Çin bağlantılı gelişmiş sürekli tehdit (APT) aktörü Salt Typhoon, Temmuz 2025’in ilk haftasında Avrupa’daki bir telekomünikasyon sağlayıcısının ağını hedef aldı. Darktrace’in raporuna göre, saldırganlar ilk erişimi Citrix NetScaler Gateway cihazlarındaki kritik bir güvenlik açığını kullanarak elde etti. Bu zafiyet, Citrix Virtual Delivery Agent (VDA) sunucularına geçiş için bir sıçrama noktası olarak kullanıldı ve saldırganlar, gerçek kaynaklarını gizlemek amacıyla SoftEther VPN üzerinden bağlantı kurdu.
Snappybee Zararlısı ve DLL Yan Yükleme Tekniği
Saldırıda kullanılan zararlı yazılım ailesinden biri olan Snappybee (diğer adıyla Deed RAT), Salt Typhoon’un geçmişte kullandığı ShadowPad (PoisonPlug) zararlısının muhtemel halefi olarak görülüyor. Snappybee, DLL yan yükleme (DLL side-loading) yöntemiyle, Norton Antivirus, Bkav Antivirus ve IObit Malware Fighter gibi antivirüslerin meşru yürütülebilir dosyalarıyla birlikte hedef sistemlere sızıyor. Bu teknik, zararlının antivirüs yazılımlarının güvenilir yürütülebilir dosyalarını kötüye kullanarak tespit edilmesini zorlaştırıyor.
Teknik Ayrıntılar ve İleri Düzey Taktikler
Zararlı, HTTP protokolü üzerinden ve tanımlanamayan TCP tabanlı özel bir protokol aracılığıyla dış sunucu aar.gandhibludtric[.]com ile iletişim kuruyor. Salt Typhoon, saldırılarında genellikle konteyner ortamlarında rastgele açılan SSH portları üzerinden gizli erişim sağlama, MCP istemcisi ve Pydantic AI gibi modern otomasyon araçlarıyla saldırı altyapısını yönetme yeteneklerini de kullanıyor. Ayrıca, AsyncRAT benzeri uzaktan erişim araçlarıyla kalıcılık sağlama ve veri sızdırma operasyonlarını sürdürüyorlar. Bu gelişmiş yöntemler, saldırganların hem gizliliği hem de kalıcılığı artırırken, geleneksel güvenlik çözümlerinin tespitini zorlaştırıyor.
Darktrace, saldırının erken aşamada tespit edilip engellendiğini belirtti. Ancak Salt Typhoon’un, meşru araçları kötüye kullanarak savunma mekanizmalarını aşma ve altyapıyı yeniden amaçlama becerisi, siber güvenlik profesyonelleri için sürekli bir tehdit oluşturmaya devam ediyor.