Rusya Bağlantılı Siber Casuslar Ukrayna’nın Savaş Suçları Soruşturmalarını ve Askeri Yardım Yollarını Hedefliyor

Rusya Bağlantılı Siber Casuslar Ukrayna’nın Savaş Suçları Soruşturmalarını ve Askeri Yardım Yollarını Hedefliyor

Daha önce tanımlanmamış, Rusya ile bağlantılı bir siber korsan grubu, Ukrayna hükümet kurumlarını, savunma kuruluşlarını ve yabancı askeri yardımların taşınmasında kullanılan altyapıyı hedef alıyor. Araştırmacılar bu grubun faaliyetlerini tespit etti.

Siber güvenlik firması ESET tarafından 2025 Şubat ayından bu yana aktif olduğu belirtilen Gorbag adlı bu grup, özellikle cephe hattına ve Rusya sınırına yakın Ukrayna kuruluşlarından hassas belgeleri, oturum açma bilgilerini ve diğer verileri çalmak için nispeten basit kötü amaçlı yazılımlar kullanıyor.

Araştırmacılar, Gorbag’ın, ele geçirilmiş ağlara aylarca erişimi sürdürmeyi amaçlayan daha gelişmiş siber casusluk gruplarının aksine, bilgileri hızla çalmaya ve ardından kötü amaçlı yazılımlarının izlerini silmeye odaklandığını belirtiyor.

Grubun hedefleri, Rusya’nın savaş zamanı istihbarat öncelikleriyle yakından örtüşüyor. Bu öncelikler arasında Ukrayna’nın savaş suçları soruşturmalarını izlemek, Rus saldırılarının verdiği zararı değerlendirmek ve askeri tedarikler ile yerel savunma faaliyetleri hakkında bilgi toplamak bulunuyor.

ESET’e göre, grubun bilinen hedeflerinin yaklaşık dörtte biri Ukrayna kolluk kuvvetleri ve yargı kurumları. Araştırmacılar, bu saldırıların iddia edilen Rus savaş suçları soruşturmalarını ve Ukrayna içindeki Rus ajanları ile işbirlikçilerini tespit etme çabalarını izlemeyi amaçlayabileceğini ifade ediyor.

Hedeflerin diğer dörtte biri ise çoğunlukla cephe hattına yakın bölgelerdeki şehir meclisleri gibi yerel yönetim organları. Bu kurumlar genellikle Rus hava saldırılarının neden olduğu hasar hakkında, kritik altyapı değerlendirmeleri ve tahmini onarım süreleri gibi kamuya açıklanmayan bilgileri topluyor.

ESET, bu kayıtlara erişimin Rus kuvvetlerinin saldırılarının etkinliğini değerlendirmesine yardımcı olabileceğini belirtiyor. Siber korsanlar ayrıca, asker alımı, askeri eğitim ve sivil savunma hazırlıkları gibi yerel savunma girişimleri hakkında bilgi arayışında olabilirler.

Diğer hedefler arasında Ukrayna savunma kuruluşları ve araştırmacılar tarafından yabancı askeri yardımlar için önemli bir ulaşım merkezi olarak tanımlanan bir kuruluş da yer alıyor. ESET, tesisin adını vermedi ancak daha önce Rus hava saldırıları tarafından hedef alındığını belirtti. Araştırmacılar, siber korsanların gelen askeri malzemeler ve ulaşım altyapısına verilen hasar hakkında istihbarat arayışında olabileceğini düşünüyor.

Gorbag’ın operasyonları, genellikle idari para cezaları veya vergilerle ilgili resmi belgeler gibi görünen kötü amaçlı ekler içeren kimlik avı e-postalarına dayanıyor.

Bir kurban eki açtığında, siber korsanlar kaydedilmiş tarayıcı şifrelerini, çerezleri, VPN yapılandırmalarını ve Microsoft Office belgeleri, e-posta kayıtları ve arşivler dahil olmak üzere seçilen dosyaları çalabiliyor.

Grubun ana bilgi çalma aracı olan BeautyStealer, bilgisayarları, çıkarılabilir depolama aygıtlarını ve bağlı ağ sürücülerini potansiyel olarak değerli dosyalar için tarıyor. Ardından çalınan bilgileri ilettikten sonra kendini silmeye çalışıyor.

Gorbag ayrıca, ele geçirilmiş bilgisayarlarda saldırganların uzaktan komut çalıştırmasına olanak tanıyan, herkese açık koddan uyarlanmış Prime ReverseShell adlı bir araç da kullanıyor.

2026 yılının başlarında, siber korsanlar yöntemlerini değiştirerek, yaygın olarak kullanılan bir dosya arşivleme programı olan WinRAR’daki daha önce açıklanmış bir güvenlik açığını istismar etmeye başladı. CVE-2025-8088 olarak izlenen bu güvenlik açığı, bir kurbanın özel olarak hazırlanmış bir arşivi açtığında saldırganların kötü amaçlı kod çalıştırmasına olanak tanıyor. Bu açık, 2025 Temmuz’da yamalanmış ve daha önce siber suç ve casuslukla bağlantılı başka bir Rusya bağlantılı siber korsan grubu olan RomCom tarafından istismar edilmişti.

ESET, Gorbag’ın kalıcı erişimi sürdürmek yerine bilgileri hızla toplama tercihinin, grubun diğer siber korsan gruplarıyla işbirliği yaparak çalınan kimlik bilgilerini ve belgeleri sonraki saldırıları gerçekleştiren operatörlere aktardığını gösterebileceğini belirtti. Araştırmacılar böyle bir işbirliğinin gerçekleşip gerçekleşmediğini henüz tespit edemedi.

ESET, “Nispeten basit araç setine rağmen, grup, Ukrayna ile savaşta Rusya’nın daha geniş stratejik hedeflerine katkıda bulunmak için hassas hedefleme ve operasyonel niyet sergiliyor” dedi. “Ukrayna’daki savaş devam ettiği sürece, Gorbag gibi grupların Ukrayna hükümet, adalet ve savunma kuruluşları için kalıcı bir tehdit olmaya devam etmesini bekliyoruz.”