SideCopy, Hindistan üniversitelerini ReverseRAT ile hedef aldı: veri 5863 portundan sızdırılıyor

The Hacker News'in 22 Eylül 2026'da Trellix araştırmasına dayanarak aktardığına göre saldırı zinciri silahlandırılmış bir ZIP arşiviyle başlıyor. Arşivin içinde PDF simgesi ve .DOCX uzantısı taklit eden bir Windows kısayolu (LNK) bulunuyor; kısayol uzak sunucudan şifrelenmiş bir HTML Uygulaması (HTA) indirip mshta.exe ile çalıştırıyor, bu da bir DLL yükünü belleğe yansıtarak ReverseRAT'i başlatıyor. Grup en az 2019'dan beri aktif; yani 7 yıllık bir faaliyet geçmişi var. ReverseRAT ise 2021 başından bu yana, yaklaşık 5 yıldır kullanılıyor. SideCopy, TAG-140 adıyla da izleniyor ve Transparent Tribe kümesiyle örtüşüyor.

Teknik göstergeler somut: toplanan veri 5863 numaralı porttan dns.educationportals[.]biz adresine gönderiliyor, bu alan adı 45.61.157[.]22 IP adresine çözümleniyor; kampanyada docsportal[.]in sahte alan adı yem olarak kullanılıyor ve komuta-kontrol trafiği gömülü sabit bir anahtarla şifreleniyor. ReverseRAT sistem bilgisi, kurulu yazılım listesi, ekran görüntüsü, parola ve pano içeriği topluyor; dosya işlemleri yapıyor, komut çalıştırıyor, kayıt defteri üzerinden kalıcılık kuruyor ve kabuk oturumu açıyor.

Raporda herhangi bir CVE numarası verilmiyor; zincir bir yazılım açığını değil, Windows'un meşru mshta.exe aracını kötüye kullanıyor, dolayısıyla klasik anlamda bir yama tarihi yok. Etkilenen kurum sayısı açıklanmadı ve bağımsız olarak doğrulanamadı. Savunma tarafında tek somut önlem mshta.exe, PowerShell ve cmd.exe gibi betik çalıştırıcılarının kurumsal politikayla kısıtlanması.