— Saha defteri / 15 Nisan 2026 —

Havariler: APT Gruplarının Anatomi Dersi

Bir Havari, sıradan bir demondan iki şeyle ayrılır: bir zamanlar insandı, ve bir zamanlar bir şeyi sevdi. APT aktörleri de aynı şekilde inşa edilir. Onları korkunç yapan teknolojileri değildir; bir zamanlar meşru bir kimliği sevmiş olmalarıdır.

Havari Doğmaz, Yapılır

Bir kişiye Behelit verilir. O kişi en sevdiği şeyi (annesi, sevdiği kadın, çocuğu) sunağa koyar ve karşılığında insan biçimini terk eder. APT'lerin doğuşu da aynıdır: bir aktör, meşru bir altyapıyı (bir tedarikçi, bir CA sertifikası, bir GitHub Actions runner'ı) kurban eder ve karşılığında ağın içinde insan formunda yürüme hakkı kazanır.

Bu nedenle bir APT'yi sadece davranışla yakalamak zordur — çünkü onun yarısı hâlâ meşrudur. Diğer yarısı dişlerini gizler.

Havari Türleri

1. Kasaplar — Loud, fast, financially motivated

İlk korkutan ama çabuk ölen Havari'ler. Conti, LockBit, BlackCat türevleri. Çenelerini kapatmadan saldırırlar. Tehlikelidirler; ama bir SOC ekibi için en azından görünürdürler.

2. Avcı — APT'ler

Yüzünü koruyan, gece yürüyen, sabırlı Havari. APT29, APT41, Lazarus. Aylarca ağda yaşar, dikkat çekmez. Onun için persistence, persistence, persistence.

3. Lord — Tanrısal El'in Yetiştirdikleri

Tek başına hareket etmez; bir devlet aygıtının kollarıdır. Bunlarla karşılaştığında savaşı kazanmazsın — sadece geçişlerini geciktirirsin. Equation Group, Sandworm, Volt Typhoon.

Havari'yi Tanımanın Üç İşareti

1. Kalp atışı yavaştır. Sıradan trojan'lar saatlerce gürültü çıkarırken, bir Havari haftalık beacon'la idare eder. Ağda yaşar, yarışmaz.
2. İki yüzü vardır. Bir yüzü meşrudur (geçerli sertifika, allowlisted yazılım, içeriden bir kimlik). Diğer yüzü pencereden baktığında görülür: tuhaf saatlerde çıkan tuhaf RPC çağrıları, sıra dışı PowerShell objesi.
3. Geri çağrılır. Havari yenilse bile yok olmaz; başka bir biçimde geri döner. Bir APT infra'sı söküldüğünde, üç ay sonra aynı TTP'lerle yeni bir kampanya görürsün. Defterini bu yüzden tut.

Onları Avlamak: Boscogn'un Kuralı

Boscogn, Şahin Birliği'nin en iyi savaşçılarından biriydi. Havari'yi öldüremedi, ama saldırırken bile aklını kaybetmedi. Bir analist için bu, MITRE ATT&CK haritasını sürekli açık tutmaktır.

Havari'yi davranışla, kimlikle ve kapasiteyle üç koldan kuşatırsan kazanma şansın olur. Tek başına IOC peşinden koşma; o IOC çoktan değişmiştir.

"Onun gibi savaşmak istiyorsan, onun gibi düşünmek zorundasın. Ama olmamaya da dikkat et."

— Kara Süvari, sırtında Ejder Kıran, defterinde üç yeni isim.