Kaspersky GReAT, Asya’da yalnızca devlet kurumlarının kullandığı Windows sistemini hedef alan bir saldırı tespit etti

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı gün yüzüne çıkardı. Saldırganlar, meşru yazılım bileşenlerinden faydalanarak daha önce bilinmeyen “NetamLoader” adlı kötü amaçlı yazılım altyapısını devreye soktu. Bu altyapı, faaliyetlerini gizlerken arka planda ek zararlı kodları alıp çalıştırma kabiliyetine sahip.

Kaspersky, tehdit izleme ağı üzerinden saldırının bir kurbanını tespit etti. Saldırıyı bilinen herhangi bir tehdit grubuyla ilişkilendiremedi. Zararlı yazılım, söz konusu işletim sistemine özel olarak geliştirildi. Yaptığı işlemler arasında, sistemin kendi güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silmek de bulunuyor.

Araştırma, 2026’nın ilk yarısında Kaspersky’nin Windows güncelleme klasöründe bulunan bir arşiv dosyasının içindeki şüpheli bir yapılandırma dosyasını tespit etmesiyle başladı. Arşivdeki programların çoğu, üçüncü taraf yama yönetimi aracı Patch My PC’nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere meşru yazılımlardı. Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla bu yazılımların zararlı talimatları yüklemesini sağladı.

Arşivin bulunduğu konum ve içeriği, saldırganların hedeflerine ulaşmak için yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Ayrıca elde edilen bulgular, Patch My PC’nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.

NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Ardından yürütmeyi meşru bir Windows sürecine taşıyarak zararlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırıyor. Zararlı yazılım çerçevesi ayrıca kötü amaçlı yazılım tarama işlevlerinden birine müdahale ediyor ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.

NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların kontrolündeki bir sunucuyla iletişim kuruyor. Araştırmacıların incelediği yapılandırma dosyasında, ilk bağlantı kurulmadan önce 20 ila 40 dakikalık bir bekleme süresi bulunuyor. Sunucudan geçerli bir yanıt alınamazsa zararlı yazılım, yeniden denemeden önce 22 ila 28 saat bekliyor. Bu gecikmeler nedeniyle kısa süreli izleme oturumlarında incelenebilecek ağ etkinliği çok sınırlı kalabiliyor.

Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söylüyor: “Teknolojik egemenlik, birçok hükümet için öncelikli konulardan biri hâline geldi. Bu alandaki çalışmalar genellikle işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size kontrol imkânı sağlıyor. Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması ise zaman alıyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”

Kaspersky ürünleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* adlarıyla tespit ediyor. Güvenlik ihlali göstergelerini (IoC) de içeren kapsamlı teknik rapora Securelist üzerinden ulaşılabilirsiniz.

Kaspersky, benzer tehditlere karşı korunmak için şu önerilerde bulunuyor:

• Kaspersky Threat Intelligence Services’tan yararlanın. Güncel tehdit akışlarına, davranış temelli güvenlik ihlali göstergelerine (IoC) ve ayrıntılı tehdit avcılığı raporlarına erişim sağlayan bu hizmetler, GReAT dahil Kaspersky araştırma ekiplerinin uzmanlığından yararlanıyor. Analistler, bu vaka da dahil olmak üzere güncel araştırmalardan elde edilen verilerle bilinmeyen örnekleri üretim ortamlarına ulaşmadan önce inceleyebiliyor.
• Yazılım güncelleme kanallarını denetleyin. Saldırganlar zararlı paketi, Windows’un indirilen güncellemeler için kullandığı klasöre yerleştirdi. Bu nedenle söz konusu klasörleri beklenmedik çalıştırılabilir dosyalar ve yapılandırma dosyaları açısından izleyin. Her güncelleme paketinin kaynağını doğrulayın ve üçüncü taraf yönetim araçlarının yalnızca onaylanmış konumlardan çalıştırılmasına izin verin.
• Kaspersky Next EDR Expert ile uç noktalardaki gizli tehdit faaliyetlerini tespit edin. Bu çözüm; imzalı bir programın değiştirilmiş bir yapılandırma dosyası aracılığıyla kod yüklemesi, bir Windows sistem sürecinin harici sunucularla bağlantı kurması ve kötü amaçlı yazılım taramasına müdahale edilmesi gibi şüpheli etkinlikleri ilişkilendirerek analiz ediyor. Bu davranışlar ayrı ayrı değerlendirildiğinde olağan sistem faaliyetleriyle karıştırılabilir.
• Kaspersky Anti Targeted Attack (KATA) ağ trafiğini izleyin. Platform, içerik dağıtım ağlarının (CDN) arkasına gizlenenler de dahil olmak üzere, tanınmayan harici sunucularla kurulan seyrek ve şifreli bağlantıları tespit ediyor. Ayrıca ekiplerin, bağlantı kontrolünü saatler hatta günler boyunca erteleyen zararlı yazılımları izlemesine yardımcı oluyor.
• Kaspersky SIEM ile günlük kayıtlarını uç noktaların dışında saklayın. NetamLoader, sistem önbelleğindeki dosyaları, .NET kullanım günlüklerini ve güncelleme bileşeninin kayıtlarındaki belirli girdileri sildi. Günlük kayıtlarının merkezi olarak toplanması, saldırganların yok etmeye çalıştığı kanıtların korunmasını sağlıyor. Ayrıca yerel kayıtlarda açıklanamayan boşlukların birer uyarıya dönüştürülmesine yardımcı oluyor.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı gün yüzüne çıkardı. Saldırganlar, meşru yazılım bileşenlerinden faydalanarak daha önce bilinmeyen “NetamLoader” adlı kötü amaçlı yazılım altyapısını devreye soktu. Bu altyapı, faaliyetlerini gizlerken arka planda ek zararlı kodları alıp çalıştırma kabiliyetine sahip.

Kaspersky, tehdit izleme ağı üzerinden saldırının bir kurbanını tespit etti. Saldırıyı bilinen herhangi bir tehdit grubuyla ilişkilendiremedi. Zararlı yazılım, söz konusu işletim sistemine özel olarak geliştirildi. Yaptığı işlemler arasında, sistemin kendi güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silmek de bulunuyor.

Araştırma, 2026’nın ilk yarısında Kaspersky’nin Windows güncelleme klasöründe bulunan bir arşiv dosyasının içindeki şüpheli bir yapılandırma dosyasını tespit etmesiyle başladı. Arşivdeki programların çoğu, üçüncü taraf yama yönetimi aracı Patch My PC’nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere meşru yazılımlardı. Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla bu yazılımların zararlı talimatları yüklemesini sağladı.

Arşivin bulunduğu konum ve içeriği, saldırganların hedeflerine ulaşmak için yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Ayrıca elde edilen bulgular, Patch My PC’nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.

NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Ardından yürütmeyi meşru bir Windows sürecine taşıyarak zararlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırıyor. Zararlı yazılım çerçevesi ayrıca kötü amaçlı yazılım tarama işlevlerinden birine müdahale ediyor ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.

NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların kontrolündeki bir sunucuyla iletişim kuruyor. Araştırmacıların incelediği yapılandırma dosyasında, ilk bağlantı kurulmadan önce 20 ila 40 dakikalık bir bekleme süresi bulunuyor. Sunucudan geçerli bir yanıt alınamazsa zararlı yazılım, yeniden denemeden önce 22 ila 28 saat bekliyor. Bu gecikmeler nedeniyle kısa süreli izleme oturumlarında incelenebilecek ağ etkinliği çok sınırlı kalabiliyor.

Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söylüyor: “Teknolojik egemenlik, birçok hükümet için öncelikli konulardan biri hâline geldi. Bu alandaki çalışmalar genellikle işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size kontrol imkânı sağlıyor. Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması ise zaman alıyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”

Kaspersky ürünleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* adlarıyla tespit ediyor. Güvenlik ihlali göstergelerini (IoC) de içeren kapsamlı teknik rapora Securelist üzerinden ulaşılabilirsiniz.

Kaspersky, benzer tehditlere karşı korunmak için şu önerilerde bulunuyor:

• Kaspersky Threat Intelligence Services’tan yararlanın. Güncel tehdit akışlarına, davranış temelli güvenlik ihlali göstergelerine (IoC) ve ayrıntılı tehdit avcılığı raporlarına erişim sağlayan bu hizmetler, GReAT dahil Kaspersky araştırma ekiplerinin uzmanlığından yararlanıyor. Analistler, bu vaka da dahil olmak üzere güncel araştırmalardan elde edilen verilerle bilinmeyen örnekleri üretim ortamlarına ulaşmadan önce inceleyebiliyor.
• Yazılım güncelleme kanallarını denetleyin. Saldırganlar zararlı paketi, Windows’un indirilen güncellemeler için kullandığı klasöre yerleştirdi. Bu nedenle söz konusu klasörleri beklenmedik çalıştırılabilir dosyalar ve yapılandırma dosyaları açısından izleyin. Her güncelleme paketinin kaynağını doğrulayın ve üçüncü taraf yönetim araçlarının yalnızca onaylanmış konumlardan çalıştırılmasına izin verin.
• Kaspersky Next EDR Expert ile uç noktalardaki gizli tehdit faaliyetlerini tespit edin. Bu çözüm; imzalı bir programın değiştirilmiş bir yapılandırma dosyası aracılığıyla kod yüklemesi, bir Windows sistem sürecinin harici sunucularla bağlantı kurması ve kötü amaçlı yazılım taramasına müdahale edilmesi gibi şüpheli etkinlikleri ilişkilendirerek analiz ediyor. Bu davranışlar ayrı ayrı değerlendirildiğinde olağan sistem faaliyetleriyle karıştırılabilir.
• Kaspersky Anti Targeted Attack (KATA) ağ trafiğini izleyin. Platform, içerik dağıtım ağlarının (CDN) arkasına gizlenenler de dahil olmak üzere, tanınmayan harici sunucularla kurulan seyrek ve şifreli bağlantıları tespit ediyor. Ayrıca ekiplerin, bağlantı kontrolünü saatler hatta günler boyunca erteleyen zararlı yazılımları izlemesine yardımcı oluyor.
• Kaspersky SIEM ile günlük kayıtlarını uç noktaların dışında saklayın. NetamLoader, sistem önbelleğindeki dosyaları, .NET kullanım günlüklerini ve güncelleme bileşeninin kayıtlarındaki belirli girdileri sildi. Günlük kayıtlarının merkezi olarak toplanması, saldırganların yok etmeye çalıştığı kanıtların korunmasını sağlıyor. Ayrıca yerel kayıtlarda açıklanamayan boşlukların birer uyarıya dönüştürülmesine yardımcı oluyor.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.

Kaynak: (BYZHA) Beyaz Haber Ajansı