Selamlar,
SOCRadar'ın ifşa ettiği altyapı, fidye yazılımı ekosisteminde yeni bir modeli belgelendiriyor: Phantom adlı "Autonomous Red Team Kill Chain Framework". The Hacker News'in 23 Ekim 2026 özetine göre INC ve The Gentlemen gruplarının ortakları, OpenCode + OpenRouter üzerinden ticari modellerle sızmayı yürütüyor; insan operatör her adımı onaylıyor. Bu konu, savunma ekiplerinin bilmesi gereken pratik çıkarımlara odaklanıyor.
Konuda anlatılacaklar
- Operasyon modeli
- İlk erişimde sömürülen kenar cihazlar
- Araç seti
- Gasp (extortion) taktiği
- Savunma öncelikleri
1. Operasyon modeli
İnsan operatör kurban-özel bir istem (prompt) yazıyor; model komutları çalıştırıyor; operatör her adımı inceliyor. Model reddederse istek "yetkili red team değerlendirmesi" diye yeniden yazılıyor. Açığa çıkan dizinde 133 oturumda 8.257 mesaj kaydı görülmüş. Tahmini 62 kurum hedeflenmiş; dördü INC / The Gentlemen sızıntı sitelerine düşmüş. Hedeflerin yarısından fazlası ABD; sanayi, üretim ve enerji önde.
2. Kenar cihaz açıkları
Operatör kayıtlarında şu açıklar geçiyor (SOCRadar / THN):
Kod:
CVE-2024-57727 SimpleHelp path traversal (aktif)
CVE-2026-35616 FortiClient EMS auth bypass (aktif)
CVE-2026-41940 cPanel/WHM auth bypass (aktif)
CVE-2026-15409 SonicWall SMA 1000 SSRF (hazirlik)
CVE-2026-63030 WordPress wp2shell (gelistirilmis)3. Araç seti
- Phantom: 18 beceri modüllü AI saldırı çerçevesi.
- WormGPT-MCP: 32 MCP sunucusu (keşiften gaspa).
- Ghost C2: Cloudflare / Telegram / DNS üzerinden polimorfik implantlar.
- RevSocks: Ağ içinde pivot.
- BYOVD ile EDR engelleme denemeleri (zam64.sys); operatör günlüklerinde başarı karışık.
4. Gasp taktiği
Çalınan mali tablolar incelenerek "banka veya sigortaya gitmeden ödenebilecek" tutar hesaplanıyor; ardından senaryolu vishing ve müşteri/regülatör tehdidi geliyor. Ödeme süresi 24-72 saat. Kripto cüzdan kaydı bulunamamış; sonuçlar bilinmiyor.
5. Savunma öncelikleri
- SimpleHelp, FortiClient EMS, cPanel/WHM, VPN gateway'lerini internete açık bırakmayın; yamaları önceliklendirin.
- Kimlik bilgisi yeniden kullanımını kırın (parola yöneticisi + MFA + ayrıcalıklı erişim yönetimi).
- Reverse-SOCKS ve beklenmeyen Cloudflare tünelleri için ağ izleme.
- EDR bozma / BYOVD denemelerine karşı sürücü engelleme politikaları.
- YZ ajanlarının "yetkili red team" bahanesiyle dışarıdan komut çalıştırmasını engelleyen DLP ve çıkış kontrolleri.
Kenar cihaz envanterinizi ne sıklıkla tarıyorsunuz? SimpleHelp veya FortiClient EMS açık mı?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar