UNC3753 Finans & Hukuk Firmalarına 1 Saatte Sızdı: TrapDoor 384 Paket, ECB'den Anthropic Mythos Kaynaklı Acil Uyarı

Bu haftanın en kritik gelişmesi, Google Mandiant'ın UNC3753 (Luna Moth / Silent Ransom Group) grubuna atfettiği, Ocak–Mayıs 2026 döneminde ABD'deki finans ve hukuk firmalarını hedef alan vishing kampanyasıdır. Tehdit aktörleri, sahte BT destek görüşmeleri ve ekran paylaşımı oturumları aracılığıyla kurumsal ağlara sızıyor; bazı vakalarda ilk temastan veri hırsızlığına geçen süre 1 saatin altına indi. Grup, USB ile fiziksel ofis sızması da dahil olmak üzere RMM araçlarını kötüye kullanarak hukuki sözleşmeler, KKB verileri ve finansal kayıtları çalıyor; ardından LEAKEDDATA platformunda yayımlama tehdidiyle kurumları fidye baskısına alıyor. Çin istihbarat grubu UNC5221'in Brickstorm arka kapısı ve yeni Plenet ile AgentPSD zararlılarıyla Microsoft 365 ortamlarına eriştiği de bu hafta raporlandı; bu gelişme, Orta Doğu ve Körfez bölgesindeki M365 kullanan finansal kurumlar için doğrudan risk taşımaktadır. Bu haftaya ait İran APT kaynaklı bölgesel bir kampanya tespit edilmedi; ancak editöryal öncelik listesinde 3. sırada yer alan bu tehdit vektörü için SOC ekiplerinin izleme kapsamını sürdürmesi önerilir.

Tedarik zinciri cephesinde TrapDoor kampanyası, npm, PyPI ve Crates.io ekosistemlerinde 34 zararlı paket ve 384 sürüm üzerinden SSH anahtarları, bulut kimlik bilgileri ve kripto cüzdan verilerini sızdırmaktadır; saldırının Cursor ve Claude gibi AI kodlama asistanlarını sıfır genişlikli Unicode karakterlerle manipüle etme kapasitesi, kurumsal geliştirme ortamları için yeni bir vektörü temsil etmektedir. Avrupa Merkez Bankası, Anthropic'in Mythos AI modelinin ortaya çıkardığı güvenlik açıklarının ardından Eurozone bankalarına acil tedbir zorunluluğu getirirken IMF, yapay zeka güdümlü siber risklerin finansal sistemi istikrarsızlaştırabileceği uyarısında bulundu. CISA bu hafta üç açığı KEV listesine aldı: SolarWinds Serv-U'yu etkileyen CVE-2026-28318 (CVSS 7.5) aktif istismar altında; Android 14/15/16 Framework'ü etkileyen CVE-2025-48595 (CVSS 7.8) hedefli saldırılarla karşı karşıya; Oracle WebLogic'i hedef alan CVE-2024-21182 (CVSS 9.8) ise finans sektöründe yaygın kullanılan orta katman sunucularında kritik risk oluşturuyor. SharePoint'i etkileyen CVE-2026-47294 (CVSS 8.0) henüz KEV'de yer almasa da banka intranet altyapıları için 48 saat içinde yama uygulanması önerilmektedir. Parola yöneticisi Dashlane'de gerçekleşen brute-force saldırısı 20'den az kullanıcıyı etkiledi; Google Mandiant GTIG'in 3 Haziran'da gerçekleştirilen işten çıkarmalar nedeniyle azalan araştırma kapasitesi ise gelecek haftalarda tehdit istihbarat çıktısını olumsuz etkileyebilir.