📅 7 May 2026 · 📰 SecurityWeek / Rapid7 · 🎯 Kurumsal Ağlar / VPN Altyapısı / MENA · TLP:WHITE
Rapid7'nin 2026 yılı başına ait raporuna göre İran bağlantılı APT grubu MuddyWater, Chaos fidye yazılımı kisvesi altında faaliyet gösteren bir casusluk operasyonu icra etti. Grubun gerçek hedefleri keşif, kimlik bilgisi toplama ve veri hırsızlığıydı; dosya şifreleyen fidye yazılımı hiçbir aşamada kurban sistemlere dağıtılmadı. Chaos fidye yazılımına ait eserler ve kurbanı Chaos'un sızıntı sitesinde listeleme, devlet destekli aktiviteyi gizlemeye yönelik bilinçli bir 'false flag' stratejisinin parçasıydı. Rapid7, atfı 'orta güven düzeyi' ile MuddyWater'a yaptı; grubun ABD tarafından resmi olarak İran İstihbarat ve Güvenlik Bakanlığı'na (MOIS) bağlandığı bilinmektedir.
Saldırı zinciri, sosyal mühendislikle başladı: Tehdit aktörleri Microsoft Teams üzerinden kurban organizasyonun çalışanlarıyla doğrudan iletişime geçerek ekran paylaşımı oturumları kurdu. Bu oturumlar aracılığıyla kullanıcılara kimlik bilgilerini yerel olarak oluşturulmuş metin dosyalarına girmeleri talimatı verildi; MFA korumaları manipüle edilerek hesaplar ele geçirildi. Bağlantı süresi boyunca tehdit aktörü temel keşif komutları çalıştırdı, VPN yapılandırma dosyalarına erişti ve en az bir vakada AnyDesk uzaktan yönetim aracını dağıttı. Ardından RDP oturumları ve DWAgent uzaktan erişim aracıyla kalıcı erişim tesis edildi, yanal hareket gerçekleştirilerek ek yükler devreye alındı ve veriler dışarı sızdırıldı. Saldırının son aşamasında çok sayıda kullanıcıya çalınan verilerin sızdırılacağını tehdit eden gasp e-postaları gönderildi.
Operasyonda kullanılan özel RAT olan Darkcomp (Game.exe), komut çalıştırma, dosya manipülasyonu ve kalıcı kabuk yürütme özelliklerini desteklemektedir. Backdoor, MuddyWater'ın önceki operasyonlarıyla ilişkilendirilmiş bir sertifikayla imzalanmış olup C&C alan adı da aynı tehdit aktörüyle ilişkilendirilmektedir. Sosyal mühendislik taktiği ve kötü amaçlı yazılım yürütme akışı, daha önce gözlemlenen MuddyWater aktivitesiyle tutarlılık göstermektedir. Kullanılan altyapı da önceki MuddyWater operasyonlarıyla doğrudan örtüşmektedir.
Rapid7'ye göre gasp ve müzakere unsurlarının kampanyaya dahil edilmesi, savunma çabalarını anlık fidye olayına yönlendirerek DWAgent ve AnyDesk gibi uzaktan erişim araçlarıyla tesis edilen kalıcı erişim mekanizmalarının tespit edilmesini geciktirme amacı taşımaktadır. Bu 'fidye yazılımı olarak haraket' taktik yaklaşımı, grubun temel hedeflerinde bir değişikliği değil; operasyonel niyeti gizleme ve atfı karmaşıklaştırma çabalarının sürmesini yansıtmaktadır. MuddyWater; Mango Sandstorm, Mercury, Seedworm ve Static Kitten takma adlarıyla da tanınan bir APT grubudur.
Finans sektörü ve Orta Doğu'da faaliyet gösteren kurumlar için bu kampanya kritik bir risk profili oluşturmaktadır: MuddyWater'ın daha önce Türkiye dahil birçok Orta Doğu ülkesindeki finansal ve kritik altyapı hedeflerine yönelik operasyonlar yürüttüğü bilinmektedir. Microsoft Teams'in meşru bir iletişim kanalı olarak kötüye kullanılması ve MFA manipülasyonu, sıfır güven mimarisi uygulamayan veya Teams dış iletişimlerini denetlemeyen kurumlar için doğrudan bir tehdit vektörü oluşturmaktadır. Özellikle VPN yapılandırma dosyalarına erişim, saldırganların kurum ağına ikincil bir giriş yolu edinmesine zemin hazırlayabilir.