Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde sırf kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü gaye alan siber saldırıyı gün yüzüne çıkardı. Saldırganlar, yasal yazılım bileşenlerinden faydalanarak daha evvel bilinmeyen “NetamLoader” isimli berbat maksatlı yazılım altyapısını devreye soktu. Bu altyapı, faaliyetlerini gizlerken arka planda ek ziyanlı kodları alıp çalıştırma yeteneğine sahip.
Kaspersky, tehdit izleme ağı üzerinden hücumun bir kurbanını tespit etti. Saldırıyı bilinen rastgele bir tehdit kümesiyle ilişkilendiremedi. Ziyanlı yazılım, kelam konusu işletim sistemine özel olarak geliştirildi. Yaptığı süreçler arasında, sistemin kendi güncelleme bileşenine ilişkin günlük kayıtlarındaki muhakkak girdileri silmek de bulunuyor.
Araştırma, 2026’nın birinci yarısında Kaspersky’nin Windows güncelleme klasöründe bulunan bir arşiv belgesinin içindeki kuşkulu bir yapılandırma evrakını tespit etmesiyle başladı. Arşivdeki programların birden fazla, üçüncü taraf yama idaresi aracı Patch My PC’nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere legal yazılımlardı. Saldırganlar, değiştirilmiş yardımcı evraklar aracılığıyla bu yazılımların ziyanlı talimatları yüklemesini sağladı.
Arşivin bulunduğu pozisyon ve içeriği, saldırganların maksatlarına ulaşmak için yazılımların dağıtım yahut güncelleme süreçlerini berbata kullandığı mümkün bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Ayrıyeten elde edilen bulgular, Patch My PC’nin yahut yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.
NetamLoader, ziyanlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Akabinde yürütmeyi legal bir Windows sürecine taşıyarak ziyanlı faaliyetin birinci programla ilişkilendirilmesini zorlaştırıyor. Ziyanlı yazılım çerçevesi ayrıyeten berbat gayeli yazılım tarama fonksiyonlarından birine müdahale ediyor ve araştırmacıların saldırıyı tekrar oluşturmasına yardımcı olabilecek belgeleri siliyor.
NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların denetimindeki bir sunucuyla bağlantı kuruyor. Araştırmacıların incelediği yapılandırma evrakında, birinci temas kurulmadan evvel 20 ila 40 dakikalık bir bekleme müddeti bulunuyor. Sunucudan geçerli bir cevap alınamazsa ziyanlı yazılım, yine denemeden evvel 22 ila 28 saat bekliyor. Bu gecikmeler sebebiyle kısa vadeli izleme oturumlarında incelenebilecek ağ aktifliği çok hudutlu kalabiliyor.
Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söylüyor: “Teknolojik egemenlik, birçok hükümet için öncelikli hususlardan biri hâline geldi. Bu alandaki çalışmalar ekseriyetle işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size denetim imkânı sağlıyor. Fakat bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği manasına da geliyor. Bu türlü bir ekosistemin olgunlaşması ise vakit alıyor. Bu hadise, savunma takımlarının sırf her bir programın yasal olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”
Kaspersky eserleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* isimleriyle tespit ediyor. Güvenlik ihlali göstergelerini (IoC) de içeren kapsamlı teknik rapora Securelist üzerinden ulaşılabilirsiniz.
Kaspersky, benzeri tehditlere karşı korunmak için şu tekliflerde bulunuyor:
- Kaspersky Threat Intelligence Services’tan yararlanın. Güncel tehdit akışlarına, davranış temelli güvenlik ihlali göstergelerine (IoC) ve detaylı tehdit avcılığı raporlarına erişim sağlayan bu hizmetler, GReAT dahil Kaspersky araştırma gruplarının uzmanlığından yararlanıyor. Analistler, bu olay da dahil olmak üzere yeni araştırmalardan elde edilen datalarla bilinmeyen örnekleri üretim ortamlarına ulaşmadan evvel inceleyebiliyor.
- Yazılım güncelleme kanallarını denetleyin. Saldırganlar ziyanlı paketi, Windows’un indirilen güncellemeler için kullandığı klasöre yerleştirdi. Bu sebeple kelam konusu klasörleri beklenmedik çalıştırılabilir evraklar ve yapılandırma belgeleri açısından izleyin. Her güncelleme paketinin kaynağını doğrulayın ve üçüncü taraf idare araçlarının sırf onaylanmış pozisyonlardan çalıştırılmasına müsaade verin.
- Kaspersky Next EDR Expert ile uç noktalardaki kapalı tehdit faaliyetlerini tespit edin. Bu tahlil; imzalı bir programın değiştirilmiş bir yapılandırma evrakı aracılığıyla kod yüklemesi, bir Windows sistem sürecinin harici sunucularla irtibat kurması ve berbat emelli yazılım taramasına müdahale edilmesi üzere kuşkulu aktiflikleri ilişkilendirerek tahlil ediyor. Bu davranışlar farklı başka değerlendirildiğinde olağan sistem faaliyetleriyle karıştırılabilir.
- Kaspersky Anti Targeted Attack (KATA) ağ trafiğini izleyin. Platform, içerik dağıtım ağlarının (CDN) arkasına gizlenenler de dahil olmak üzere, tanınmayan harici sunucularla kurulan seyrek ve şifreli kontakları tespit ediyor. Ayrıyeten takımların, ilişki denetimini saatler hatta günler boyunca erteleyen ziyanlı yazılımları izlemesine yardımcı oluyor.
- Kaspersky SIEM ile günlük kayıtlarını uç noktaların dışında saklayın. NetamLoader, sistem önbelleğindeki belgeleri, .NET kullanım günlüklerini ve güncelleme bileşeninin kayıtlarındaki belli girdileri sildi. Günlük kayıtlarının merkezi olarak toplanması, saldırganların yok etmeye çalıştığı ispatların korunmasını sağlıyor. Ayrıyeten mahallî kayıtlarda açıklanamayan boşlukların birer ikaza dönüştürülmesine yardımcı oluyor.
Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.
Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde sırf kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü gaye alan siber saldırıyı gün yüzüne çıkardı. Saldırganlar, legal yazılım bileşenlerinden faydalanarak daha evvel bilinmeyen “NetamLoader” isimli berbat hedefli yazılım altyapısını devreye soktu. Bu altyapı, faaliyetlerini gizlerken arka planda ek ziyanlı kodları alıp çalıştırma yeteneğine sahip.
Kaspersky, tehdit izleme ağı üzerinden akının bir kurbanını tespit etti. Saldırıyı bilinen rastgele bir tehdit kümesiyle ilişkilendiremedi. Ziyanlı yazılım, kelam konusu işletim sistemine özel olarak geliştirildi. Yaptığı süreçler arasında, sistemin kendi güncelleme bileşenine ilişkin günlük kayıtlarındaki belli girdileri silmek de bulunuyor.
Araştırma, 2026’nın birinci yarısında Kaspersky’nin Windows güncelleme klasöründe bulunan bir arşiv evrakının içindeki kuşkulu bir yapılandırma belgesini tespit etmesiyle başladı. Arşivdeki programların birden fazla, üçüncü taraf yama idaresi aracı Patch My PC’nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere legal yazılımlardı. Saldırganlar, değiştirilmiş yardımcı belgeler aracılığıyla bu yazılımların ziyanlı talimatları yüklemesini sağladı.
Arşivin bulunduğu pozisyon ve içeriği, saldırganların maksatlarına ulaşmak için yazılımların dağıtım yahut güncelleme süreçlerini berbata kullandığı mümkün bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Ayrıyeten elde edilen bulgular, Patch My PC’nin yahut yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.
NetamLoader, ziyanlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Akabinde yürütmeyi yasal bir Windows sürecine taşıyarak ziyanlı faaliyetin birinci programla ilişkilendirilmesini zorlaştırıyor. Ziyanlı yazılım çerçevesi ayrıyeten berbat maksatlı yazılım tarama fonksiyonlarından birine müdahale ediyor ve araştırmacıların saldırıyı yine oluşturmasına yardımcı olabilecek evrakları siliyor.
NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların denetimindeki bir sunucuyla irtibat kuruyor. Araştırmacıların incelediği yapılandırma belgesinde, birinci temas kurulmadan evvel 20 ila 40 dakikalık bir bekleme mühleti bulunuyor. Sunucudan geçerli bir cevap alınamazsa ziyanlı yazılım, tekrar denemeden evvel 22 ila 28 saat bekliyor. Bu gecikmeler sebebiyle kısa müddetli izleme oturumlarında incelenebilecek ağ aktifliği çok sonlu kalabiliyor.
Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söylüyor: “Teknolojik egemenlik, birçok hükümet için öncelikli bahislerden biri hâline geldi. Bu alandaki çalışmalar çoklukla işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size denetim imkânı sağlıyor. Fakat bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği manasına da geliyor. Bu türlü bir ekosistemin olgunlaşması ise vakit alıyor. Bu olay, savunma gruplarının sırf her bir programın legal olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”
Kaspersky eserleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* isimleriyle tespit ediyor. Güvenlik ihlali göstergelerini (IoC) de içeren kapsamlı teknik rapora Securelist üzerinden ulaşılabilirsiniz.
Kaspersky, misal tehditlere karşı korunmak için şu tekliflerde bulunuyor:
- Kaspersky Threat Intelligence Services’tan yararlanın. Güncel tehdit akışlarına, davranış temelli güvenlik ihlali göstergelerine (IoC) ve detaylı tehdit avcılığı raporlarına erişim sağlayan bu hizmetler, GReAT dahil Kaspersky araştırma gruplarının uzmanlığından yararlanıyor. Analistler, bu hadise da dahil olmak üzere şimdiki araştırmalardan elde edilen bilgilerle bilinmeyen örnekleri üretim ortamlarına ulaşmadan evvel inceleyebiliyor.
- Yazılım güncelleme kanallarını denetleyin. Saldırganlar ziyanlı paketi, Windows’un indirilen güncellemeler için kullandığı klasöre yerleştirdi. Bu sebeple kelam konusu klasörleri beklenmedik çalıştırılabilir belgeler ve yapılandırma belgeleri açısından izleyin. Her güncelleme paketinin kaynağını doğrulayın ve üçüncü taraf idare araçlarının sadece onaylanmış pozisyonlardan çalıştırılmasına müsaade verin.
- Kaspersky Next EDR Expert ile uç noktalardaki zımnî tehdit faaliyetlerini tespit edin. Bu tahlil; imzalı bir programın değiştirilmiş bir yapılandırma belgesi aracılığıyla kod yüklemesi, bir Windows sistem sürecinin harici sunucularla irtibat kurması ve berbat hedefli yazılım taramasına müdahale edilmesi üzere kuşkulu aktiflikleri ilişkilendirerek tahlil ediyor. Bu davranışlar başka farklı değerlendirildiğinde olağan sistem faaliyetleriyle karıştırılabilir.
- Kaspersky Anti Targeted Attack (KATA) ağ trafiğini izleyin. Platform, içerik dağıtım ağlarının (CDN) arkasına gizlenenler de dahil olmak üzere, tanınmayan harici sunucularla kurulan seyrek ve şifreli temasları tespit ediyor. Ayrıyeten grupların, temas denetimini saatler hatta günler boyunca erteleyen ziyanlı yazılımları izlemesine yardımcı oluyor.
- Kaspersky SIEM ile günlük kayıtlarını uç noktaların dışında saklayın. NetamLoader, sistem önbelleğindeki belgeleri, .NET kullanım günlüklerini ve güncelleme bileşeninin kayıtlarındaki muhakkak girdileri sildi. Günlük kayıtlarının merkezi olarak toplanması, saldırganların yok etmeye çalıştığı ispatların korunmasını sağlıyor. Ayrıyeten lokal kayıtlarda açıklanamayan boşlukların birer ihtara dönüştürülmesine yardımcı oluyor.
Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.
Kaynak: (BYZHA) Beyaz Haber Ajansı
