Rus Casusluk Grubu Zimbra Açığıyla Batıyı Hedefliyor

Ne Oldu

Rusya devlet destekli bir siber casusluk grubu, Batılı ülkelerdeki hükümetleri ve kritik sektörlerdeki şirketleri hedef alan geniş çaplı bir siber saldırı kampanyası yürütüyor. ABD ve aralarında Türkiye'nin de bulunduğu 16 müttefik ülkenin siber güvenlik otoriteleri tarafından yayınlanan ortak bir güvenlik bültenine göre, "Laundry Bear" veya "Void Blizzard" olarak adlandırılan grup, Linux tabanlı popüler kurumsal e-posta yazılımı Zimbra Collaboration Suite'teki daha önce bilinmeyen bir güvenlik açığını kullanıyor. Bu casusluk faaliyetlerinin temel amacı, finansal kazanç sağlamak yerine hassas bilgilere erişerek stratejik avantaj elde etmek olarak değerlendiriliyor.

Rapora göre, saldırılar Temmuz 2025'te başladı ve grup, bu tarihten itibaren hedeflerine sızmak için sıfır gün (zero-day) olarak tabir edilen bu açıktan faydalandı. Güvenlik açığının kapatıldığı yamanın yayınlanması ise Kasım 2025'i buldu. Bu beş aylık süre zarfında, saldırganlar tespit edilmeden çok sayıda sisteme sızma ve veri çalma imkanı buldu. Yetkililer, yamanın yayınlanmış olmasına rağmen, sistemlerini güncellemeyen kurumların hala aktif olarak bu saldırgan grubun hedefinde olduğunu ve büyük risk altında bulunduğunu vurguluyor. Kampanyanın üzerinden bir yıl geçmiş olmasına rağmen grubun faaliyetlerinin devam etmesi, tehdidin ciddiyetini ortaya koyuyor.

Ortak güvenlik bülteninde yer alan ifadeler, durumun vahametini net bir şekilde özetliyor: "Bu faaliyetin gizli ve ısrarcı doğası, bilinen herhangi bir finansal gasp talebinin olmamasıyla birleştiğinde, bu grubun Rus hükümeti destekli casusluk faaliyetlerine karıştığını neredeyse kesin olarak göstermektedir." Bu tespit, Laundry Bear grubunun motivasyonunun tamamen istihbarat toplama odaklı olduğunu kanıtlar nitelikte. Saldırının arkasındaki devlet desteği, grubun daha karmaşık ve uzun soluklu operasyonlar yürütebilmesini sağlıyor.

Ele Geçirilen Veriler

Saldırganların bu güvenlik açığını kullanarak ele geçirdiği verilerin niteliği, casusluk faaliyetlerinin amacını açıkça ortaya koyuyor. Sadece e-postanın görüntülenmesiyle tetiklenen bu saldırı, kurbanın herhangi bir linke tıklamasına veya ek indirmesine gerek kalmadan gerçekleşiyor. Başarılı bir sızma operasyonunun ardından Laundry Bear grubunun erişim sağladığı bilgiler oldukça kapsamlı ve kritik öneme sahip:

• Son 90 Günlük E-posta Arşivi: Saldırganlar, kurbanın hesabındaki son üç aya ait tüm e-posta yazışmalarını ele geçiriyor. Bu, projeler, stratejik planlar, kişisel iletişimler ve kurum içi dinamikler hakkında derinlemesine bilgi edinmelerini sağlıyor.
• Hesap Şifresi: Kurbanın Zimbra hesabına ait giriş şifresi çalınıyor. Bu şifre, farklı platformlarda da kullanılıyorsa, saldırganlar için diğer sistemlere de erişim kapısı aralayabilir.
• Arama Geçmişi: E-posta hesabı içinde yapılan tüm aramaların geçmişi ele geçiriliyor. Bu veri, kurbanın hangi konulara, kişilere veya projelere odaklandığını gösteren değerli bir istihbarat kaynağıdır.
• Kurumsal E-posta Rehberi: Kurbanın çalıştığı kurumun tüm e-posta adreslerinin bulunduğu rehbere erişim sağlanıyor. Bu rehber, gelecekteki oltalama (phishing) saldırıları için potansiyel hedeflerin bir listesini oluşturmada kullanılıyor.
• İki Faktörlü Kimlik Doğrulama (2FA) Kodları: Saldırganlar, hesaba bağlı olan iki faktörlü kimlik doğrulama anahtarlarını (token) çalabiliyor. Bu, normalde ek bir güvenlik katmanı olan 2FA'nın devre dışı bırakılmasına ve hesabın tam kontrolünün ele geçirilmesine olanak tanıyor.
• Yeni Oluşturulan Şifreler: Saldırı sonrası hesapta oluşturulan veya değiştirilen yeni şifreler de çalınabiliyor. Bu, kurbanın durumu fark edip şifresini değiştirmesi durumunda bile saldırganların erişimi sürdürmesini sağlıyor.

Saldırı Nasıl Gerçekleşti

Laundry Bear'ın bu operasyonda kullandığı yöntemler, grubun teknik kapasitesinin ne denli gelişmiş olduğunu gösteriyor. Saldırı zinciri, dikkatle seçilmiş hedeflere yönelik özel olarak hazırlanmış adımlardan oluşuyor. İlk olarak, grup halka açık kaynaklardan hedef alacağı kurumları belirliyor. Bu kurumların Zimbra sunucusu kullandığını tespit ettikten sonra, o kurumda çalışan kişilerin e-posta adreslerini derliyorlar.

Saldırının kilit noktası, CVE-2025-66376 olarak kodlanan sıfır gün güvenlik açığı. Bu açık, kurbanın özel olarak hazırlanmış bir oltalama e-postasını açmasıyla tetikleniyor. E-postanın içeriğinde, kurbanın herhangi bir etkileşimde bulunmasına gerek kalmadan çalışan özel bir JavaScript kodu bulunuyor. E-posta istemcisi mesajı işlerken bu kod otomatik olarak çalışıyor ve saldırganların sisteme ilk erişimi sağlamasına olanak tanıyor. Bu "tıklamasız" (no-click) saldırı vektörü, en dikkatli kullanıcıları bile savunmasız bırakması açısından oldukça tehlikeli.

Yetkililer, saldırganların veri toplama ve dışarı sızdırma işlemleri için "beehive" (arı kovanı) adını verdikleri özel bir yetenek geliştirdiğini belirtiyor. Bu mekanizmanın, çalınan verileri verimli bir şekilde paketleyip saldırganların kontrolündeki sunuculara gönderdiği düşünülüyor. Raporda ayrıca, bu "beehive" yeteneğinin başka güvenlik açıklarını sömürmek için de uyarlanabileceği uyarısı yapılıyor. Güvenlik açığının Ortak Zafiyet Puanlama Sistemi'nde (CVSS) 6.1 gibi orta seviye bir puanla derecelendirilmiş olması, savunmacıların sadece ciddiyet puanlarına göre yama önceliklendirmesinin ne kadar yanıltıcı olabileceğinin bir başka kanıtı niteliğinde.

Etkilenenler Kim

Bu casusluk kampanyasının hedef yelpazesi oldukça geniş. Saldırıdan etkilenenler sadece devlet kurumlarıyla sınırlı değil. Laundry Bear, stratejik öneme sahip çok sayıda sektördeki özel ve kamu kuruluşunu hedef almış durumda. Bu sektörler arasında savunma, eğitim, enerji, kolluk kuvvetleri, medya, finans, ulaşım ve teknoloji yer alıyor. Henüz etkilenen kurumların isimleri veya saldırıların coğrafi dağılımına ilişkin net bir liste kamuoyuyla paylaşılmadı.

Dikkat çekici bir diğer nokta ise grubun saldırı stratejisi. Yetkililerin raporuna göre, Rus siber tehdit grupları arasında artan bir eğilim olarak, bu saldırı Batılı ülkelere ve NATO müttefiklerine yönelmeden önce ilk olarak Ukrayna üzerinde test edildi. Bu durum, Ukrayna'nın hem öncelikli bir hedef hem de yeni siber silahlar ve teknikler için bir deneme sahası olarak kullanıldığını gösteriyor.

Saldırıya karşı ortak bildiri yayınlayan ülkeler, tehdidin küresel boyutunu gözler önüne seriyor. Bildiriyi imzalayanlar arasında Amerika Birleşik Devletleri, Avustralya, Kanada, Yeni Zelanda, Birleşik Krallık, Çek Cumhuriyeti, Danimarka, Estonya, Finlandiya, Fransa, İtalya, Moldova, Hollanda, Polonya, İspanya ve İsveç bulunuyor.

Ne Yapabilirsin

Yetkililer, bu tehdide karşı korunmak için kurumları acil adımlar atmaya çağırıyor. Sistemlerin güvende olduğundan emin olmak için aşağıdaki önlemlerin alınması kritik önem taşıyor:

• Derhal Güncelleme: Zimbra Collaboration Suite kullanan tüm kurumların, CVE-2025-66376 açığını kapatan yamayı ve sonraki tüm güvenlik güncellemelerini vakit kaybetmeden yüklemesi gerekiyor. Özellikle internete açık altyapıya sahip sunucuların güncel olması hayati önemde.
• Saldırı Tespit Göstergelerini (IOC) Kullanma: Güvenlik bülteninde, saldırganlarla ilişkili teknik göstergeler (Indicators of Compromise) paylaşıldı. Güvenlik ekipleri, bu IOC'leri (IP adresleri, dosya karmaları vb.) kullanarak kendi ağlarında ve sistemlerinde geriye dönük bir tarama yapmalı ve herhangi bir sızma belirtisi olup olmadığını kontrol etmelidir.
• Gelişmiş Tehdit Avcılığı: Saldırının gizli doğası nedeniyle standart güvenlik araçları tarafından tespit edilememiş olabilir. Kurumların, ağ trafiğini, e-posta sunucusu günlüklerini ve anormal kullanıcı davranışlarını analiz ederek proaktif bir tehdit avcılığı yapması öneriliyor.
• Erişim Kontrollerini Gözden Geçirme: Kurumsal e-posta rehberine ve diğer hassas verilere erişimi olan hesapların yetkilerinin gözden geçirilmesi ve en az yetki prensibine göre yeniden düzenlenmesi riski azaltabilir.

Şirket Ne Diyor

Yayınlanan ortak güvenlik bülteninde veya kaynak makalede, yazılımın geliştiricisi olan Zimbra'nın bu spesifik casusluk kampanyasıyla ilgili bir açıklamasına yer verilmemektedir. Ancak şirket, söz konusu güvenlik açığı olan CVE-2025-66376'yı kapatan güvenlik yamasını Kasım 2025'te yayınlamıştır. Kullanıcılara en kısa sürede sistemlerini güncellemeleri tavsiye edilmektedir.

Kaynak

https://cyberscoop.com/russian-laundry-bear-zimbra-exploit/