Google: Kısa süreli tedarik zinciri müdahaleleri uç noktalarda kalıcı iz bırakabiliyor

Google Threat Intelligence, tedarik zincirindeki kısa süreli müdahalelerin, müdahale sona erdikten sonra da uç noktalarda etkisini sürdürebildiğini ortaya koyan bir saldırı zincirini inceledi. Kurumun UNC7017 olarak izlediği aktöre ilişkin araştırması, özel yükleyicilerden uzaktan yönetim araçlarına ve saldırı sonrası erişim çerçevelerine uzanan çok aşamalı bir yapıyı anlatıyor. Google'ın özellikle vurguladığı nokta, sunucu tarafının düzeltilmesinin daha önce zararlı dosyaları almış sistemlerdeki bulaşmayı ortadan kaldırmaması.

Kısa müdahale penceresi, daha uzun süreli erişim

Google Threat Intelligence'a göre dosyalara yönelik müdahaleler kısa ve kesintili zaman aralıklarında gerçekleşti. Bu aralıklarda zararlı güncellemeleri indiren sistemler, kuruluşun haberi olmadan ele geçirilmiş durumda kalabilir. Araştırma bu nedenle sunucunun mevcut durumuyla, geçmişte o sunucudan dosya indiren uç noktaların durumunun ayrı değerlendirilmesi gerektiğine dikkat çekiyor. Kaynakta önerilen yaklaşım, sunucu tarafındaki iyileştirmeyle yetinmeyip uç noktalarda proaktif tehdit avcılığı ve temizleme çalışmaları yürütmek.

Google'ın gözlemlerine göre UNC7017, kampanyanın farklı dalgalarında benzer bir araç zincirini korudu: özel yükleyiciler, ticari uzaktan yönetim yazılımlarının değiştirilmiş bileşenleri ve ticari ya da açık kaynaklı saldırı sonrası araçlar birlikte kullanıldı. Araştırmada CROSSROAD yükleyicisi, SHINYROAD modüler arka kapısı ve Adaptix C2 bu zincirin öne çıkan parçaları olarak yer alıyor. Google, Adaptix C2 kullanımını en az Temmuz 2026 başından itibaren aktörün storage-data.com altyapısında gözlemlediğini belirtiyor.

Nitro PDF görünümü altında sonraki aşama

Google Threat Intelligence, Temmuz 2026 ortasındaki telemetride SHINYROAD dağıtımını izleyen başka bir aşama tespit ettiğini bildiriyor. Bu aşamada UNC7017, Adaptix C2 çerçevesinin istemci bileşeni ADAPTAGENT'ı sistemlere gönderdi. Araştırmaya göre yükler, normal kullanıcı indirmelerine benzemek amacıyla Nitro PDF tanıtım ve tarama araçları görünümüne büründü; kullanılan dosya adları arasında NitroPromotion.exe yer aldı.

Google'ın analizinde bu aşamanın kalıcılığı, NitroRuntime adlı zamanlanmış görevle sağlandı. Görev, kullanıcının geçici dosya dizinindeki NitroPromotion.exe dosyasını PowerShell aracılığıyla gizli pencereyle başlatıyordu. Kaynağa göre yürütülebilir dosya, yerel uygulama verileri altındaki Nitro Pro dizininden Eztwain4.dll adlı ADAPTAGENT bileşenini DLL yan yükleme yöntemiyle yükledi. Ardından 8.210.84.56 adresinin 6800 numaralı portuna iki dakikalık aralıklarla komuta-kontrol iletişimi kuruldu.