YüksekII Siber Savaş ve Kritik Altyapı16 Ekim 2026, Cuma
Çin bağlantılı grup BeyondTrust'ın uzaktan destek aracındaki açığı haftalarca kullandı
Google ve Mandiant, BeyondTrust Remote Support'taki CVE-2026-102764 açığının 29 Ağustos'tan beri Çin devletiyle bağlantılı bir casusluk grubunca kullanıldığını açıkladı. Yama 9 Ekim'de çıktı; CISA açığı istismar edilenler kataloğuna aldı.
The Record'un 16 Ekim haberine göre BeyondTrust, Mandiant'ın grubu Çin devletince desteklenen bir casusluk operasyonu olarak değerlendirmesini doğruladı. Google grubu Armory Castle adıyla izliyor; grup eski adıyla UNC5221, CrowdStrike'ın adlandırmasıyla Warp Panda ve Ekim 2023'ten beri aktif. Sıfırıncı gün açığı, yani üretici yama çıkarmadan önce saldırıda kullanılan açık, iç bileşenlerin mesajın kaynağını doğrulayamamasından doğuyor. Saldırgan bu yolla cihazda dosya işlemi yapabiliyor ve kök yetkisine çıkabiliyor.
Cybersecurity Dive'a göre saldırganlar 2 araç kullandı: şifreli komuta-kontrol sağlayan Sawfly adlı bir PHP web kabuğu ve Bareclaw adlı bir SOCKS5 tünel aracı. Grup cihazda saklanan bütün kimlik bilgilerine eriştiğini, sırlar veritabanını hedef aldığını ve BeyondTrust'ın kendi dosya aktarım hizmetiyle veri indirdiğini gösteren izler bıraktı. Google'dan Kelli Vanderlee etkilenen kurum sayısının şimdilik az olduğunu söyledi; açıklamadan önce başka kurumların da ele geçirilmiş olabileceği ekleniyor.
Grup hukuk büroları, SaaS sağlayıcıları, iş süreci dış kaynak şirketleri, teknoloji şirketleri ve devlet kurumlarını hedefliyor. Aynı grup daha önce Citrix'te sıfırıncı gün açıklarını ve Ivanti'nin CVE-2023-46805, CVE-2024-21887 ve CVE-2025-0282 açıklarını kullanmıştı. SaaS müşterilerine yama 9 Ekim'de otomatik gitti; kendi sunucusunu işleten müşterilerin BT26-05 bildirimine göre elle güncellemesi gerekiyor. Mandiant internete açık her savunmasız cihazın incelenene kadar ele geçirilmiş sayılmasını öneriyor.
Talay değerlendirmesi
Sonuç
Aynı grubun Ivanti, Citrix ve şimdi BeyondTrust'ı arka arkaya kullanması, Çin bağlantılı casusluğun ağ kenarındaki uzaktan erişim cihazlarını sistematik bir giriş kapısı olarak seçtiğini gösteriyor. 29 Ağustos ile 9 Ekim arasındaki 41 günlük pencere, savunucuların yamaya değil iz kaydına bağımlı kaldığını ortaya koyuyor. En olası yol, önümüzdeki haftalarda etkilenen kurum listesinin hukuk ve dış kaynak şirketlerinde büyümesi.
Olası etkiler
- Uzaktan erişim tedarikçileriOlumsuzOrta vade
Kenar cihazlarının üç farklı üreticide sırayla vurulması, müşterilerin bu ürünleri internete açık tutma kararını ve sigorta değerlendirmesini zorlaştırıyor.
- Hukuk ve dış kaynak şirketleriOlumsuzKısa vade
Grup, birden çok müşterinin verisini tutan hukuk bürolarını ve iş süreci şirketlerini hedefliyor; tek ihlal zincirleme veri sızıntısına dönüşebilir.
- ABD–Çin siber gerilimiOlumsuzKısa vade
BeyondTrust'ın Çin devlet atfını doğrulaması, ateşkes görüşmelerinin yanında Washington'un siber dosyasını da büyütüyor.
İhtimaller
- 1Kurban listesi büyür%55
Kendi sunucusunu işleten müşterilerde yeni ihlaller bulunur, hukuk ve SaaS sektöründe bildirimler artar.
İzlenecek: Mandiant ve CISA'nın ekim–kasım arasında yayımlayacağı ek tehdit göstergeleri ve kurum bildirimleri
- 2Olay sınırlı kalır%30
Yama hızla uygulanır, etkilenen kurum sayısı az kalır ve dosya kapanır.
İzlenecek: GTIG'nin etkilenen kurum sayısına dair güncellemesi
- 3Yeni kenar cihazı açığı%15
Grup birkaç hafta içinde başka bir uzaktan erişim üreticisinde yeni sıfırıncı gün açığı kullanır.
İzlenecek: CISA istismar edilen açıklar kataloğuna eklenen yeni kenar cihazı açıkları
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- İlk istismar▼ 29 Ağustos
- Yama▲ 9 Ekim