Son analizlere göre, OceanLotus adlı gelişmiş tehdit grubu, Vietnam’daki yerel altyapı ve ulaştırma inşaat sektöründe faaliyet gösteren bir şirkete ve borsa yatırımcılarına yönelik iki ayrı siber casusluk kampanyası yürüttü. Bu operasyonlar, 2024 ortalarından 2026 Şubat ayına kadar uzanan uzun süreli bir gözetim faaliyeti ile 2025 Ekim-Mart 2026 döneminde gerçekleşen FireAnt Metakit tedarik zinciri saldırısını içeriyor.
Saldırı Zinciri ve Teknik Detaylar
İlk kampanya, kamuya açık Microsoft SQL sunucularındaki uzaktan kod yürütme (RCE) zafiyetlerinin istismarıyla hedef sistemlere sızmayı içeriyor. Saldırganlar, DLL side-loading yöntemiyle SPECTRALVIPER arka kapısını yükleyerek hedef sistemlerde kalıcı erişim sağladı. Bu zararlı yazılım, hedef makinelerden toplanan bilgileri şifreli biçimde komuta kontrol (C2) sunucularına iletmekte ve yatay hareket kabiliyetiyle ağ içinde yayılabilmektedir.
İkinci kampanya ise FireAnt Metakit adlı Vietnam’da popüler bir yazılım platformunun güncelleme mekanizmasını kullanarak seçilmiş borsa yatırımcılarına SPECTRALVIPER dağıtımını içeriyor. Güncelleme dosyasının bütünlük doğrulaması yapılmadığından, zararlı yazılım meşru bir güncelleme gibi çalıştırıldı. Bu saldırı, tedarik zinciri saldırılarının klasik bir örneği olarak, yazılım güncellemeleri üzerinden hedeflere ulaşmayı hedefliyor.
Hangi Sistemler Risk Altında?
Hedefler, Vietnam’daki kritik altyapı ve ulaştırma inşaat firmaları ile finansal yatırımcılar olarak belirlenmiş durumda. Özellikle kamuya açık Microsoft SQL sunucuları ve Python Package Index (PyPI) gibi yazılım dağıtım platformları üzerinden yayılan zararlılar, hem Windows hem de Linux ortamlarını etkiliyor. Bu durum, e-posta güvenliği ve ağ segmentasyonu gibi önlemlerin önemini artırıyor.
Siber Güvenlik Ekipleri İçin Öneriler
- Microsoft SQL sunucularında bilinen RCE zafiyetleri için (örneğin CVE-2024-XXXX) acil yamaların uygulanması.
- Yazılım güncellemelerinde bütünlük doğrulama ve imza kontrol mekanizmalarının zorunlu hale getirilmesi.
- EDR çözümleri ile DLL side-loading ve benzeri tekniklerin tespiti için gelişmiş izleme yapılması.
- Komuta kontrol trafiğinin tespiti için SIEM sistemlerinde HTTP POST isteklerinin anomali analizlerinin yapılması.
- Python paket depolarında şüpheli paketlerin düzenli taranması ve güvenlik politikalarının güncellenmesi.
- Çok faktörlü kimlik doğrulama (MFA) ve Zero Trust mimarisi prensiplerinin benimsenmesi.
- Ağ segmentasyonu ile kritik sistemlerin izole edilmesi ve lateral hareketin engellenmesi.
- Olay müdahale süreçlerinin güncellenerek, tedarik zinciri saldırılarına karşı hızlı aksiyon alınması.
Teknik Özet
- Kullanılan zararlılar: SPECTRALVIPER, SOUNDBITE (Denis), PHOREAL (Rizzo), WINDSHIELD (Remy)
- Hedef sektörler: Altyapı, ulaştırma inşaatı, finansal yatırımcılar (Vietnam)
- Kullanılan zafiyetler: Microsoft SQL RCE (muhtemel CVE-2024-XXXX), yazılım güncelleme mekanizması zafiyetleri
- Saldırı zinciri: RCE ile sızma → DLL side-loading ile arka kapı kurulumu → C2 iletişimi → lateral hareket
- Önerilen savunma: Güncelleme yamaları, imza doğrulama, EDR ve SIEM entegrasyonu, MFA, ağ segmentasyonu