Kaspersky’nin Küresel Araştırma ve Analiz Ekibi (GReAT), Asya, Afrika ve Latin Amerika’daki kamu kurumlarını, finansal kuruluşları ve endüstriyel organizasyonları hedef alan PassiveNeuron adlı siber casusluk operasyonunu tespit etti. Kampanyanın Aralık 2024’ten Ağustos 2025’e kadar sürdüğü belirlendi.
PassiveNeuron, hedef ağlara sızmak için Neursite adlı modüler arka kapı, .NET tabanlı NeuralExecutor implantı ve Cobalt Strike gibi üç ana araç kullanıyor. Araştırmacılar, kampanyanın yaklaşık altı aylık bir duraklamanın ardından yeniden faaliyete geçtiğini açıkladı.
Kaspersky GReAT güvenlik araştırmacısı Georgy Kucherin, PassiveNeuron’un sunucuları hedef almasının önemine dikkat çekti. Kritik altyapı sistemlerinin korunmasının, siber saldırıların tespiti ve önlenmesi açısından büyük önem taşıdığını belirtti.
Neursite arka kapısı, sistem bilgileri toplayabiliyor ve ağ içi yatay hareketlere izin veriyor. NeuralExecutor ise ek zararlı yükleri dağıtmak için komuta-kontrol sunucularından aldığı .NET bileşenlerini belleğe yükleyip çalıştırabiliyor.
Araştırmada, bazı işlev adlarının Kiril karakterlerle kasıtlı olarak değiştirildiği görüldü. Kaspersky, bu tür unsurların “sahte bayrak” amaçlı olabileceğini ve kampanyanın Çince konuşan bir tehdit aktörüyle düşük düzeyde ilişkili olabileceğini ifade etti.
Kaspersky, hedefli saldırılardan korunmak için güvenlik operasyon merkeplerinin güçlendirilmesi, EDR çözümlerinin devreye alınması ve çalışanlara güvenlik eğitimi verilmesi önerilerinde bulundu.
