Telekom, kamu, savunma ve enerji kuruluşlarını hedefleyen yeni bir siber casusluk kampanyasında üç yeni zararlı yazılım ailesi ortaya çıkarıldı. Araştırmacılara göre saldırganlar, kötü amaçlı iletişimi sıradan internet trafiğinin arasına gizlemek için Google Sheets ve GitHub Gists gibi yaygın kullanılan hizmetlerden de yararlanıyor.
Acronis Threat Research Unit (TRU), 13 Ağustos 2026 tarihinde yayımladığı teknik araştırmada Güney Asya’daki kritik altyapıları hedefleyen bir siber casusluk kampanyasının ayrıntılarını açıkladı.
Araştırmada daha önce belgelenmemiş üç zararlı yazılım ailesi tanımlandı: PATCHCORD, SHEETCORD ve HACKERAI C2 Agent.
Soruşturmanın başlangıcı Haziran 2026’ya uzanıyor. Araştırmacılar VirusTotal’a yüklenen şüpheli bir ZIP dosyasında, Afgan Telecom’u taklit edecek biçimde hazırlanmış zararlı bir kurulum paketi tespit etti. Teknik incelemede PATCHCORD adlı arka kapı yazılımı ortaya çıkarıldı.
Saldırganların yeni kamuflajı: Meşru internet hizmetleri
Kampanyanın en dikkat çekici özelliklerinden biri komuta-kontrol iletişiminde kullanılan yöntemler.
Acronis’in analizine göre SHEETCORD, Google Sheets’i komuta-kontrol amacıyla kötüye kullanabiliyor. HACKERAI C2 Agent ise GitHub Gists üzerinden iletişim kurabiliyor.
Bu yöntem kurumlar açısından önemli bir güvenlik problemi oluşturuyor. Çünkü Google ve GitHub gibi meşru hizmetlere yönelik normal kullanıcı trafiği ile saldırganların oluşturduğu kötü amaçlı iletişimin birbirinden ayrılması daha güç hale gelebiliyor.
Hedefler telekomla sınırlı değil
Araştırmacılar kampanyanın Afganistan’daki telekom sektörünü hedeflediğini, ancak incelemenin Hindistan’daki kamu, savunma ve enerji kuruluşlarıyla ilişkili hedeflere kadar uzandığını bildiriyor.
Zararlı yazılım dağıtımında Hindistan’ın National Informatics Centre kurumunu taklit eden bir alan adının da kullanıldığı tespit edildi.
İncelenen saldırı altyapısında ayrıca çeşitli uzaktan erişim ve kimlik bilgisi toplama araçları ile CVE-2024-6387, diğer adıyla regreSSHion, güvenlik açığından yararlanmaya yönelik araçlar bulundu.
Fail konusunda kesin hüküm yok
Acronis; hedef seçimi, altyapı, kullanılan araçlar ve saldırı yöntemlerini değerlendirerek kampanyanın APT36/Transparent Tribe ile örtüştüğünü orta güven düzeyinde değerlendiriyor.
Bu nedenle mevcut bulgular kesin bir fail tespiti değil, teknik tehdit istihbaratına dayanan bir atıf değerlendirmesi niteliğinde.
Enerji kuruluşunun hedeflenmesi, SCADA’nın ele geçirildiği anlamına gelmiyor
Kampanyanın enerji kuruluşlarıyla ilişkili hedeflere kadar uzanması kritik altyapı güvenliği açısından dikkat çekici.
Ancak mevcut araştırma SCADA, PLC veya fiziksel enerji proseslerinin saldırganlar tarafından ele geçirildiğini göstermiyor.
Bir saldırının operasyonel teknoloji sistemlerine ulaşıp ulaşmadığının belirlenebilmesi için ağ ve erişim kayıtları, güvenlik duvarları, kimlik doğrulama logları, mühendislik istasyonları ve varsa OT/SCADA kayıtlarının ayrıca incelenmesi gerekiyor.
PATCHCORD vakasının ortaya koyduğu risk ise oldukça açık:
