Kısaca: Kaspersky, Asya’daki devlet kurumlarının kullandığı özel bir Windows 10 sürümünü hedef alan, daha önce bilinmeyen bir zararlı yazılım çerçevesini (NetamLoader) duyurdu. Saldırının arkasındaki grup bilinmiyor ve yalnızca bir kurbanın tespit edildiği belirtiliyor.
Ne oldu?
- Kaspersky, 2026’nın ilk yarısında bir CAB dosyası (Windows’un güncelleme paketlerinde kullandığı sıkıştırılmış arşiv) tespit etti. Dosya, Windows güncelleme paketlerinin tutulduğu klasöre yerleştirilmişti.
- Arşivde yedi dosya vardı. Dördü, uç nokta yönetim yazılımı Patch My PC’nin gerçek bileşenleriydi. Bunlardan biri olan “PatchMyPC-ScriptRunner.exe” saldırının başlangıç noktası olarak kullanıldı.
- Saldırganlar AppDomainManager enjeksiyonu denen yöntemi kullandı. Bu yöntemle .NET uygulaması açılırken zararlı kod, meşru bir programın içinde çalıştırılıyor ve fark edilmesi zorlaşıyor.
- Zararlı kod çok katmanlı, şifreli ve sıkıştırılmış parçalardan oluşuyor. Bu parçalar sırayla açılıyor, “dllhost.exe” süreci içinde çalışıyor ve izleri silmeye çalışıyor.
- Yazılım, komut sunucusuna (saldırganın uzaktan talimat verdiği sunucu) ilk bağlantıyı 20-40 dakikalık rastgele bir bekleyişten sonra kuruyor. Sunucu adresi olarak “openaigpt4v[.]com” belirtildi.
- Kaspersky, olayın bir tedarik zinciri saldırısı (güvenilen bir üçüncü taraf satıcı üzerinden kullanıcılara ulaşma) olabileceğinden şüpheleniyor. CAB dosyasının sisteme tam olarak nasıl ulaştığı ise bilinmiyor.
Neden önemli?
- Saldırı, yalnızca devlet kurumlarının kullandığı özel bir Windows 10 sürümünü hedef alıyor. Haberde, ülkenin açıklanmadığı ama Çin olabileceğine dair işaretler bulunduğu belirtiliyor.
- Meşru yazılımların içine gizlenen bu tür teknikler, güvenlik araçlarının işini zorlaştırabiliyor. Ayrıca saldırının veri çalıp çalmadığı ve birden fazla sisteme bulaşıp bulaşmadığı belli değil.
Ne yapmalısın?
- Sıradan kullanıcı için doğrudan bir risk bildirilmedi. Yine de Windows ve kullandığın programları yalnızca resmi kaynaklardan güncelle.
- Kurumunda Patch My PC gibi yönetim yazılımları kullanılıyorsa, bunların güncelleme kanallarını ve tedarikçi bağlantılarını kontrol et.
- Güvenlik ekiplerinin, “C:\Windows\SoftwareDistribution\Download” klasöründe alışılmadık dosyalara, beklenmeyen “.config” dosyalarına ve “openaigpt4v[.]com” adresine giden trafiğe bakması mantıklı olur.
- Güvenlik yazılımlarını güncel tut ve şüpheli bir davranış görürsen BT birimine bildir.
Kaynak: The Hacker News, 1 Kasım. Kontrol tarihi: 2 Kasım 2026.
Sen ne düşünüyorsun? Aşağıya yaz.