jade sleet yine iş başında - hint it şirketini hacklemişler

arkadaşlar, kuzey koreli saldırganlar jade sleet diye bilinen grup yine bir hint it şirketini hacklemiş. sentinelone’un açıklamasına göre bu sefer de geliştirici hedef alıp oradan daha büyük ağlara sızmışlar. klasik jade sleet taktikleri işte: “sen git git geliştiricileri hackhle, sonra onlar aracılığıyla başka şirketleri hackle” yöntemi.

neler olmuş kısaca

spoiler: bu açık aktif olarak sömürülüyor ve hala da devam ediyor muhtemelen.

jade sleet grubu (aynı lazarus’un akrabaları gibi düşün, kuzey kore’den), bir hint it şirketine saldırmış. bu şirket “çok daha küçük” bir kuruluş olarak tanımlanmış, yani hedef seçilme sebebi muhtemelen bağlantıları. neden? çünkü bu it şirketinin daha büyük müşterileri var ve onlara erişim sağlayabiliyor.

saldırıda kullanılan iki yeni backdoor bulunmuş:

• FLATROOF
• ROOFDECK

evet, isimleri çatı teması taşıyor. kuzey koreli hackerlar renk seçmede iyiymiş ama adlandırmada çatı felsefesine sahip olmuşlar.

teknik detaylar

edit: sentinelone’un raporuna göre:

bu saldırı chain şöyle işliyor:

1. geliştiriciyi hedef al (sosyal mühendislik, phishing, supply chain saldırısı vs)
2. geliştirici sistemine erişim sağla
3. flatroof/roofdeck backdoor’unu kur
4. geliştirici aracılığıyla müşteri ağlarına sızıl
5. ???
6. profit (veya para, veya intel)

bu taktik çok etkili çünkü:

• geliştirici şirketinin ağında yüksek yetkileri var
• müşteri şirketlerine vpn/ssh erişimi var
• antivirus’ler geliştirici araçlarına daha az şüphe ile bakarlar
• supply chain saldırısı olduğu için çok zor tespit edilir

etkilenen sistemler

yapmanız gerekenler

şimdi ne yapacaksınız, sırayla:

1. hint it şirketleriyle çalışıyorsanız

# bağlantılarınızı kontrol edin
# özellikle vpn, ssh, remote desktop erişimlerini
# son 3 ayın log'larını inceleyin
grep -r "FLATROOF\|ROOFDECK" /var/log/
grep -r "FLATROOF\|ROOFDECK" /var/spool/

# şüpheli process'leri arayın
ps aux | grep -i "roof"
netstat -tlnp | grep ESTABLISHED

# geliştirici makinelerinin log'larını kontrol edin
# özellikle:
# - git push/pull aktiviteleri
# - credential access
# - lateral movement

2. geliştirici sistemlerini kontrol edin

# son değişiklikleri gözden geçirin
git log --all --oneline --graph | head -50

# şüpheli dependencies'i arayın
npm audit
pip check
composer audit

# sistem dosyalarında değişiklik olup olmadığını kontrol edin
find /usr/bin /usr/local/bin -newermt "2026-09-01" -ls

# network bağlantılarını inceleyin
netstat -tulpn | grep ESTABLISHED
ss -tulpn | grep ESTABLISHED

3. acil aksiyonlar

# eğer hint it şirketiyle bağlantınız varsa
# onlara hemen bildirin
# vpn/ssh keylerini rotate edin
# credential'ları değiştirin

# yeni credential'ları oluşturun
ssh-keygen -t ed25519 -f ~/.ssh/id_new -N ""

# eski key'leri devre dışı bırakın
# ~/.ssh/authorized_keys'den silin

# geliştirici makinelerini yeniden başlatın
# (evet, dramatik ama gerekli)

4. monitoring ekleyin

# flatroof/roofdeck process'lerini monitor edin
# yeni process yaratma aktivitelerini logla
auditctl -w /usr/bin -p x -k suspicious_execution
auditctl -w /usr/local/bin -p x -k suspicious_execution

# network bağlantılarını monitor edin
# özellikle beklenmeyen outbound bağlantılar

geçici çözümler

eğer hemen yama yapamıyorsanız (ama yapmalısınız):

• geliştirici makinelerini izole edin - en azından şüpheli olanları
• vpn/ssh erişimlerini kısıtlayın - yalnızca gerekli kişilere
• log’ları merkezi bir yerde toplayın - siem sistemi varsa kullanın
• hint it şirketleriyle iletişimi artırın - ne olup bittiğini öğrenin
• credential rotation yapın - tüm geliştirici erişimlerini değiştirin
• network segmentation - geliştirici ağını müşteri ağından ayırın

edit: önemli notlar

• jade sleet grubu bu taktikleri sürekli kullanıyor, yani bu tek olay değil
• supply chain saldırıları çok zor tespit edilir, bu yüzden proaktif olun
• hint it şirketi ile çalışıyorsanız, şimdi alarm durumuna geçin
• geliştirici makineleri en riskli sistemlerdir, en iyi şekilde koruyun
• vpn/ssh erişimleri hazine gibidir, ona göre davranın

spoiler

bu açık aktif olarak kullanılıyor, sadece hint it şirketinde değil muhtemelen. başka hint it şirketleri de hedef alınmış olabilir. eğer hint it şirketleriyle çalışıyorsanız, acil kontrol yapın.

kaynaklar

• The Hacker News - Jade Sleet Breach
• SentinelOne Threat Research
• Jade Sleet (Kuzey Kore, Lazarus Group’a bağlı)
• FLATROOF Backdoor
• ROOFDECK Backdoor

Bu içerik yapay zeka tarafından oluşturulmuştur.