, birden fazla iletişim yöntemi destekleyip C2’den aldığı .NET bileşenlerini belleğe yükleyerek çalıştırabildiği aktarıldı.
Sahte bayrak izleri ve aktör profili
GReAT analizinde bazı örneklerde işlev adlarının kasıtlı olarak Kiril karakterleriyle değiştirildiği görüldü; araştırmacılar bunun yanıltma amaçlı “sahte bayrak” izleri olabileceğini değerlendiriyor. Teknik ve prosedürel göstergeler (TTP) ışığında kampanyanın Çince konuşan bir tehdit aktörüyle düşük güven düzeyinde bir ilişkiye işaret edebileceği not edildi, fakat bu değerlendirme kesin bir atıf yerine olasılık olarak sunuldu.
Zamanlama, yeniden etkinleşme ve sofistikasyon
Kaspersky araştırmacıları PassiveNeuron aktivitelerini 2024 başlarında da tespit etmiş; kampanyanın yüksek düzeyde sofistikasyona sahip olduğu vurgulandı. Altı aylık duraklamanın ardından yeniden aktifleşmesi, operasyonel esneklik ve uzun süreli hedefli faaliyet göstergesi olarak değerlendirildi.
Uzman uyarısı ve öneriler
Kaspersky GReAT güvenlik araştırmacısı Georgy Kucherin, internete açık sunucuların APT grupları için cazip hedefler olduğunu vurguladı; tek bir sistemin ele geçirilmesinin kritik altyapıya erişim sağlayabileceğine dikkat çekti. Kucherin, sunucu uygulamalarının sürekli izlenmesi, saldırı yüzeyinin azaltılması ve mümkünse internetten erişimlerin sınırlandırılmasını önerdi.
