Kaspersky‘nin Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı gün yüzüne çıkardı. Kaspersky’nin açıklamasına göre saldırganlar, meşru yazılım bileşenlerinden faydalanarak daha önce bilinmeyen “NetamLoader” adlı kötü amaçlı yazılım altyapısını devreye soktu.
- Araştırma, 2026’nın ilk yarısında Windows güncelleme klasöründe bulunan şüpheli bir yapılandırma dosyasının tespitiyle başladı.
- Saldırı, Patch My PC’nin bileşenleri dahil meşru yazılımların değiştirilmiş yardımcı dosyalar aracılığıyla kötüye kullanılmasına dayanıyor.
- NetamLoader etkinleştikten sonra ilk bağlantı öncesi 20-40 dakika, başarısız denemeler arasında ise 22-28 saat bekliyor.
Saldırı nasıl işliyor?
Kaspersky’nin açıklamasına göre, arşivin bulunduğu konum ve içeriği, saldırganların yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor. Araştırmacılar arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi; elde edilen bulgular Patch My PC’nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.
- NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor.
- Yürütmeyi meşru bir Windows sürecine taşıyarak ilk programla ilişkilendirilmesini zorlaştırıyor.
- Kötü amaçlı yazılım tarama işlevlerinden birine müdahale ediyor ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.
Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söylüyor:
Teknolojik egemenlik, birçok hükümet için öncelikli konulardan biri hâline geldi. Bu alandaki çalışmalar genellikle işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size kontrol imkânı sağlıyor. Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.
Kurumlar kendini nasıl koruyabilir?
- Yazılım güncelleme kanallarının denetlenmesi ve indirilen güncelleme klasörlerinin beklenmedik dosyalara karşı izlenmesi
- Her güncelleme paketinin kaynağının doğrulanması, üçüncü taraf yönetim araçlarının yalnızca onaylanmış konumlardan çalıştırılmasına izin verilmesi
- Uç noktalardaki şüpheli etkinlik korelasyonu ve ağ trafiğinde seyrek, şifreli bağlantıların izlenmesi için EDR, KATA ve SIEM çözümlerinden yararlanılması
Kaspersky ürünleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* adlarıyla tespit ediyor. Kaspersky Küresel Araştırma ve Analiz Ekibi, araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.