Google Tehdit İstihbarat Grubu (GTIG), devlet destekli Rus hacker grubu COLDRIVER tarafından geliştirilen üç yeni zararlı yazılım ailesini tespit etti. Mayıs 2025’ten itibaren hız kazanan bu gelişmeler, grubun operasyon temposunun arttığını gösteriyor. Yeni zararlı yazılımlar NOROBOT, YESROBOT ve MAYBEROBOT kod adlarıyla anılıyor ve birbirine bağlı bir teslimat zinciri oluşturuyor.

Yeni Zararlı Yazılım Ailelerinin Teknik Özellikleri

NOROBOT, COLDCOPY adlı HTML tabanlı ClickFix tuzağı ile başlayan enfeksiyon zincirinin ilk aşamasını oluşturuyor. Bu zararlı, rundll32.exe aracılığıyla çalışan bir DLL dosyası bırakıyor ve sonraki aşamada Python 3.8 kurulumu gibi karmaşık adımlarla sistemde kalıcılık sağlıyor. YESROBOT, Python tabanlı minimal bir arka kapı olarak HTTPS üzerinden sabit kodlu komut ve kontrol (C2) sunucusundan komut alıyor; dosya indirme, çalıştırma ve ilgi çekici belgeleri toplama yetenekleri bulunuyor. Ancak sadece iki örneği tespit edildi. MAYBEROBOT ise PowerShell tabanlı, esnek ve genişletilebilir bir implant olarak öne çıkıyor; belirli URL’lerden yük indirip çalıştırabiliyor, cmd.exe ve PowerShell komutları çalıştırma kapasitesiyle gelişmiş işlevsellik sunuyor.

Operasyonel Taktikler ve Gelişmeler

COLDRIVER grubunun yeni saldırı yöntemleri, önceki yüksek profilli hedeflere yönelik kimlik bilgisi hırsızlığı taktiklerinden farklı olarak, Windows Çalıştır iletişim kutusu üzerinden sahte CAPTCHA doğrulama istemiyle kullanıcıları zararlı PowerShell komutları çalıştırmaya ikna etmeye odaklanıyor. Ayrıca, MCP istemcisi benzeri modüler yapılar ve Pydantic AI destekli analiz araçları kullanılarak zararlıların tespiti zorlaştırılıyor. Grup, konteyner ortamlarında rastgele SSH portları açarak ağ trafiğini gizleme ve AsyncRAT benzeri uzaktan erişim teknikleriyle kalıcılık sağlama stratejileri uyguluyor.

Hollanda’daki Gelişmeler ve Hukuki Süreç

Bu teknik keşifler, Hollanda Kamu Savcılığı’nın (Openbaar Ministerie – OM) üç 17 yaşındaki genci yabancı bir hükümete hizmet etmekle suçlamasıyla aynı döneme denk geldi. Şüphelilerden birinin Rus hükümetiyle bağlantılı hacker grubu ile temas halinde olduğu ve Wi-Fi ağlarını haritalama gibi dijital casusluk faaliyetlerine destek verdiği belirtildi. İki şüpheli gözaltına alınırken, üçüncüsü ev hapsinde tutuluyor.

Google, NOROBOT ve MAYBEROBOT’un önceden oltalama saldırılarıyla ele geçirilen yüksek değerli hedeflere yönelik istihbarat toplama amacıyla kullanıldığını vurguladı. Bu gelişmeler, siber güvenlik alanında tehdit aktörlerinin saldırı zincirlerini sürekli evrimleştirdiğini ve tespit sistemlerinden kaçmak için sofistike teknikler geliştirdiğini gösteriyor.