Webworm’un 2025 Faaliyetleri: Discord ve Microsoft Graph ile Yeni C&C Yaklaşımları

Bir siber güvenlik raporu, ESET’in 2025 yılında Webworm adlı gelişmiş Kalıcı Tehdit (APT) grubunun davranışlarında Avrupa odaklı bir kaymaya gittiğini ve Belçika, İtalya, Polonya, Sırbistan ile İspanya’da devlet kurumlarını hedeflediğini gösteriyor. Öne çıkan nokta, grubun artık Güney Afrika’daki bir üniversiteyi de hedef almasıdır.

Grup, C&C iletişimi için Discord ve Microsoft Graph API kullanmaya devam ediyor. ESET araştırmacıları, Discord üzerinden iletilen 400’ün üzerinde mesajin şifresini çözerken, saldırı amacıyla kullanılan bir komuta merkezi sunucusunu keşfettiler ve 50’den fazla benzersiz hedef üzerinde gözlemlediler. Analizler, potansiyel ilk erişim tekniklerinin izlerini, açık kaynaklı bir güvenlik açığı tarayıcısı aracılığıyla toparlanan verilerden çıkardı.

EchoCreep adlı arka kapı, Discord üzerinden dosya yükleme, çalışma zamanı raporları iletme ve komut alma işlemlerini yürütüyor. Ayrıca, GraphWorm isimli arka kapının Microsoft Graph API’yi kullanarak iletişimi sürdürdüğü ve özellikle yeni görevleri almak amacıyla OneDrive uç noktalarını kullandığı tespit edildi. Bu iki arka kapı, mevcut proxy çözümlerine ek olarak WormFrp, ChainWorm, SmuxProxy ve WormSocket gibi özel proxy araçlarını da devreye sokuyorlar; böylece saldırganlar ana ağlara daha geniş bir gizli ağa erişim sağlayabilirler.

Bir ESET analisti olan Eric Howard, 2025 kampanyalarını incelerken Webworm’un AWS S3 bucket’larında güvenliği ihlal edilmiş konfigürasyonlar elde etmek için özel proxy çözümü WormFrp’yi kullandığını belirtiyor. S3 bucket üzerinden veri sızdırma girişimlerinin kurbanların faturalarını etkileyebileceğini ifade eden Howard, bu yapıların güvenlik açıklarını daha da büyüttüğünü vurguluyor.

Aralık 2025 ile Ocak 2026 arasında operasyonlar, hizmete 20 yeni dosya yüklemesi içerdi ve bunlardan ikisi İspanya’daki bir devlet kurumundan elde edilmişti. Grup ayrıca GitHub üzerinde dosya yayımlamaya devam ederken, ESET bunun gelecekte de sürmesini bekliyor.