Myanmar’daki kamu kurumları ve bilgi teknolojisi şirketleri, Nisan 2026’da başlayan ve Temmuz’a kadar uzanan bir saldırı kampanyasının hedefinde yer aldı. Seqrite Labs’in son analizlerine göre, Operation QUICSILVER adı verilen bu faaliyet, orta düzey güvenle Çin bağlantılı bir tehdit aktörüyle ilişkilendiriliyor.
İlk dalga Nisan 2026’da görüldü. Saldırganlar, kurbanlara HolidayNotice.pdf.exe adlı dosyayı ulaştırdı ve bunu Belçika ile Myanmar’a ait sahte bir resmi tatil takvimi kılıfıyla sundu. Haziran ve Temmuz 2026’da yakalanan iki ayrı örnekte ise bulaşma zinciri bu kez bir VHD dosyası üzerinden kuruldu. Sanal disk içinde yer alan bir LNK kısayolu, PDF belgesi gibi davranarak kullanıcının dosyayı açmasını sağladı.
Ekranda görünen yem belge, Myanmar diliyle hazırlanmış sahte bir mezuniyet töreni davetiyesiydi. Belge, Myanmar Ulaştırma ve Haberleşme Bakanlığına bağlı olduğu izlenimi verilen Information Technology and Cyber Security Department (ITCSD) adına hazırlanmıştı. Bu aşama, saldırganların asıl hedefini gizlemek için kullanıldı. Yem sayfa açıldığında kurbana resmi bir davet gösteriliyor, arka planda ise zincirin sonraki adımı hazırlanıyordu.
Kısayol çalıştığında arka planda ftp.exe devreye girdi. Microsoft tarafından imzalanmış meşru Windows ikili dosyası, saldırganlar tarafından bir LOLBAS tekniğiyle kötüye kullanıldı ve -s parametresi üzerinden yerel bir betikte tutulan komutları çalıştırdı. Araştırmacılar Priya Patel ve Kartik Jivani, sahte belge ekranda kalırken komut dosyasının gizli _rels dizininde bulunan header.doc ve body.doc adlı iki belgeyi aradığını belirtti. Ardından Windows’un yerleşik copy /b komutuyla bu iki dosya birleştirilerek bir sonraki aşamadaki yük yeniden oluşturuldu.
Ortaya çıkan yük, QUICAgent adı verilen Go tabanlı bir arka kapıydı. İmplant, komuta ve kontrol altyapısına bağlanmadan önce sanal ortamları atlatmaya dönük kontroller yapıyor. Bunu da 100 ile 600 milisaniye arasında rastgele gecikme ekleyerek ve 1.000 tur SHA-256 karma işlemi çalıştırarak yapıyor; amaç otomatik sandbox ortamlarının yürütme süresini tüketmek. Bu teknikler, otomatik analiz sistemlerinin örneği tamamlamasını zorlaştırmak için kullanıldı.
QUICAgent’in komuta ve kontrol sunucusu, iki ayrı Cloudflare Workers alan adına HTTP GET isteği atılarak dinamik biçimde alınıyor. Adres elde edildiğinde, 104.64.211[.]22 değeri 443 numaralı portla birleştiriliyor ve nihai hedef oluşturuluyor. Kötü amaçlı yazılım, sunucuyla iletişim için UDP 443 üzerinde QUIC kullanıyor. İlk işaret paketi de bu bağlantı sırasında gönderiliyor.
İlk işaret paketi, ele geçirilen makineye dair temel bilgileri de içeriyor. Bu sinyal her beş saniyede bir gönderiliyor ve her enfekte sisteme izleme amacıyla benzersiz bir X-Agent-ID atanıyor. QUICAgent, komut çalıştırma, dosya aktarma, dizin listeleme ve işaret aralığını değiştirme gibi beş temel komutu destekliyor. Böylece saldırganlar, her sisteme ayrı kimlik üzerinden erişimi sürdürebiliyor.
Kalıcılık için saldırganlar, kullanıcı oturum açtığında otomatik çalışacak bir LNK dosyasını Windows Startup klasörüne yerleştiriyor. Seqrite Labs, saldırı akışını çok aşamalı bir zincir olarak tanımlıyor: kötü amaçlı bir LNK dosyasıyla başlayan süreç, ftp.exe üzerinden devam ediyor, sahte belge parçalarından yük yeniden kuruluyor ve son aşamada QUICAgent adı verilen özel Go tabanlı arka kapı devreye giriyor. Bu yapı, tek bir dosyadan çok birden fazla katmana yayılan bir enfeksiyon akışı oluşturuyor.
Aynı dönemde Kaspersky de Çin bağlantılı olduğu değerlendirilen Mustang Panda grubunun güncellenmiş bir COOLCLIENT sürümünü kullandığını açıkladı. Bu sürüm, Msagent.sys adlı imzalı bir çekirdek sürücüsü yükleyebiliyor. Yapı, daha önce TONESHELL içinde görülen çekirdek seviyesi geliştirmelere benzer bir yaklaşım taşıyor. Kaspersky, yüklemenin çoğu durumda PlugX üzerinden ve DLL sideloading tekniğiyle gerçekleştirildiğini bildirdi; bu yöntem grubun yıllardır sıkça kullandığı araçlar arasında yer alıyor.
COOLCLIENT’in yetenekleri de oldukça geniş. Tuş kaydı alma, panodaki verileri çalma, kimlik bilgisi toplama, dosya yönetimi, sistem keşfi ve eklenti tabanlı uzantılar bu setin içinde yer alıyor. İlk kez 2022’de sahada görülen arka kapı için yeni sürüm, çekirdek modundaki sürücüyle birlikte daha görünmez hale geliyor. Kaspersky, sürücünün COOLCLIENT sürecini gizlediğini, ilişkili dosya ve kayıt defteri girdilerini koruduğunu ve bunların incelenmesini ya da değiştirilmesini zorlaştırdığını aktardı. Şirket, bu görünmezlik katmanının malware bileşenlerinin sıradan incelemeye daha az açık kalmasını sağladığını da vurguladı.
Şirketin tespitlerine göre güncellenmiş COOLCLIENT ve beraberindeki sürücü, Myanmar, Moğolistan, Pakistan ve Rusya’daki izinsiz girişlerde görüldü. Kaspersky, örneğin daha önce belgelenmiş COOLCLIENT varyantlarının genel çalışma akışıyla aynı çizgide ilerlediğini, ancak bu örneğin daha önce kamuoyuna açıklanmamış bir çekirdek mod sürücüsü içerdiğini ve bunun gizlenme kapasitesini belirgin biçimde genişlettiğini vurguladı. Aynı raporda, yeni örneğin varlığının ve sürücüsünün adı geçen dört ülkedeki izinsiz girişlerle eşleştirildiği de yer aldı.