"Rus Hackerlar, CVE-2025-26633 Açığını MSC EvilTwin Üzerinden Kullanarak SilentPrism ve DarkWisp Kötü Amaçlı Yazılımları Yaydı"
Microsoft Windows'ta yeni yamalanmış bir güvenlik açığını sıfırıncı gün (zero-day) saldırısıyla istismar eden tehdit aktörlerinin, SilentPrism ve DarkWisp adlı iki yeni arka kapıyı (backdoor) hedef sistemlere bulaştırdığı tespit edildi.
Bu faaliyet, Water Gamayun olarak bilinen ve EncryptHub ile LARVA-208 isimleriyle de anılan bir Rus hacker grubuna atfediliyor.
Trend Micro araştırmacıları Aliakbar Zahravi ve Ahmed Mohamed Ibrahim, yayımladıkları analizde şu ifadeleri kullandı:
Saldırı zincirleri, provisioning package (.ppkg), imzalı Microsoft Windows Installer (.msi) dosyaları ve .msc dosyaları üzerinden çalıştırılan kötü amaçlı yazılımlar ile sistemlere erişim sağlıyor. Hedeflenen sistemlerde uzun vadeli kalıcılık ve veri sızdırma faaliyetleri gerçekleştiriliyor.
Water Gamayun, 2024 yılının Haziran ayının sonunda dikkatleri üzerine çekti. Grup, "encrypthub" adlı bir GitHub deposunu kullanarak, sahte bir WinRAR web sitesi üzerinden bilgi çalan yazılımlar, madenciler ve fidye yazılımları dağıttı. Ancak, grup artık kendi altyapısını komuta ve kontrol (C&C) işlemleri için kullanıyor.
Saldırılarda kullanılan .msi yükleyicileri, DingTalk, QQTalk ve VooV Meeting gibi meşru mesajlaşma ve toplantı yazılımları olarak kamufle ediliyor. Bu yükleyiciler, önce bir PowerShell indiricisini çalıştırıyor ve ardından sistemde ikinci aşama zararlıyı indirip yürütüyor.
Buna ek olarak DarkWisp, sistem keşfi yapmak, hassas verileri sızdırmak ve uzun süreli erişimi korumak amacıyla geliştirilen bir diğer PowerShell tabanlı arka kapı.
Araştırmacılar, zararlı yazılımın çalışma sürecini şu şekilde açıklıyor:
Bunun yanı sıra, saldırılar sırasında CVE-2025-26633 açığını kullanan MSC EvilTwin yükleyicisi de devreye sokuluyor. Bu yükleyici, kötü amaçlı bir .msc dosyası çalıştırarak Rhadamanthys Stealer adlı zararlıyı sisteme bulaştırıyor. Ayrıca, sistemde adli analiz izlerini silerek saldırının izlerini örtüyor.
EncryptHub Stealer, oldukça kapsamlı bilgi toplayan bir zararlı yazılım olarak öne çıkıyor. Topladığı bilgiler şunları içeriyor:
Tehdit aktörleri, IntelliJ’nin runnerw.exe işlem başlatıcısını kullanarak uzaktan PowerShell komutlarını çalıştırma yeteneğine sahip yeni bir Living-off-the-Land Binary (LOLBin) tekniği de geliştirdi.
Grubun 82.115.223[.]182 IP adresinde barındırılan C&C altyapısının analizi, şu ek tehdit unsurlarını ortaya çıkardı:
Microsoft Windows'ta yeni yamalanmış bir güvenlik açığını sıfırıncı gün (zero-day) saldırısıyla istismar eden tehdit aktörlerinin, SilentPrism ve DarkWisp adlı iki yeni arka kapıyı (backdoor) hedef sistemlere bulaştırdığı tespit edildi.
Bu faaliyet, Water Gamayun olarak bilinen ve EncryptHub ile LARVA-208 isimleriyle de anılan bir Rus hacker grubuna atfediliyor.
Trend Micro araştırmacıları Aliakbar Zahravi ve Ahmed Mohamed Ibrahim, yayımladıkları analizde şu ifadeleri kullandı:
"CVE-2025-26633 ve MSC EvilTwin Yöntemi"
Water Gamayun’un, Microsoft Management Console (MMC) çerçevesinde bulunan CVE-2025-26633 (MSC EvilTwin) güvenlik açığını etkin bir şekilde istismar ettiği belirlendi. Bu açık, zararlı bir Microsoft Console (.msc) dosyasının yürütülmesine olanak tanıyor.Saldırı zincirleri, provisioning package (.ppkg), imzalı Microsoft Windows Installer (.msi) dosyaları ve .msc dosyaları üzerinden çalıştırılan kötü amaçlı yazılımlar ile sistemlere erişim sağlıyor. Hedeflenen sistemlerde uzun vadeli kalıcılık ve veri sızdırma faaliyetleri gerçekleştiriliyor.
Water Gamayun, 2024 yılının Haziran ayının sonunda dikkatleri üzerine çekti. Grup, "encrypthub" adlı bir GitHub deposunu kullanarak, sahte bir WinRAR web sitesi üzerinden bilgi çalan yazılımlar, madenciler ve fidye yazılımları dağıttı. Ancak, grup artık kendi altyapısını komuta ve kontrol (C&C) işlemleri için kullanıyor.
Saldırılarda kullanılan .msi yükleyicileri, DingTalk, QQTalk ve VooV Meeting gibi meşru mesajlaşma ve toplantı yazılımları olarak kamufle ediliyor. Bu yükleyiciler, önce bir PowerShell indiricisini çalıştırıyor ve ardından sistemde ikinci aşama zararlıyı indirip yürütüyor.
"SilentPrism ve DarkWisp: Tehditin Yeni Yüzleri"
Saldırıda kullanılan en önemli zararlılardan biri SilentPrism adını taşıyan bir PowerShell implantı. Bu yazılım, kalıcılığı sağlamak, birden fazla kabuk komutunu eş zamanlı çalıştırmak ve uzaktan kontrol sağlamak için tasarlandı. Ayrıca, analiz araçlarından kaçınmak için gelişmiş anti-analiz teknikleri barındırıyor.Buna ek olarak DarkWisp, sistem keşfi yapmak, hassas verileri sızdırmak ve uzun süreli erişimi korumak amacıyla geliştirilen bir diğer PowerShell tabanlı arka kapı.
Araştırmacılar, zararlı yazılımın çalışma sürecini şu şekilde açıklıyor:
Bunun yanı sıra, saldırılar sırasında CVE-2025-26633 açığını kullanan MSC EvilTwin yükleyicisi de devreye sokuluyor. Bu yükleyici, kötü amaçlı bir .msc dosyası çalıştırarak Rhadamanthys Stealer adlı zararlıyı sisteme bulaştırıyor. Ayrıca, sistemde adli analiz izlerini silerek saldırının izlerini örtüyor.
"Water Gamayun’un Genişleyen Envanteri"
Rhadamanthys, grubun kullandığı tek bilgi çalan yazılım değil. StealC ve EncryptHub Stealer’ın A, B ve C varyantları da saldırılarda kullanılıyor.EncryptHub Stealer, oldukça kapsamlı bilgi toplayan bir zararlı yazılım olarak öne çıkıyor. Topladığı bilgiler şunları içeriyor:
- Antivirüs yazılımları ve yüklü uygulamalar hakkında veriler
- Ağ bağdaştırıcıları ve çalışan işlemler
- Wi-Fi şifreleri ve Windows ürün anahtarları
- Panoya kopyalanan geçmiş veriler
- Tarayıcı şifreleri ve oturum bilgileri
- VPN, FTP ve parola yöneticilerine ait hassas veriler
- Kripto para cüzdanlarına ait kurtarma kelimeleri
Tehdit aktörleri, IntelliJ’nin runnerw.exe işlem başlatıcısını kullanarak uzaktan PowerShell komutlarını çalıştırma yeteneğine sahip yeni bir Living-off-the-Land Binary (LOLBin) tekniği de geliştirdi.
"Hackerların Ekstra Yöntemleri ve Kapsamlı Etkileri"
Water Gamayun’un saldırıları yalnızca yukarıda belirtilen yazılımlarla sınırlı değil. Lumma Stealer, Amadey ve clippers gibi ek zararlı yazılımların da bu süreçte dağıtıldığı tespit edildi.Grubun 82.115.223[.]182 IP adresinde barındırılan C&C altyapısının analizi, şu ek tehdit unsurlarını ortaya çıkardı:
- PowerShell betikleri kullanarak AnyDesk yazılımını indirip çalıştırma
- Base64 ile kodlanmış uzaktan komut gönderme ve yürütme yeteneği
