Bu bahar, Hainan Adası’nda düzenlenen bir tarım sektörü konferansında, Çin devletiyle bağlantılı bir siber saldırı grubu, üst düzey yöneticilerin dizüstü bilgisayarlarını ele geçirdi — bunu ne oltalama yoluyla ne de bir ağ ihlaliyle değil, yöneticiler akşam yemeğindeyken otel odalarına gizlice girip bilgisayarları bir USB bellekten başlatarak gerçekleştirdi.
Bu grubu OVERCAST PANDA olarak takip eden CrowdStrike, 2026 Tehdit Avcılığı Raporu'nda bu saldırı kampanyasını açıkladı ve Fal'da VentureBeat ile yaptığı röportajda operasyonun zaman çizelgesini ayrıntılı olarak anlattı.Con 2026: Bir saldırgan, yerel saatle akşam 8 civarında bir odaya, saat 9:57'de ise ikinci bir odaya girdi; her bir dizüstü bilgisayarın depolama alanına doğrudan "FlowCloud" adlı bir arka kapı yazdıktan sonra bilgisayarları yeniden başlattı ve odadan ayrıldı. Ağa izinsiz giriş, kimlik avı e-postası veya oturum açma sayfası yoluyla çalınan kimlik bilgileri söz konusu değildi.
Raporda, saldırıların Mart ile Mayıs 2026 arasında gerçekleştiği belirtiliyor ve zaman damgaları, CrowdStrike’ın saldırı önleme operasyonlarından sorumlu kıdemli başkan yardımcısı Adam Meyers’tan geliyor; Meyers, VentureBeat röportajında bu bilgilerin yayınlanmasına izin verdi. CrowdStrike’ın OverWatch ekibi, bu saldırıları engelledi ve OVERCAST PANDA’nın neredeyse kesin olarak devam edeceği değerlendirmesinde bulundu. FlowCloud'un kendisi bu kampanyadan yıllar öncesine dayanmaktadır: Proofpoint, 2020 yılında ABD'deki kamu hizmet kuruluşlarına oltalama yoluyla yayıldığını belgelemiş ve NTT Security'nin SOC'si, 2022'nin başından beri Japon kuruluşlarının yurtdışı şubelerinde USB yoluyla yayılan enfeksiyonları izlemiştir.
Joanna Rutkowska'nın 2009 yılında önyüklenebilir bir USB bellek kullanarak bunu sergilemesinden bu yana, güvenlik araştırmacıları, gözetimsiz bir dizüstü bilgisayara fiziksel erişim yoluyla yapılan müdahaleyi "kötü hizmetçi saldırısı" olarak adlandırmaktadır. Meyers'e göre, CrowdStrike'ın izlediği 290 isimlendirilmiş saldırgan arasında fiziksel erişim operasyonları nadirdir ve MUSTANG PANDA'nın versiyonu, kurbanın taktığı bırakılmış bir USB belleğe dayanmaktadır. Meyers’ın yenilikçi bulduğu nokta, bir devlet istihbarat servisi tarafından otel odasına girilmesi ile kötü amaçlı yazılım dağıtımının birleştirilmesi; yani, kullanıcının USB’den bir dosyayı çalıştırmasına güvenmek yerine, hedef makinenin USB’den önyüklenmesidir.
Ertesi sabah yöneticiler cihazı açtıklarında tetikleyici devreye girdi ve FlowCloud yüklendi. Tuş vuruşlarının kaydedilmesi, ekran görüntüsü alınması, dosya toplanması ve kimlik bilgilerinin toplanması başladı.
Meyers, VentureBeat’e “Makine açılır açılmaz durumun farkındayız” dedi. Bir kayıt defteri anahtarı veya benzer bir tetikleyici, işletim sistemi yüklendikten bir süre sonra FlowCloud’u başlatır ve işte o anda Falcon’un sensörü bunu algılar. Güvenlik açığı, USB’ye yazma işlemi ile bir sonraki açılış arasındaki zaman aralığıdır — yani yönetici tekrar oturum açana kadar dizüstü bilgisayarın tehlike altında ve fark edilmeden kaldığı saatlerdir.
CrowdStrike, bu hafta Fal.Con 2026’da yapay zeka güvenlik ürünleri serisini (Falcon Guardian, SafeMind, Agentic Identity Provider ve AI Gateway) duyurmadan bir ay önce bu boşluğu kamuoyuna açıkladı. Mevcut güvenlik araçları bunu neden gözden kaçırdı? EDR için işletim sisteminin yüklenmiş olması ve ajanın çalışıyor olması gerekir. Çok faktörlü kimlik doğrulama (MFA) bir oturum açma girişimi bekler, kimlik avı eğitimi bir e-postayı bekler, yapay zeka ajanı güvenliği ise bir ajanın güvenliğini sağlamak için çalışır.
OVERCAST PANDA, giriş noktasında bunların hepsini atlattı. İlk güvenlik ihlali, çalışan işletim sisteminin altında, EDR ajanın altında ve kimlik doğrulama yığınının altında gerçekleşti. Falcon, FlowCloud’u önyüklemeden sonra süreci başladığında yakaladı, ancak o zamana kadar implant ve tetikleyicisi çoktan diske yerleştirilmişti.
"Otel girişi çok yaygın bir durumdur," dedi Meyers. "Herhangi bir kurumsal fiziksel güvenlik görevlisiyle konuşun. Genellikle otel girişinin farkındadırlar, ancak bence benzersiz olan şey, otel girişi ile kötü amaçlı yazılımın dağıtımının birleşimidir."
Meyers, OVERCAST PANDA’nın arkasında Çin Devlet Güvenlik Bakanlığı’nın (MSS) olduğunu düşündüğünü belirtti. Meyers, VentureBeat’e verdiği demeçte, odalara giren kişilerin ya MSS ya da Kamu Güvenliği Bakanlığı’na bağlı memurlar veya ajanlar ya da bu kurumlar tarafından rüşvetle ikna edilmiş ya da zorlanmış otel temizlik personeli olduğunu söyledi. Rapora göre, 2026 ortalarında gerçekleşen ayrı bir saldırı, aynı yöntemler kullanılarak ABD’de bulunan bir medya profesyonelini hedef aldı. Bir tarım konferansını hedef almak, Meyers’ın Çin’in beş yıllık planlarıyla ilişkilendirdiği istihbarat toplama öncelikleri ile uyumludur.CrowdStrike'ın Fal.Con'da yaptığı duyuru ve çalışma zamanı güvenliğinin başlangıç noktası: Nvidia CEO'su Jensen Huang, Fal.Con sahnesinde George Kurtz'a katılarak, Nvidia Nemotron açık modelleri ve CrowdStrike'ın tehdit verileri üzerine kurulu, ajan tabanlı bir siber güvenlik sistemi olan SafeMind'ı tanıttı. Meyers, Fal.Con katılımcılarına Haziran 2026’da 7.400 CVE kaydedildiğini, bunun Haziran 2025’e göre %96’lık bir artış olduğunu ve CrowdStrike’ın bu CVE’lerin 2.400’ünü sorumlu bildirim yoluyla ilettiğini, bunun da o ay kaydedilen tüm CVE’lerin yaklaşık %30’unu oluşturduğunu söyledi.
Şirketin çalışma zamanı güvenlik çözümü Falcon Guardian,
