Son raporlara göre, Çin bağlantılı gelişmiş sürekli tehdit (APT) grubu UNC3886, Singapur’un telekomünikasyon sektörüne yönelik hedefli ve karmaşık bir siber casusluk kampanyası yürütüyor. Kampanya kapsamında Singapur’un dört büyük telekom operatörü olan M1, SIMBA Telecom, Singtel ve StarHub, çeşitli saldırı teknikleriyle hedef alındı.
Saldırının Genel Çerçevesi
UNC3886’nın en az 2022 yılından beri aktif olduğu ve başlangıç erişimini uç cihazlar ile sanallaştırma altyapılarına yönelik saldırılarla sağladığı değerlendiriliyor. Temmuz 2025’te ortaya çıkan analizler, grubun VMware ESXi ve vCenter ortamlarına sızmak için sıfır gün (zero-day) açıklarını kullandığını ve ağ cihazlarında kalıcı erişim sağlamak için rootkitler yerleştirdiğini gösteriyor. Bu saldırılar, telekom sistemlerinin kritik bölümlerine yetkisiz erişim sağlasa da, hizmetlerin kesintiye uğramaması için dikkatli hareket edildiği belirtiliyor.
Saldırı Zinciri ve Teknik Detaylar
Kampanyada kullanılan teknikler arasında sıfır gün açığı istismarı, rootkit tabanlı kalıcı erişim, gelişmiş hareket kabiliyeti ve iz gizleme yer alıyor. Tehdit aktörleri, çevre güvenlik duvarlarını aşmak için sofistike araçlar kullanıyor. Bu araçlar arasında AsyncRAT gibi uzaktan erişim trojanları ve özel olarak geliştirilmiş MCP istemcileri bulunabilir. Ayrıca, saldırganların VMware ortamlarına yönelik saldırılarında, vCenter servislerinin zafiyetlerinden faydalanarak ağ segmentasyonunu aşmaya çalıştıkları tespit edildi.
Siber Güvenlik Ekipleri İçin Öneriler
- Telekom altyapısında VMware ESXi ve vCenter gibi kritik bileşenlerin düzenli olarak güncellenmesi ve yamalanması.
- EDR (Endpoint Detection and Response) çözümlerinin etkin kullanımı ve anormal davranışların sürekli izlenmesi.
- Zero Trust mimarisi kapsamında, ağ segmentasyonu ve erişim kontrollerinin sıkılaştırılması.
- Firewall ve IDS/IPS sistemlerinde sıfır gün açığına yönelik imza ve kural güncellemelerinin yapılması.
- Rootkit ve diğer kalıcı tehdit göstergeleri için düzenli sistem taramaları ve log analizlerinin gerçekleştirilmesi.
- SIEM sistemleri ile telekom operatörlerinin kritik sistemlerinden gelen logların merkezi ve gerçek zamanlı olarak toplanması.
- Çalışanlara yönelik e-posta güvenliği farkındalık eğitimlerinin artırılması ve phishing saldırılarına karşı önlemler alınması.
- Olay müdahale (incident response) planlarının güncellenmesi ve tatbikatların düzenli yapılması.
Kurumsal Ortamlarda Olası Senaryo
Örneğin, bir telekom operatöründe VMware ESXi sunucularına yönelik başarılı bir sıfır gün açığı istismarı sonrası saldırganlar, rootkitler aracılığıyla kalıcı erişim sağlıyor. Bu erişimle, müşteri verileri veya ağ trafiği izlenebilir hale geliyor. Ancak, etkin bir SIEM ve EDR altyapısı sayesinde anormal hareketler tespit edilip, saldırganların erişim noktaları kapatılıyor ve operasyonel zarar önleniyor.
Bu tür gelişmiş tehditler, telekom sektöründe bulut güvenliği, ağ segmentasyonu ve kimlik erişim yönetimi (IAM) uygulamalarının önemini bir kez daha ortaya koyuyor. Türkiye ve diğer ülkelerdeki telekom operatörlerinin de benzer tehditlere karşı hazırlıklı olması kritik.