Mirage Kitten’dan Yeni Siber Casusluk Saldırıları

Siber güvenlik kuruluşu Kaspersky’nin Küresel Araştırma ve Analiz Ekibi (GReAT), ‘Mirage Kitten’ olarak bilinen ileri düzey kalıcı tehdit (APT) grubuna ait, daha önce bilinmeyen yeni bir zararlı yazılım setini ortaya çıkardı. Bu bulgular, şirketin Orta Doğu, Türkiye ve Afrika (META) bölgesine yönelik düzenlediği yıllık Siber Güvenlik Hafta Sonu etkinliğinde kamuoyuyla paylaşıldı.

Hedeflenen Bölgeler ve Kullanılan Araçlar

Keşfedilen kötü amaçlı araçların, kurban ağlarında gizlice uzun süreli erişim sağlamak ve hassas verileri ele geçirmek amacıyla yürütülen hedefli bir kampanyada kullanıldığı belirlendi. Kaspersky araştırmacıları, Orta Doğu ve Afrika genelinde Mısır’daki kuruluşlardan Ürdün ve Tanzanya’daki KOBİ’lere, Pakistan’daki havacılık firmalarından Etiyopya’daki telekomünikasyon şirketlerine ve Burkina Faso’daki finans sektörüne kadar geniş bir yelpazede hedefler tespit etti. Bu özel araç seti, üç ana programdan oluşuyor. Setin merkezinde yer alan ‘NightLedger’ adlı Windows arka kapısı, kod yapısı ve davranışsal özellikleri nedeniyle Mirage Kitten grubuna atfedildi. Bu arka kapı, saldırganlara ele geçirilmiş sistemler üzerinde uzaktan kontrol imkanı sunarak komut çalıştırma, dosya görüntüleme, aktarma ve ekran görüntüsü alma gibi işlevleri yerine getirmelerine olanak tanıyor. NightLedger’a eşlik eden ‘ArcBridge’ ve ‘BridgeHead’ isimli iki gizli tünelleme aracı ise ele geçirilen bilgisayarı bir ara düğüme dönüştürüyor. Bu sayede saldırganlar, kendi sunucularındaki araçları çalıştırırken tüm trafiği kurbanın bilgisayarı üzerinden yönlendirerek ağ güvenlik mekanizmalarını aşabiliyor ve uzun süreli, fark edilmeyen erişimi sürdürebiliyorlar. Bu tünelleme araçlarından ilki, Nisan 2026’da Orta Doğu'daki hedeflere yönelik operasyonlar sırasında tespit edildi.

Saldırı Yöntemleri ve Korunma Önerileri

Saldırganların sisteme ilk erişimi nasıl sağladığı çoğu vakada belirsizliğini korurken, Kaspersky GReAT araştırmacıları, BridgeHead aracının Mısır'daki kurban ortamlarında ve Pakistan'daki bir havacılık kuruluşunun sistemlerinde, ilk sızmanın ardından yürütülen faaliyetlerde kullanıldığını gözlemledi. Bu sızma faaliyetleri, grubun bilinen yöntemleriyle örtüşen hedefli kimlik avı girişimleri sonrasında gerçekleşti. Saldırılarda, güvenilir markaları ve işe alım platformlarını taklit eden işe alım temalı mesajlar ile kurbanları kötü amaçlı arşiv dosyalarına yönlendiren sahte video konferans sayfaları gibi son derece hedefli içerikler kullanıldı. Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Omar Amin, bulguların Mirage Kitten’ın siber casusluk operasyonları için zararlı yazılım cephaneliğini sürekli geliştirdiğini ve tünelleme araçlarının kullanımının saldırganların ağ kontrollerini aşarak gizli erişimi sürdürmesine olanak tanıdığını belirtti. Amin, kuruluşların tehdit değerlendirmelerine bu bulguları dahil etmeleri ve tespit ile müdahale yeteneklerini güçlendirmeleri gerektiğini vurguladı. Kuruluşların Mirage Kitten ve diğer APT gruplarının tehditlerine karşı korunmak için aktif tehdit takibi, Kaspersky Next ürün ailesi gibi bütüncül güvenlik çözümleri, Yönetilen Tespit ve Müdahale (MDR) gibi yönetilen güvenlik hizmetleri ve kapsamlı Tehdit İstihbaratı kullanmaları öneriliyor.