Google’ın son incelemesine göre Rusya ile bağlantılı olduğu değerlendirilen üç farklı siber casusluk kümesi, Google OAuth akışını, WhatsApp cihaz eşleştirmesini ve çeşitli kimlik avı tekniklerini kullanarak hesap ele geçirme kampanyalarını sürdürdü. UNC6293, UNC5976 ve UNC7005 adıyla izlenen bu faaliyetler; Ukrayna, Avrupa, ABD ve bazı diplomatik çevrelerde görev yapan akademisyenleri, diplomatları, savunma sanayi çalışanlarını ve sivil toplum temsilcilerini hedef aldı.
Kampanyaların ortak noktası, meşru görünen giriş ekranlarını suistimal ederek kimlik doğrulama token’larını ele geçirmek. Saldırganlar bazen Google hesabı için OAuth oturumunu taklit etti, bazen WhatsApp hesabını saldırganın kontrolündeki cihaza bağlatmaya çalıştı, bazı operasyonlarda ise Microsoft ve WhatsApp hesapları için device code phishing yöntemine başvurdu. Google Threat Intelligence Group araştırmacıları Gabby Roncone ve Wesley Shields, bu grupların farklı platformlarda ısrarcı ve uyarlanabilir oltalama operasyonları yürüttüğünü, sosyal mühendisliği sistemli biçimde kullandığını yazdı.
OAuth, WhatsApp ve uygulama parolası tuzakları aynı operasyonda birleşti
Google’ın aktardığına göre UNC6293, UNC5976 ve UNC7005 kimlik doğrulama odaklı kampanyalarda farklı teknikleri bir araya getirdi. UNC6293 ilk kez Haziran 2025’te ayrıntılandırılmıştı ve Google ile Citizen Lab tarafından Ice Relic grubunun bir alt kümesi olarak değerlendiriliyor. Ice Relic, daha önce Cozy Bear ve Midnight Blizzard adlarıyla da takip edilen APT29 ile ilişkilendiriliyor. Bu kümenin geçmişte, Google hesaplarında kullanılan application specific passwords özelliğini kötüye kullanarak kurban hesaplarını ele geçirdiği biliniyordu.
Google, UNC6293’un daha sonra ölçeği dar tutulan operasyonlara devam ettiğini, aynı anda çoğu zaman beşten az kullanıcıyı hedef aldığını bildirdi. Saldırganlar bu süreçte Dışişleri Bakanlığı yetkilisi gibi davranarak uygulama parolası oltaları düzenledi. Kullandıkları uygulama adları ve yemler diplomatik temalar ile yaklaşan konferans ve toplantılar etrafında şekillendi. Volexity’nin Aralık 2025’te işaret ettiği bazı kampanya unsurları da bu çizgiye uyuyor. Google, Haziran 2026’ya gelindiğinde UNC6293’un bu kez OAuth oltalamaya yöneldiğini ve hedeflerden ya tam URL’yi ya da doğrulama kodunu paylaşmalarını istediğini gözlemledi. Kurban meşru bir sağlayıcı üzerinden giriş yaptıktan sonra istenen kodu verdiğinde, saldırganın hesabına erişim yolu açılıyor.
UNC5976 da benzer biçimde kimlik doğrulama süreçlerini istismar eden ikinci küme olarak öne çıktı. En az Mart 2026’dan bu yana aktif olduğu düşünülen grup, OAuth oltalama ile bulut altyapısını birleştirerek token toplamayı otomatikleştirdi. Google’ın anlatımına göre saldırganlar önce genellikle dosya paylaşımıyla ilişkili alan adları satın aldı, ardından bu alan adlarına bağlı bir bulut projesi açtı. Bu alan adları sahte bir dosya paylaşım sayfası barındırdı; hedef sayfada birkaç saniye kaldığında açılan pencere, oturum açma istemi gösterdi.
Bu pencerede yer alan “Continue with Google” düğmesine basan kullanıcı, önce meşru Google OAuth giriş sayfasına yönlendirildi ve oturuma devam etmek için giriş yapması istendi. Kimlik doğrulama tamamlandığında ise kurban, saldırganın kontrolündeki bir Google Cloud proje adresine aktarıldı. Burada çalışan kötü amaçlı betikler, URL içinden kimlik doğrulama jetonunu çekip daha sonra kullanılmak üzere hazırlıyordu. Google, Mart 2026’dan bu yana en az 12 yeni alan adı ve ilgili altyapının kurulduğunu, ardından bunların devre dışı bırakıldığını açıkladı. Bu müdahalenin ardından UNC5976’nın kimlik avı sayfalarını Google altyapısından uzaklaştırıp başka sağlayıcılara taşıdığı belirtildi.
UNC5976’nın faaliyetleri yalnızca token avcılığıyla sınırlı kalmadı. Google, grubun HEADRUSH kod adlı sahte bir Excel eklentisini de kullandığını, bu eklenti üzerinden indirilen bir HTA dosyasının dağıtıldığını bildirdi. Nisan 2026’da ortaya çıkarılan kötü amaçlı yazılımın, Ukrayna’daki bir araştırma enstitüsünü taklit eden sahte bir alan adı üzerinden yayıldığı tespit edildi. Araştırmacılar, bu bileşenin Ukraynalı bir havacılık ve görüntüleme şirketini hedeflemiş olabileceğine dair emareler bulunduğunu, ancak bulaşmanın kapsamının henüz netleşmediğini aktardı.
Google’a göre bu grubun operasyonel odağı ağırlıklı olarak askeri alan, havacılık, savunma sanayi tabanı ve sivil toplum kuruluşları ile düşünce kuruluşları üzerinde yoğunlaşıyor. Coğrafi hedefleme ise büyük ölçüde Ukrayna ve Ermenistan çevresinde toplandı.
UNC7005 ise Google’ın en çok üzerinde durduğu ana küme olarak öne çıktı. Storm-2945 adıyla da izlenen grup, Şubat 2026’da tanımlandı ve özellikle Ukrayna, Batı Avrupa ve ABD’deki akademi, diplomasi ve kar amacı gütmeyen kuruluş personelini hedef aldı. Google, hem UNC6293 hem de UNC7005 için Ice Relic içinde ilk erişim operasyonlarına odaklanan bir alt grubun devrede olduğunu değerlendiriyor. Bu ekiplerin, ele geçirme sonrası faaliyetlerde ticari residential proxy hizmetlerinden yararlandığı da raporda yer aldı.
UNC7005’in uygulama parolası oltaları, ilgi duyulan kişilere yönelik seçici operasyonlar olarak yürütüldü. Grup ayrıca Microsoft ve WhatsApp hesaplarını hedefleyen device code phishing kampanyalarına da başvurdu. Microsoft tarafındaki oltalarda, diplomatik etkinlik ve konferans davetlerini taklit eden e-postalar kullanıldı. Bu iletiler, saldırganın kontrolündeki siteye bağlanan bir bağlantı içeriyordu; site ziyaretçiyi profilledikten sonra etkinliğe katılımını onaylamasını ve ana yemek ile şarap tercihlerini yazmasını istiyordu. Ice Relic saldırılarında şarap temalı yemlerin daha önce de kullanıldığı, Nisan 2023’e kadar uzanan bir örüntü olduğu kaydedildi. Bu faaliyetin bazı bölümleri Zscaler tarafından SPIKEDWINE kod adıyla izlenmişti.
Mayıs ve Haziran 2026’da UNC7005 bu kez WhatsApp taklidiyle sosyal mühendislik operasyonları yürüttü. Google’ın açıklamasına göre oltalama sayfaları, hedefleri güvenli bir WhatsApp aramasına, sohbete ya da belge paylaşımına katılmak için hesaplarını saldırganın kontrolündeki bir cihazla eşleştirmeye ikna etmeye çalıştı. Cihaz bağlantısı sağlandıktan sonra saldırgan, ele geçirme girişimlerini birden fazla yöntemle sürdürdü.
Süreçte kullanıcıdan telefon numarası istendi. Bu numara, saldırgan cihazı ile meşru bir WhatsApp cihaz bağlantı talebi oluşturmak için kullanıldı. Ardından kurbana, bağlantı için QR kodu ve eşleştirme kodu gösterildi; ekranda cihazı bağlaması için yönergeler yer aldı. Hesap saldırgan cihazına başarıyla bağlandıktan sonra sayfa, kullanıcıya sesli aramaya katılma, şifreli sohbete geçme ya da bir dosya indirme seçeneklerinden birini sundu. Kurban sesli aramayı seçerse JavaScript çalışarak ses ve görüntü kaydı aldı, kayıtları bir komuta-kontrol noktasına gönderdi. Şifreli sohbet seçilirse JavaScript, ikinci bir URL üzerinden giriş yapmak için ekranda gösterilen kullanıcı adı ve parolanın kopyalanmasını istedi. Dosya indirme seçeneğinin tam olarak ne olduğu ise netleşmedi.
Grubun Mayıs 2026 civarında ticari bilgi hırsızları Vidar ve Atomic, diğer adıyla AMOS, kullanarak da Windows ve macOS sistemlerinden veri çektiği bildirildi. Bu e-postalar, Rusya ve eski Sovyet coğrafyasına odaklanan ABD’li akademisyenleri, diplomatları ve araştırmacıları hedef aldı. İletilerde kötü amaçlı URL’lere yönlendiren bağlantılar yer aldı. Bağlantı açıldığında kurban, Ukrayna’ya destek amaçlı bir karar metniyle ilişkili olduğu izlenimi verilen bir zirve sayfasına götürüldü ve metnin tamamını okumak için “zirve yardımcı uygulamasını” indirmesi istendi.
Google, Ağustos 2026’nın başında UNC7005’in bulut altyapısını kullanarak Google hesabı OAuth oltalarına başladığını da açıkladı. 31 Temmuz 2026’dan itibaren grup, NATO bağlamında Finlandiya’daki savunma ve güvenlik pazarında faaliyet gösteren şirketlere destek veren Finnish Operations Center’ı taklit eden alan adları kaydetti. 6 Ağustos ile 13 Ağustos 2026 arasında ise Avrupa savunma sanayisiyle ilişkili ya da bu alanda çalışan hedeflere yönelik, saldırganın kontrolündeki alan adına giden özel oltalama e-postaları gönderildi. Kullanıcılar bu alan adına gittiğinde meşru bir Google OAuth giriş sayfasına yönlendirildi ve oturum açmaları istendi. Kimlik doğrulama başarıyla tamamlandığında kurbanlar, kimlik doğrulama jetonlarını çalmak ve hesap ele geçirmeyi mümkün kılmak için saldırgan kontrolündeki, doğrulanmamış bir bulut projesine aktarıldı.
Google, bu faaliyetleri yalnız başına değil, CaptiveCrunch adıyla izlenen ayrı bir kampanyayla bağlantılı biçimde değerlendirdi. ReliaQuest ve Microsoft’un geçen ay duyurduğu kampanya, otel, konferans merkezi ve havaalanı gibi noktalardaki captive Wi-Fi portallarını hedef alıyor. Amaç, kullanıcıları fark ettirmeden saldırgan altyapısına yönlendirip kimlik bilgisi çalmak. Bu operasyonlarda Wi-Fi geçitlerine yönetim erişimi alınarak cihaz yapılandırmaları değiştiriliyor, DNS poisoning ile normal web trafiği saldırganın kontrolündeki çözücülere aktarılıyor. Microsoft’a göre trafik manipülasyonu saldırıları Mayıs 2026 başından beri sürüyor.
Microsoft, bu etkinliğin bir bölümünde Microsoft online servislerini taklit eden doppelganger alan adlarının kullanıldığını, bunun da device code authentication akışını kötüye kullanan adversary-in-the-middle oltalarına zemin hazırladığını belirtti. Saldırgan, araya giren konumunu kullanarak tarayıcıların otomatik bağlantı denetimlerine karşılık sahte tarayıcı ya da işletim sistemi güncellemesi gibi görünen zararlı yazılımlar da dağıttı. Bu zincir, Go tabanlı CornFlake RAT adlı uzaktan erişim truva atına ya da ClickFix yemleri üzerinden dağıtılan ChocoShell, diğer adıyla CHERRYPIE, adlı PowerShell yüküne çıkabiliyor. CornFlake RAT; sistem envanteri çıkarmak, dosya ve tuş kayıtlarını toplamak, kimlik bilgileri ve oturum jetonlarını çalmak, ses ve görüntü gözetimi yapmak, çıkarılabilir medyayı izlemek ve enfekte sistemde uzaktan kabuk açmak için tasarlandı.
ChocoShell ise tarayıcı oturum çerezlerini, Chrome’un app-bound encryption korumalarını aşarak, kayıtlı parolaları, Microsoft 365 Single Sign-On token’larını ve Wi-Fi kimlik bilgilerini çalmaya odaklanan bir PowerShell bilgi hırsızı olarak tanımlandı. Yapılan incelemede bu zararlının büyük olasılıkla bir büyük dil modeli tarafından üretilmiş olabileceğine dair izler bulundu.
Tüm operasyonun merkezinde FruitStone adlı, web tabanlı tek bir C2 paneli yer alıyor. “CloudSync Console” markasıyla sunulan ve “Acuity Systems, Inc.” ile ilişkilendirilen panelin, meşru bir bulut yönetim yazılımı izlenimi vererek tespitten kaçmaya çalıştığı değerlendiriliyor. Microsoft, HTML ve JavaScript tabanlı tek sayfalık bir uygulama olarak kurulan panelin kimlik doğrulama olmadan çalıştığını, kompromize uç noktaların yönetimini, yeni kampanya yüklerinin oluşturulup dağıtılmasını ve ekran görüntüleri, tuş kayıtları ile tarayıcı kimlik bilgileri gibi verilerin incelenmesini tek merkezde topladığını aktardı.
Google’ın son bulguları, CaptiveCrunch’ın tek bir senaryodan ibaret olmadığını, UNC7005’in aynı anda birden fazla kampanyayı birlikte yürüttüğünü ortaya koydu. Lumen’in Black Lotus Labs ekibi de aynı operasyonu izlerken, bazı Managed Service Provider’ların ele geçirilmiş olabileceği ve saldırganın bu sağlayıcılarla müşterileri arasındaki güven ilişkisini tedarik zinciri saldırısına çevirmiş olabileceği ihtimalini gündeme getirdi. Lumen’in The Hacker News ile paylaştığı değerlendirmeye göre saldırganlar, ele geçirilmiş bir Wi-Fi yönlendiricisinde DNS isteklerini kaçırarak yolculuk eden kullanıcıları spoof edilmiş kimlik doğrulama portallarına yönlendirebilir ya da doğrudan bilgi hırsızı dağıtabilir.
Lumen, MSP’lerin ele geçirilmesinin saldırganlara onlarca otelin Wi-Fi geçidine erişim sağlama fırsatı vermiş olabileceğini bildirdi. Şirket, MSP’lerin bu portalları yönettiğini, saldırganların da bu erişimi kullanarak DNS yönlendirmesini kurmuş olabileceğini aktardı. Yine aynı açıklamaya göre ekipler otelleri tek tek tarayıp hangi kullanıcıların AitM yönlendirmesine alınacağını seçebiliyordu.
Amerikalı telekom şirketi, Google ile birlikte çalıştığını ve araştırmanın CaptiveCrunch operasyonunun iki farklı yönüne odaklandığını belirtti: Hedeflenen kullanıcıyı ve akışın nasıl işlediğini gösteren sahte kimlik doğrulama sayfaları. Lumen’in telemetri verileri yaklaşık 70 kurban IP adresi saptadı. Bunların 40 farklı IP’si, CaptiveCrunch ile ilişkili C2 altyapısına DNS isteği gönderdi. Şirket, bu konumların saldırganın erişim sağladığı ve bir miktar keşif yaptığı noktaları işaret ettiğini, DNS isteklerini kendi çözücülerine yönlendirerek o bölgelerdeki bireysel yolcuların ek ilgi çekip çekmeyeceğini anlamaya çalıştığını söyledi.
Başka 30 benzersiz IP adresi ise token toplamak için saldırganın AitM altyapısıyla iletişim kurdu. Tek bir IP adresi de ChocoShell C2 sunucusuyla etkileşim içinde görüldü.
Google, Rusya kaynaklı bu kimlik doğrulama odaklı casusluk kümelerinin uygulama parolalarından cihaz bağlamaya kadar meşru özellikleri ve altyapıyı kullanarak birden fazla oturum açma mekanizmasını hedef aldığını vurguladı. Şirket, meşru araçların kötüye kullanılmasının, gerçek ve kötü niyetli hesap erişimini ayırt etmeyi zorlaştırdığını da not etti.
Google’ın değerlendirmesine göre saldırganın bu taktikleri bir arada kullanması, hem hızlı veri sızdırma operasyonlarını mümkün kılıyor hem de ele geçirilmiş meşru hesaplar üzerinden yeni hedeflere yeniden oltalama fırsatı yaratıyor.