Çin Bağlantılı Casusluk Kampanyaları Sparrow Zararlı Yazılım Ekosistemi Üzerinden İlişkilendirildi

Çin Bağlantılı Casusluk Kampanyaları Sparrow Zararlı Yazılım Ekosistemi Üzerinden İlişkilendirildi

Son bir yıl içinde Latin Amerika, Asya ve Avrupa’daki telekomünikasyon sağlayıcılarını, devlet kuruluşlarını, askeri birimleri, araştırma kurumlarını ve kritik altyapıları hedef alan üç farklı tehdit etkinliği kümesi tespit edildi. Bu kümeler, ortak altyapı ve zararlı yazılım kodu benzerlikleri taşıyor.

Check Point Research, bu kümeleri SilentDelivery, OceanGate ve DarkWire adlarıyla takip ediyor. Başlangıçta her biri kendi arka kapıları ve saldırı sonrası araçlarıyla bağımsız saldırı setleri olarak düşünülse de, hepsi Sparrow adlı bir zararlı yazılım ekosistemi aracılığıyla birbirine bağlandı.

Sparrow çerçevesinin arkasındaki varlık, CopperDragon kod adıyla anılıyor. CopperDragon, FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 ve UAT-8302 gibi Çin bağlantılı tehdit aktörleri için araçlar geliştiren bir dijital tedarikçi olarak değerlendiriliyor.

Check Point’in 10 Kasım 2026’da yayınladığı teknik raporda, “Her küme farklı bir araç seti ve farklı ilk erişim teknikleri kullandı. Bunlar arasında internete açık altyapıların ele geçirilmesi ve oldukça seçici sulama deliği saldırıları yer alıyor” denildi. Raporda ayrıca, “Sulama deliği saldırıları için kullanılan ele geçirilmiş web siteleri, hükümet, nakliye, BT ve araştırma sektörlerine aitti” ifadeleri kullanıldı.

FamousSparrow tarafından gerçekleştirilen saldırılar, SparrowDoor (ve varyantları Crowdoor ve TernDoor), SparroWocky ve HemiGate gibi arka kapıları dağıtmasıyla biliniyor. Ayrıca Salt Typhoon ile belirli bir ölçüde örtüşme gösterdiği de değerlendiriliyor, ancak ilişkinin kesin doğası belirsizliğini koruyor.

CopperDragon ile bağlantılı siber casusluk ekosistemi, üç öne çıkan küme tarafından yönlendiriliyor:

• SilentDelivery (2026 başlarında başladı): Avrupa ve Asya’yı hedefleyen, sertifika onarım araçları gibi görünen Truva atı içeren MSI yükleyicileri aracılığıyla SquadC (diğer adıyla SquawkDoor) adlı bir arka kapı dağıtan, oldukça seçici sulama deliği saldırıları gerçekleştiriyor.
• OceanGate (2025-2026): Başlangıçta internete açık Linux sunucuları üzerinden erişim sağladıktan sonra Windows ortamlarına yanal hareket ederek, SparrowDoor’un bir varyantını kullanarak özellikle Asya kuruluşlarına odaklanıyor.
• DarkWire (2025 ortası): Latin Amerika genelindeki telekomünikasyon sağlayıcılarını ve devlet kuruluşlarını CopperDoor (diğer adıyla SparroWocky) ve CopperDNS adlı arka kapıları kullanarak hedef alıyor.

SilentDelivery

SilentDelivery zinciri, saldırganın hedeflenen kurbanlar tarafından sıkça ziyaret edilen meşru web sitelerine yoğun bir şekilde gizlenmiş JavaScript enjekte etmesiyle başlıyor. Siteleri ziyaret eden kullanıcılar, erişimi geri yüklemek için bir “Sertifika Düzeltme” yardımcı programı yüklemelerini söyleyen bir Google Chrome SSL sertifikası uyarısıyla karşılaşıyor.

Sözde yardımcı program, dağıtıldıktan sonra ya SquadC’yi ya da bir SparrowDoor varyantını yüklüyor. Ele geçirilen tüm web sitelerinin Çek Cumhuriyeti, Almanya, Fransa, Tayvan, Nepal, Hong Kong ve Endonezya’daki hükümet, nakliye, BT ve araştırma sektörleriyle ilgili olduğu tespit edildi.

Positive Technologies tarafından Ağustos 2026’da yayınlanan bir rapora göre, kampanyanın bu yöntemle Mısır ve Filipinler’deki kuruluşları da hedef aldığına dair göstergeler bulunuyor.

Check Point, “Ele geçirilen web sitelerine enjekte edilen JavaScript, halka açık bir JavaScript gizleme hizmeti olan jsjiami kullanılarak yoğun bir şekilde gizlenmiştir” dedi. “Önce kullanıcının Windows çalıştırıp çalıştırmadığını kontrol eder ve bazı durumlarda web sitesinin alan adının hedeflenen ele geçirilmiş alan adıyla eşleştiğini doğrular.”

Betik daha sonra bir komuta ve kontrol (C2) sunucusuna tekrar tekrar durum kontrolü istekleri gönderiyor. Bu sayede kullanıcıyı IP ve coğrafi konumuna göre parmak iziyle tanımlıyor ve sonunda saldırıya devam edip etmeyeceğine ve sahte uyarıyı sunup sunmayacağına karar veriyor.

C/C++ ile yazılmış olan SquadC, enfekte olmuş ana bilgisayar üzerinde ilk dayanak noktasını sağlayan bir Windows arka kapısıdır. Bir Windows güncelleme yardımcısı gibi görünen bir Windows Kayıt Defteri Çalıştırma anahtarı aracılığıyla kalıcılık sağlıyor. Daha fazla analiz, zararlı yazılımın Endonezya kuruluşlarını hedef alan kimlik avı e-postaları aracılığıyla da dağıtıldığını ortaya çıkardı.

Kimlik avı e-postası, bir PDF belgesi gibi gizlenmiş bir Windows Kısayolu (LNK) ile birlikte geliyor. Bu kısayol açıldığında, meşru “ftp.exe” ikili dosyasını kötüye kullanarak bir toplu iş betiği çalıştırıyor. Bu betik, bir tuzak olarak boş bir dosya görüntülerken aynı zamanda DLL yan yüklemesi aracılığıyla SquadC’yi başlatıyor.

OceanGate

OceanGate operasyonu ise hem Windows hem de Linux ortamlarını hedef alıyor. Erişim sağlamak, ağ içinde yanal hareket etmek ve hassas verileri sızdırmak için daha önce belgelenmemiş araçlar kullanıyor.

Saldırının Linux aşaması iki yeni arka kapı içeriyor:

• AnnobinDoor: Uzaktan erişim, etkileşimli kabuk, dosya yönetimi, SOCKS proxy’leme, SSH tünelleme, port yönlendirme ve ters bağlantılar gibi geniş bir özellik yelpazesini destekleyen Go tabanlı bir arka kapıdır. Enfekte Linux makinesinin hem uzaktan kabuk hem de dahili ağ pivotu olarak işlev görmesini sağlıyor.
• SparrowShell: Windows karşılığı SparrowDoor ile örtüşen modüler bir Linux arka kapısıdır.

Check Point, “Birden fazla kullanıcıdan kimlik bilgileri topladıktan ve Linux ortamında güçlü bir dayanak oluşturduktan sonra, aktör Windows ortamına geçti” diye açıkladı. “Aktör, bir yönetici hesabıyla başarılı bir şekilde kimlik doğrulaması yapana kadar farklı parolalar deneyerek RDP üzerinden birkaç Windows makinesine giriş yapmaya çalıştı.”

Bu adımı, özel saldırı sonrası araçların ve SparrowDoor’un bir varyantının dağıtılması takip ediyor:

• CopperAdu: Ele geçirilmiş bir Windows makinesini uzaktan yönetim erişimi için yapılandıran bir saldırı sonrası aracıdır.
• CopperList: Ana bilgisayar bilgilerini, disk ayrıntılarını ve dosya yolları, boyutları ve zaman damgaları dahil olmak üzere özyinelemeli bir dosya envanterini toplamak için kullanılan bir Windows keşif aracıdır.
• CopperLogger: Klavye giriş olaylarını yakalamakla birlikte pano etkinliğini, etkin pencere başlıklarını ve ilişkili işlem adlarını ve yollarını izlemek için Raw Input tabanlı bir tuş kaydedicidir.
• CopperLsa: NTLM ve Kerberos’tan parolaları, hash’leri ve kimlik doğrulama belirteçlerini toplayan bir yardımcı programdır.

Dahası, tehdit aktörünün, süreç gizleme yoluyla savunmaları atlatmak ve WinDivert sürücülerini kullanarak ağ paketi yakalamayı ve manipüle etmeyi sağlamak için SparrowDoor ve SparrowShell’e çekirdek rootkit’leri ve çekirdek düzeyinde erişim yetenekleri eklediği tespit edildi.

Check Point, “Aktör, sürücüyü kötüye kullanarak SparrowDoor’u, paketleri çekirdek düzeyinde yakalayan ve manipüle eden pasif bir arka kapıya dönüştürdü ve trafiğini daha az görünür hale getirdi” dedi. “Bu, arka kapının dahili olarak bir portta dinlemesini sağlarken, harici olarak erişilebilir bir port, örneğin 443 gibi, zaten meşru bir hizmet tarafından kullanılan bir port üzerinden bağlantılar almasını sağlar.”

“Arka kapı, belirli bir kaynak IP adresinden meşru hizmetin portuna gelen bağlantıları yakalamak için katı bir filtre uyguluyor. Paketi manipüle ediyor ve hedef portu arka kapının dahili dinleme portuna, tipik olarak 49628 gibi yüksek bir porta yeniden yazıyor. Yanıt trafiği için, kaynak portu tekrar harici hizmet portuna yeniden yazıyor ve yanıtların meşru hizmetten geliyormuş gibi görünmesini sağlıyor.”

İlginç bir şekilde, SparrowShell, ExaTrack tarafından Mart 2023’te açık kaynaklı Reptile rootkit’ine dayalı olarak tanımlanan Mélofée adlı bir zararlı yazılımla kod ve altyapı düzeyinde benzerlikler taşıyor. Bu durum, CopperDragon’ın Mélofée’nin geliştirilmesi ve tedarikinin arkasında da olabileceği olasılığını artırdı.

DarkWire

Üçüncü ve son etkinlik kümesi, Latin Amerika’ya odaklanarak, özellikle telekomünikasyon operatörlerini ve devlet kuruluşlarını hedef alıyor. Bu saldırılar, SparrowDoor’un olası bir yedeği olarak CopperDoor ve CopperDNS adlı iki yeni tanımlanmış arka kapının dağıtılmasına yol açtı.

Bu operasyonları destekleyen bir dizi özel araç da bulunuyor:

• CopperLoader: Genellikle DLL yan yüklemesi yoluyla dağıtılan ve CopperDoor, CopperDNS, CopperProxy ve CopperLsass dahil olmak üzere ek araçları teslim etmek için kullanılan yansıtıcı bir yükleyicidir.
• CopperDoor: Bellekte yerleşik modüler bir arka kapıdır.
• CopperDNS: MX sorguları kullanarak DNS tünellemesi aracılığıyla iletişim kuran bir CopperDoor varyantıdır.
• CopperProxy: Bir SOCKS5 proxy’sidir.
• PyProxy: Python ile yazılmış hafif bir UDP rölesidir.
• CopperLsass: Kimlik bilgisi toplama için LSASS sürecini boşaltmaya adanmış bir modüldür.

Check Point, “Operasyon, birincil yürütme tekniği olarak büyük ölçüde DLL yan yüklemesine dayanıyor ve genellikle diğer tehdit aktörleri arasında yaygın olarak gözlemlenmeyen yürütülebilir dosyaları kötüye kullanıyor” dedi. “Ayak izlerini en aza indirmek için operatörler, diskte yeni dizinler oluşturmaktan kasıtlı olarak kaçındılar, bunun yerine araçlarını mevcut sistem yollarına yerleştirdiler.”

“CopperDoor altyapısı, daha yüksek bir operasyonel güvenlik seviyesi sergiledi. Çoğu IP adresi Latin Amerika’da, genellikle kurban kuruluşla aynı ülkede bulunuyordu. Bu yakınlık, kötü amaçlı trafiğin meşru ağ etkinliğiyle karışmasına ve tespit edilme olasılığını azaltmasına yardımcı oluyor.”