2 Kasım 2026
Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumlarının kullandığı özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı ortaya çıkardı. Saldırganlar, meşru yazılım bileşenlerinden yararlanarak daha önce bilinmeyen NetamLoader adlı kötü amaçlı yazılım altyapısını devreye soktu. Bu altyapı, faaliyetlerini gizlerken arka planda ek zararlı kodları indirip çalıştırabiliyor.
Kaspersky, tehdit izleme ağı üzerinden saldırının bir kurbanını tespit etti ancak saldırıyı bilinen herhangi bir tehdit grubuyla ilişkilendiremedi. Zararlı yazılım, söz konusu işletim sistemine özel olarak geliştirildi. Yaptığı işlemler arasında sistemin güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silmek de bulunuyor.
Araştırma, 2026’nın ilk yarısında Kaspersky’nin Windows güncelleme klasöründeki bir arşiv dosyasının içinde şüpheli bir yapılandırma dosyası tespit etmesiyle başladı. Arşivdeki programların çoğu meşru yazılımlardı. Bunlar arasında üçüncü taraf yama yönetimi aracı Patch My PC bileşenleri ve Microsoft tarafından imzalanmış bir modül de yer alıyordu. Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla bu yazılımların zararlı talimatları yüklemesini sağladı.
Arşivin bulunduğu konum ve içeriği, saldırganların hedeflerine ulaşmak için yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Bulgular, Patch My PC’nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.
NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Ardından yürütmeyi meşru bir Windows sürecine taşıyor ve böylece zararlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırıyor. Zararlı yazılım çerçevesi, kötü amaçlı yazılım tarama işlevlerinden birine müdahale ediyor ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.
Etkinleştikten sonra saldırganların kontrolündeki bir sunucuyla iletişim kuran NetamLoader, ek talimatlar ve yapılandırma değişiklikleri alıyor. Araştırmacıların incelediği yapılandırma dosyasında, ilk bağlantı kurulmadan önce 20 ila 40 dakikalık bekleme süresi bulunuyor. Sunucudan geçerli bir yanıt alınamazsa zararlı yazılım, yeniden denemeden önce 22 ila 28 saat bekliyor. Bu gecikmeler, kısa süreli izleme oturumlarında incelenebilecek ağ etkinliğini oldukça sınırlı hâle getirebiliyor.
Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söylüyor: “Teknolojik egemenlik, birçok hükümet için öncelikli konulardan biri hâline geldi. Bu alandaki çalışmalar genellikle işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size kontrol imkânı sağlıyor. Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması ise zaman alıyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”
Kaspersky ürünleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* adlarıyla tespit ediyor. Güvenlik ihlali göstergelerini (IoC) içeren kapsamlı teknik rapora Securelist üzerinden ulaşılabiliyor.
Kaspersky Threat Intelligence Services’tan yararlanın. Güncel tehdit akışlarına, davranış temelli güvenlik ihlali göstergelerine (IoC) ve ayrıntılı tehdit avcılığı raporlarına erişim sağlayan bu hizmetler, GReAT dâhil Kaspersky araştırma ekiplerinin uzmanlığından yararlanıyor. Analistler, bu vaka da dâhil olmak üzere güncel araştırmalardan elde edilen verilerle bilinmeyen örnekleri üretim ortamlarına ulaşmadan önce inceleyebiliyor.
Yazılım güncelleme kanallarını denetleyin. Saldırganlar zararlı paketi, Windows’un indirilen güncellemeler için kullandığı klasöre yerleştirdi. Bu nedenle söz konusu klasörleri beklenmedik çalıştırılabilir dosyalar ve yapılandırma dosyaları açısından izleyin. Her güncelleme paketinin kaynağını doğrulayın ve üçüncü taraf yönetim araçlarının yalnızca onaylanmış konumlardan çalıştırılmasına izin verin.
Kaspersky Next EDR Expert ile uç noktalardaki gizli tehdit faaliyetlerini tespit edin. Bu çözüm; imzalı bir programın değiştirilmiş bir yapılandırma dosyası aracılığıyla kod yüklemesi, bir Windows sistem sürecinin harici sunucularla bağlantı kurması ve kötü amaçlı yazılım taramasına müdahale edilmesi gibi şüpheli etkinlikleri ilişkilendirerek analiz ediyor. Bu davranışlar ayrı ayrı değerlendirildiğinde olağan sistem faaliyetleriyle karıştırılabilir.
Kaspersky Anti Targeted Attack (KATA) ile ağ trafiğini izleyin. Platform, içerik dağıtım ağlarının (CDN) arkasına gizlenenler de dâhil olmak üzere tanınmayan harici sunucularla kurulan seyrek ve şifreli bağlantıları tespit ediyor. Ayrıca ekiplerin, bağlantı kontrolünü saatler hatta günler boyunca erteleyen zararlı yazılımları izlemesine yardımcı oluyor.
Kaspersky SIEM ile günlük kayıtlarını uç noktaların dışında saklayın. NetamLoader; sistem önbelleğindeki dosyaları, .NET kullanım günlüklerini ve güncelleme bileşeninin kayıtlarındaki belirli girdileri sildi. Günlük kayıtlarının merkezi olarak toplanması, saldırganların yok etmeye çalıştığı kanıtların korunmasını sağlıyor ve yerel kayıtlardaki açıklanamayan boşlukların uyarıya dönüştürülmesine yardımcı oluyor.
Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.
2008 yılında kurulan Küresel Araştırma ve Analiz Ekibi (GReAT), Kaspersky’nin araştırma faaliyetlerinin merkezinde yer alıyor. Ekip; dünya genelinde gelişmiş kalıcı tehditleri (APT), siber casusluk kampanyalarını, büyük ölçekli zararlı yazılımları ve fidye yazılımlarını araştırıyor, yeraltı siber suç dünyasındaki eğilimleri ortaya çıkarıyor.
Avrupa, Rusya, Latin Amerika, Asya ve Orta Doğu’da faaliyet gösteren 35’ten fazla uzmandan oluşan GReAT, kötü amaçlı yazılımlara yönelik araştırma ve inovasyon alanlarında şirkete uzmanlık sağlıyor. Ekibin güvenlik alanında deneyimli profesyonelleri, siber tehditleri keşfetmek ve analiz etmek için uzmanlıklarını, tutkularını ve meraklarını bir araya getiriyor.
1997 yılında kurulan Kaspersky, küresel bir siber güvenlik ve dijital gizlilik şirketidir. Bugüne kadar bir milyardan fazla cihazı yeni ortaya çıkan siber tehditlere ve hedefli saldırılara karşı koruyan şirketin tehdit istihbaratı ve güvenlik uzmanlığı; bireyleri, işletmeleri, kritik altyapıları ve devletleri korumaya yönelik yenilikçi çözümlere ve hizmetlere dönüşüyor.
Şirketin güvenlik portföyü; kişisel cihazlar için dijital yaşam korumasını, şirketlere yönelik güvenlik ürünleri ve hizmetlerini ve gelişen dijital tehditlerle mücadele etmek için Cyber Immune çözümlerini içeriyor. Kaspersky, milyonlarca bireyin ve yaklaşık 200.000 kurumsal müşterinin kendileri için en önemli şeyleri korumasına yardımcı oluyor.
