Rus casus grubu Laundry Bear, Exchange'de tıklama gerektirmeyen arka kapı kullanıyor
Rusya bağlantılı casusluk grubu Laundry Bear (diğer adlarıyla Void Blizzard / TA488), Microsoft Exchange'in web arayüzü OWA'daki bir XSS açığını (CVE-2026-42897) istismar ederek OWAReaper adlı bir arka kapı yerleştiriyor. Sıradan görünen bir e-postanın önizleme bölmesinde açılması yeterli oluyor; arka kapı parola sıfırlamalara ve cihaz yeniden kurulumlarına bile dayanacak şekilde tasarlanmış.
Rusya bağlantılı devlet destekli casusluk grubu Laundry Bear (bilinen diğer adlarıyla Void Blizzard veya TA488), Microsoft Exchange Server’ın web tabanlı e-posta arayüzü Outlook Web Access (OWA)‘daki bir siteler-arası betik çalıştırma (XSS) açığını — CVE-2026-42897 — istismar eden yeni bir saldırı kampanyası yürütüyor.
Saldırı nasıl işliyor
Grup, 22 Temmuz’da başlattığı kampanyada, e-posta gövdesine gizlenmiş yük parçalarından bir JavaScript yükleyici oluşturuyor. Kurbanın yapması gereken tek şey, konu satırı sıradan görünen bu e-postayı OWA’nın önizleme bölmesinde açmak — herhangi bir şüpheli bağlantıya tıklamasına ya da ek dosya indirmesine gerek kalmıyor. Yükleyici, mağdurun tarayıcı oturumunda OWAReaper adlı bir arka kapıyı devreye sokuyor.
Kalıcılık — sıradan temizlik yeterli değil
Araştırmacılara göre OWAReaper, kurbanın parolasını değiştirmesine, kimlik bilgilerini döndürmesine hatta cihazını sıfırdan yeniden kurmasına rağmen posta kutusuna erişimi koruyacak şekilde tasarlanmış — bu da son yıllarda görülen en dirençli e-posta ele geçirme vakalarından biri olarak nitelendiriliyor.
Hedefler
Kampanya; devlet kurumları, telekomünikasyon, finans, otelcilik ve havacılık sektörlerindeki kuruluşları hedef alıyor. CVE-2026-42897 için Microsoft Haziran 2026’da resmi bir yama yayınlamıştı, ancak istismar zincirinin yeni ortaya çıkması, yamalanmış ortamlarda dahi eski açıkların yeniden silahlandırılabildiğini gösteriyor.
Neden önemli
Zero-click (tıklama gerektirmeyen) e-posta saldırıları, kullanıcı farkındalığı eğitiminin en zayıf kaldığı nokta — çünkü kurbanın herhangi bir “hatalı” davranışta bulunmasına gerek yok. Kurumsal güvenlik ekiplerinin OWA trafiğini ve posta kutusu erişim günlüklerini bu imzaya göre yeniden taraması öneriliyor.
Kalıcılığı parola sıfırlama ve cihaz yeniden kurulumuna dayanan bir arka kapı, kurumların standart 'olay sonrası temizlik' prosedürlerini yetersiz bırakıyor — devlet kurumları ve kritik sektörlerin e-posta güvenliği ekiplerinin tarama kapsamını genişletmesini gerektiriyor.
- Help Net Security — Laundry Bear's new Microsoft Exchange attack triggers on email open · 2026-07-30
- Computer Weekly — Russian APT Laundry Bear perfects zero-click phishing attack · 2026-07-30
- ASIS International — No Click Necessary: LAUNDRY BEAR Gains Access to Email Accounts · 2026-07-30
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.