Kaspersky GReAT, Asya’da sırf devlet kurumlarının kullandığı Windows sistemini gaye alan bir akın tespit etti

0

BEĞENDİM

ABONE OL

News

0

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde sadece kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü amaç alan siber saldırıyı gün yüzüne çıkardı. Saldırganlar, yasal yazılım bileşenlerinden faydalanarak daha evvel bilinmeyen “NetamLoader” isimli berbat hedefli yazılım altyapısını devreye soktu. Bu altyapı, faaliyetlerini gizlerken arka planda ek ziyanlı kodları alıp çalıştırma yeteneğine sahip.

Kaspersky, tehdit izleme ağı üzerinden hücumun bir kurbanını tespit etti. Saldırıyı bilinen rastgele bir tehdit kümesiyle ilişkilendiremedi. Ziyanlı yazılım, kelam konusu işletim sistemine özel olarak geliştirildi. Yaptığı süreçler arasında, sistemin kendi güncelleme bileşenine ilişkin günlük kayıtlarındaki muhakkak girdileri silmek de bulunuyor.

Araştırma, 2026’nın birinci yarısında Kaspersky’nin Windows güncelleme klasöründe bulunan bir arşiv evrakının içindeki kuşkulu bir yapılandırma evrakını tespit etmesiyle başladı. Arşivdeki programların birden fazla, üçüncü taraf yama idaresi aracı Patch My PC’nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere yasal yazılımlardı. Saldırganlar, değiştirilmiş yardımcı belgeler aracılığıyla bu yazılımların ziyanlı talimatları yüklemesini sağladı.

Arşivin bulunduğu pozisyon ve içeriği, saldırganların amaçlarına ulaşmak için yazılımların dağıtım yahut güncelleme süreçlerini berbata kullandığı muhtemel bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Ayrıyeten elde edilen bulgular, Patch My PC’nin yahut yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.

NetamLoader, ziyanlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Akabinde yürütmeyi yasal bir Windows sürecine taşıyarak ziyanlı faaliyetin birinci programla ilişkilendirilmesini zorlaştırıyor. Ziyanlı yazılım çerçevesi ayrıyeten berbat hedefli yazılım tarama fonksiyonlarından birine müdahale ediyor ve araştırmacıların saldırıyı tekrar oluşturmasına yardımcı olabilecek belgeleri siliyor.

NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların denetimindeki bir sunucuyla bağlantı kuruyor. Araştırmacıların incelediği yapılandırma belgesinde, birinci ilişki kurulmadan evvel 20 ila 40 dakikalık bir bekleme mühleti bulunuyor. Sunucudan geçerli bir cevap alınamazsa ziyanlı yazılım, yine denemeden evvel 22 ila 28 saat bekliyor. Bu gecikmeler sebebiyle kısa vadeli izleme oturumlarında incelenebilecek ağ aktifliği çok sonlu kalabiliyor.

Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söylüyor: “Teknolojik egemenlik, birçok hükümet için öncelikli bahislerden biri hâline geldi. Bu alandaki çalışmalar ekseriyetle işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size denetim imkânı sağlıyor. Fakat bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği manasına da geliyor. Bu türlü bir ekosistemin olgunlaşması ise vakit alıyor. Bu olay, savunma gruplarının sadece her bir programın yasal olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”

Kaspersky eserleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* isimleriyle tespit ediyor. Güvenlik ihlali göstergelerini (IoC) de içeren kapsamlı teknik rapora Securelist üzerinden ulaşılabilirsiniz.

Kaspersky, benzeri tehditlere karşı korunmak için şu tekliflerde bulunuyor:

• Kaspersky Threat Intelligence Services’tan yararlanın. Güncel tehdit akışlarına, davranış temelli güvenlik ihlali göstergelerine (IoC) ve detaylı tehdit avcılığı raporlarına erişim sağlayan bu hizmetler, GReAT dahil Kaspersky araştırma gruplarının uzmanlığından yararlanıyor. Analistler, bu olay da dahil olmak üzere şimdiki araştırmalardan elde edilen datalarla bilinmeyen örnekleri üretim ortamlarına ulaşmadan evvel inceleyebiliyor.
• Yazılım güncelleme kanallarını denetleyin. Saldırganlar ziyanlı paketi, Windows’un indirilen güncellemeler için kullandığı klasöre yerleştirdi. Bu sebeple kelam konusu klasörleri beklenmedik çalıştırılabilir evraklar ve yapılandırma evrakları açısından izleyin. Her güncelleme paketinin kaynağını doğrulayın ve üçüncü taraf idare araçlarının sırf onaylanmış pozisyonlardan çalıştırılmasına müsaade verin.
• Kaspersky Next EDR Expert ile uç noktalardaki saklı tehdit faaliyetlerini tespit edin. Bu tahlil; imzalı bir programın değiştirilmiş bir yapılandırma belgesi aracılığıyla kod yüklemesi, bir Windows sistem sürecinin harici sunucularla irtibat kurması ve berbat emelli yazılım taramasına müdahale edilmesi üzere kuşkulu aktiflikleri ilişkilendirerek tahlil ediyor. Bu davranışlar başka ayrı değerlendirildiğinde olağan sistem faaliyetleriyle karıştırılabilir.
• Kaspersky Anti Targeted Attack (KATA) ağ trafiğini izleyin. Platform, içerik dağıtım ağlarının (CDN) arkasına gizlenenler de dahil olmak üzere, tanınmayan harici sunucularla kurulan seyrek ve şifreli irtibatları tespit ediyor. Ayrıyeten takımların, ilişki denetimini saatler hatta günler boyunca erteleyen ziyanlı yazılımları izlemesine yardımcı oluyor.
• Kaspersky SIEM ile günlük kayıtlarını uç noktaların dışında saklayın. NetamLoader, sistem önbelleğindeki belgeleri, .NET kullanım günlüklerini ve güncelleme bileşeninin kayıtlarındaki muhakkak girdileri sildi. Günlük kayıtlarının merkezi olarak toplanması, saldırganların yok etmeye çalıştığı ispatların korunmasını sağlıyor. Ayrıyeten lokal kayıtlarda açıklanamayan boşlukların birer ihtara dönüştürülmesine yardımcı oluyor.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde sadece kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü amaç alan siber saldırıyı gün yüzüne çıkardı. Saldırganlar, legal yazılım bileşenlerinden faydalanarak daha evvel bilinmeyen “NetamLoader” isimli berbat hedefli yazılım altyapısını devreye soktu. Bu altyapı, faaliyetlerini gizlerken arka planda ek ziyanlı kodları alıp çalıştırma yeteneğine sahip.

Kaspersky, tehdit izleme ağı üzerinden hücumun bir kurbanını tespit etti. Saldırıyı bilinen rastgele bir tehdit kümesiyle ilişkilendiremedi. Ziyanlı yazılım, kelam konusu işletim sistemine özel olarak geliştirildi. Yaptığı süreçler arasında, sistemin kendi güncelleme bileşenine ilişkin günlük kayıtlarındaki belli girdileri silmek de bulunuyor.

Araştırma, 2026’nın birinci yarısında Kaspersky’nin Windows güncelleme klasöründe bulunan bir arşiv evrakının içindeki kuşkulu bir yapılandırma evrakını tespit etmesiyle başladı. Arşivdeki programların birden fazla, üçüncü taraf yama idaresi aracı Patch My PC’nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere yasal yazılımlardı. Saldırganlar, değiştirilmiş yardımcı evraklar aracılığıyla bu yazılımların ziyanlı talimatları yüklemesini sağladı.

Arşivin bulunduğu pozisyon ve içeriği, saldırganların gayelerine ulaşmak için yazılımların dağıtım yahut güncelleme süreçlerini berbata kullandığı mümkün bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Ayrıyeten elde edilen bulgular, Patch My PC’nin yahut yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.

NetamLoader, ziyanlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Akabinde yürütmeyi legal bir Windows sürecine taşıyarak ziyanlı faaliyetin birinci programla ilişkilendirilmesini zorlaştırıyor. Ziyanlı yazılım çerçevesi ayrıyeten berbat maksatlı yazılım tarama fonksiyonlarından birine müdahale ediyor ve araştırmacıların saldırıyı yine oluşturmasına yardımcı olabilecek belgeleri siliyor.

NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların denetimindeki bir sunucuyla bağlantı kuruyor. Araştırmacıların incelediği yapılandırma evrakında, birinci irtibat kurulmadan evvel 20 ila 40 dakikalık bir bekleme mühleti bulunuyor. Sunucudan geçerli bir karşılık alınamazsa ziyanlı yazılım, yine denemeden evvel 22 ila 28 saat bekliyor. Bu gecikmeler sebebiyle kısa periyodik izleme oturumlarında incelenebilecek ağ aktifliği çok hudutlu kalabiliyor.

Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söylüyor: “Teknolojik egemenlik, birçok hükümet için öncelikli hususlardan biri hâline geldi. Bu alandaki çalışmalar çoklukla işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size denetim imkânı sağlıyor. Fakat bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği manasına da geliyor. Bu türlü bir ekosistemin olgunlaşması ise vakit alıyor. Bu hadise, savunma takımlarının sadece her bir programın yasal olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”

Kaspersky eserleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* isimleriyle tespit ediyor. Güvenlik ihlali göstergelerini (IoC) de içeren kapsamlı teknik rapora Securelist üzerinden ulaşılabilirsiniz.

Kaspersky, benzeri tehditlere karşı korunmak için şu tekliflerde bulunuyor:

• Kaspersky Threat Intelligence Services’tan yararlanın. Güncel tehdit akışlarına, davranış temelli güvenlik ihlali göstergelerine (IoC) ve detaylı tehdit avcılığı raporlarına erişim sağlayan bu hizmetler, GReAT dahil Kaspersky araştırma gruplarının uzmanlığından yararlanıyor. Analistler, bu hadise da dahil olmak üzere aktüel araştırmalardan elde edilen datalarla bilinmeyen örnekleri üretim ortamlarına ulaşmadan evvel inceleyebiliyor.
• Yazılım güncelleme kanallarını denetleyin. Saldırganlar ziyanlı paketi, Windows’un indirilen güncellemeler için kullandığı klasöre yerleştirdi. Bu sebeple kelam konusu klasörleri beklenmedik çalıştırılabilir belgeler ve yapılandırma belgeleri açısından izleyin. Her güncelleme paketinin kaynağını doğrulayın ve üçüncü taraf idare araçlarının sadece onaylanmış pozisyonlardan çalıştırılmasına müsaade verin.
• Kaspersky Next EDR Expert ile uç noktalardaki kapalı tehdit faaliyetlerini tespit edin. Bu tahlil; imzalı bir programın değiştirilmiş bir yapılandırma belgesi aracılığıyla kod yüklemesi, bir Windows sistem sürecinin harici sunucularla ilişki kurması ve berbat hedefli yazılım taramasına müdahale edilmesi üzere kuşkulu aktiflikleri ilişkilendirerek tahlil ediyor. Bu davranışlar farklı başka değerlendirildiğinde olağan sistem faaliyetleriyle karıştırılabilir.
• Kaspersky Anti Targeted Attack (KATA) ağ trafiğini izleyin. Platform, içerik dağıtım ağlarının (CDN) arkasına gizlenenler de dahil olmak üzere, tanınmayan harici sunucularla kurulan seyrek ve şifreli ilişkileri tespit ediyor. Ayrıyeten takımların, ilişki denetimini saatler hatta günler boyunca erteleyen ziyanlı yazılımları izlemesine yardımcı oluyor.
• Kaspersky SIEM ile günlük kayıtlarını uç noktaların dışında saklayın. NetamLoader, sistem önbelleğindeki evrakları, .NET kullanım günlüklerini ve güncelleme bileşeninin kayıtlarındaki muhakkak girdileri sildi. Günlük kayıtlarının merkezi olarak toplanması, saldırganların yok etmeye çalıştığı ispatların korunmasını sağlıyor. Ayrıyeten lokal kayıtlarda açıklanamayan boşlukların birer ihtara dönüştürülmesine yardımcı oluyor.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.

Kaynak: (BYZHA) Beyaz Haber Ajansı