Güney Kore’de devlet kurumları, finans kuruluşları ve güvenlik araştırmacıları tarafından yürütülen ortak inceleme, saldırganların ele geçirdikleri internet siteleri üzerinden AnySign4PC yazılımındaki bir açığı kullanarak ziyaretçilere geri kapı yüklediğini ortaya koydu. Saldırılar, bir sayfayı ziyaret etmenin yeterli olduğu watering-hole tekniğiyle ilerledi; kurbanın indir butonuna basması ya da bir dosyayı özellikle indirmesi gerekmiyordu.
Hedefte, sertifika tabanlı elektronik imza için kullanılan AnySign4PC’nin 1.1.4.4 ile 1.1.4.6 arasındaki sürümleri vardı. Kore İnternet ve Güvenlik Ajansı, sorunun yığın taşmasına yol açan bir uzaktan kod çalıştırma açığı olduğunu ve 1.1.5.0 sürümünün yamalı yayın olduğunu duyurdu. Kurum, zafiyetli kurulumların silinmesini de önerdi. İlgili açık için kamuya açık bir CVE numarası paylaşılmadı; araştırmacılar, ağustos ayı itibarıyla açık veritabanlarında AnySign4PC için yalnızca eski sürümlerdeki farklı bir dizin atlama hatasına ait CVE-2020-7882 kaydını bulabildiklerini belirtiyor.
Tek ziyaretle çalışan saldırı zinciri
Ortak bildirinin arkasında Kore Ulusal İstihbarat Servisi, Ulusal Polis Ajansı, Finansal Güvenlik Enstitüsü ve KISA yer aldı. Analiz, AhnLab, S2W, ENKI Whitehat ve Plainbit ekiplerinin çalışmalarına dayanıyor. Kurumlar, devlet destekli oltalama ve watering-hole saldırılarının bölgede hâlâ düzenli olarak görüldüğünü aktardı; ancak kamuya açık raporlar, 1.1.5.0 yayımlandıktan sonra AnySign4PC’nin sömürülmeye devam edip etmediğini söylemiyor.
Saldırganlar kurbanlara doğrudan e-posta ekleriyle değil, iş başvurusu, işe alım mesajı, yatırım dosyası ve sektör anketi kılığında hazırlanmış spear-phishing ile yaklaştı. Ardından haber, sağlık, eğitim, üretim ve zayıf korunmuş küçük ölçekli siteleri ele geçirip hedef kitlenin sık uğrayacağı sayfalara kötü amaçlı JavaScript yerleştirdiler. ENKI Whitehat, bu zincirde açık durumdaki ürünlerden birinin AnySign4PC olduğunu ve saldırganların bir sıfırıncı gün açığı kullandığını belirledi. ENKI’nin gözlemleri 2025’in ikinci yarısına uzanıyor; KISA ise yama bildirimini Haziran 2026’da yayımladı.
AhnLab’ın Operation Double Barrel başlıklı çalışmasında, saldırı zincirinin dört PNG görseli üzerinden anahtar değiş tokuşu yaptığı, kurulu yazılım sürümünü kontrol ettiği, sürüme özel exploit kodu teslim ettiği ve çalıştırmanın başarı durumunu geri bildirdiği anlatıldı. Zararlı sayfa, yereldeki güvenlik programıyla WebSocket üzerinden iletişim kurdu ve bir buffer overflow tetikleyerek shellcode çalıştırdı. Yük ardından meşru Microsoft süreçlerinin içine enjekte edildi. Vakaya göre saldırganlar bazı sistemlerde Struggle adıyla izlenen, AhnLab’in SIGNBT 3.0 ile eşlediği zararlıyı; bazı sistemlerde ise COPPERHEDGE arka kapısının Brandoor adıyla anılan varyantını kurdu. Bu yazılımlar uzaktan komut çalıştırma, dosya hırsızlığı, iç ağ keşfi, süreç enjeksiyonu ve ek yük indirme yeteneğine sahipti.
Plainbit, kendi adli inceleme raporunda watering-hole vakalarından birini bağımsız biçimde yeniden kurdu. Saldırganlar önce hedefin internete açık sistemlerini haritaladı, ardından web sitesini ele geçirip bir web shell yerleştirdi ve bir haber makalesi sayfasına JavaScript enjekte etti. Hedef kullanıcı sayfayı açtığında güvenlik yazılımı bir hata üretti ve indirme istemi göstermeden kötü amaçlı bir DLL oluşturdu. Arka kapı daha sonra sonraki aşamaları bellekte çözdü, kodu svchost.exe içine enjekte etti ve komuta-kontrol bilgilerinin bir kısmını Windows kayıt defterinden okudu. Saldırganlar devamında ayrıcalık yükseltme açıkları, Mimikatz ve benzeri kimlik bilgisi araçları, Remote Desktop Protocol bağlantıları ve NLBrute ile ağ içinde ilerledi.
Güney Kore raporlarında aynı izler, farklı operasyonlar
S2W’nin üç zararlı kümesine ilişkin analizinde tekrar eden desen DLL side-loading, şifreli kayıt defteri blob’ları ve bellekte Portable Executable yüklemesi olarak sıralandı. İki kümede SIGNBT’nin 0.0.1 ve 1.2 sürümleri çalıştırılırken, üçüncü loader dış bir yükü çözdü ancak araştırmacılar bu dosyayı geri kazanamadı. AhnLab de bazı örneklerde meşru çalıştırılabilirlerin kötü amaçlı DLL’leri yan yükleme yöntemiyle açtığını, servis kayıt defteri girdilerinde şifreli veri tuttuğunu ve SyncHost.exe ya da svchost.exe içine enjeksiyon yaptığını not etti.
Kuruluşların ortak bulguları, 2026 Mart ayında yaşanan bir Gunra fidye yazılımı olayına da uzanıyor. O saldırıda da aynı ele geçirilmiş sağlık sitesi ve AhnLab’in finansal güvenlik yazılımı A olarak adlandırdığı üründeki aynı açık kullanıldı. Hem devlet destekli hem de fidye yazılımı zincirleri daha sonra SyncHost.exe içine kod enjekte etti. Ancak AhnLab, software A’nın ne olduğunu açıklamadığı için bu vakadaki güvenlik açığının AnySign4PC olup olmadığı kesinleşmedi.
İki operasyonun başka ortak noktaları da vardı. Her ikisinde de net.tmp ve inet.tmp dosya adları kullanıldı. inet.tmp için verilen argüman birebir aynıydı, net.tmp argümanları ise benzer bir GUID biçimi taşıyordu. Aynı SSH genel anahtar parmak izi Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24 kullanıldı. Reverse tunnelling için 176.65.128[.]26 adresi tercih edildi, jshosting[.]me alan adı ise iki saldırı setinde de exploit script dağıtımı için devreye sokuldu. Saldırganlar izlerini silmek için kötü amaçlı dosyaların adını rastgele dört karakterli isimlere çevirdikten sonra dosyaları kaldırdı; Plainbit ayrıca SDelete ve CCleaner ile yapılan ek iz silme işlemleri de gördü.
AhnLab, delillerin güçlü bir teknik bağlantı işaret ettiğini, ancak iki operasyonu yürüten aktörler arasındaki ilişkiyi belirleyemediğini söyledi. Raporda olası açıklamalar arasında sınırlı işbirliği, ortak araç ve altyapı kullanımı, aynı access broker’dan yararlanılması ya da aynı operasyonel kaynaklara erişim yer aldı. Kurumun ifadesine göre ortak nokta, ele geçirilmiş web sitesinden host üzerinde çalıştırmaya ve destekleyici altyapıya uzanan yeniden kullanılan bir erişim yolunu gösteriyor; bu, iki saldırıyı aynı operatörün kontrol ettiği anlamına gelmiyor.
Güncel devlet duyurusu ve Operation Double Barrel raporu, casusluk odaklı aktörü yalnızca devlet destekli tehdit grubu diye tanımlıyor. İki belge de 2025 ile 2026 arasındaki kampanyanın tamamını Lazarus’a resmi olarak atfetmiyor, Gunra bağlantısını da Lazarus’a bağlamıyor. Buna karşın AhnLab, Nisan ayında yayımladığı ayrı bir raporda Mart 2026’daki AnySign4PC watering-hole saldırısını Lazarus’a atfetmişti. Kaspersky de daha önceki Operation SyncHole sırasında Lazarus’un watering-hole yöntemini, Güney Kore yazılımlarını, SIGNBT’yi ve COPPERHEDGE’i kullandığını belgelemişti. Bu çalışmalar, Lazarus’un geçmişte AnySign4PC, SIGNBT, COPPERHEDGE ve watering-hole istismarına başvurduğunu gösteriyor; ancak Operation Double Barrel ile Gunra vakalarını Lazarus’a bağlamıyor.
KISA’nın 1 Haziran tarihli güvenlik notu, AnySign4PC’nin 1.1.4.4 ile 1.1.4.6 sürümlerinin uzaktan kod çalıştırmaya izin veren buffer overflow açığından etkilendiğini, 1.1.5.0 sürümünün ise düzeltme içerdiğini belirtiyor. Raporlar, güvenlik ekiplerinin meşru yürütülebilir dosyalar tarafından yapılan şüpheli DLL yüklemeleri, servis kayıt defteri altında saklanan şifreli veriler, bellekte PE çalıştırma, olağandışı servis oluşturma, SyncHost.exe veya svchost.exe’ye enjeksiyon ve beklenmedik dışa SSH tünelleri üzerinde durmasını istiyor. ENKI’nin Type 1 arka kapısı, mod 1, 2, 4 veya 5’te kendi koruması açık çalıştığında kayıt defteri yapılandırmasını, loader’ını ve backdoor dosyalarını belleğe kopyalayıp ardından diskten siliyordu; temiz kapanış olduğunda dosyalar yeniden yazılıyor, ancak yükleyicinin hash değeri değişmiş oluyordu. Bu nedenle kalıcı dosya yerine davranış telemetrisi daha faydalı görünüyor. Plainbit’in izlediği bir kalıcılık zincirinde ise RuntimeBroker adlı zamanlanmış görev task.vbs dosyasını başlatıyor, bu dosya da SearchHost.exe adıyla yeniden adlandırılmış bir SSH istemcisini çalıştırarak reverse tunnel kuruyordu. S2W, süreçleri kapatmadan veya sistemleri izole etmeden önce process memory, komut satırları, kayıt defteri değerleri, DLL yükleme olayları ve ağ kayıtlarının korunmasını öneriyor.
AhnLab ayrıca ele geçirilen bazı sitelerin aynı geliştirme ve yönetim şirketiyle bağlantılı olduğunu, bunun olası bir tedarik zinciri rotasına işaret ettiğini bildirdi. Buna karşın eldeki veriler, şirketin kaynak kodunun, yazılım güncelleme sürecinin ya da merkezi yönetim platformunun ihlal edildiğini göstermiyor. Ortak incelemelerde AnySign4PC açığına dair bir CVE numarası da yer almıyor; rapor, yalnızca yamalı sürümü ve silme önerisini veriyor.