EvilTokens, Microsoft 365 hesaplarını ele geçirmek üzere geliştirilmiş bir kimlik avı hizmeti kiti. Bu kiti kullanan saldırılar, cihaz kodu kimlik avına dayandığından, kurbanların parolalarını girecekleri gerçek oturum açma sayfalarının ikna edici kopyalarına ihtiyaç duymuyorlar. Bunun yerine saldırganlar, kurbanı gerçek bir Microsoft oturum açma sayfasında iki faktörlü kimlik doğrulama (2FA) dâhil olmak üzere meşru bir kimlik doğrulama sürecini tamamlamaya yönlendiriyor. 

Siber suçlular tarafından hızla benimsenen bu araç setinin 2026 yılının Mart ayında çeşitli ülkelerdeki 340’tan fazla kuruluşu hedef alan bir kampanya da dâhil olmak üzere, bir dizi hesap ele geçirme ve kurumsal e-posta dolandırıcılığı (BEC) saldırısında kullanıldığı tespit edildi. 

EvilTokens’ı kullanan saldırılar nasıl gerçekleşiyor?

• Saldırının öncesinde, kötü niyetli kişilerin önce hedef hesabın aktif olup olmadığını doğruladığı bir “keşif” aşaması yer alır. Microsoft, bu keşif aşamasının gerçek kimlik avı girişiminden 10 ila 15 gün önce gerçekleştirildiğini gözlemlemiştir.
• Mağdur, genellikle fatura, paylaşılan belge, takvim daveti veya SharePoint erişim isteği gibi görünen bir e-posta veya mesaj alır. Yem, güvenilir bir markayı taklit eden bir tuzak sayfası ile birlikte “Görüntülemek için doğrulayın” veya “İmza gereklidir” gibi basit ifadelerden oluşur. 
• Kurban bağlantıya tıkladığında, sayfa Microsoft’tan bir kod ister. Kod yalnızca 15 dakika boyunca geçerlidir; bu nedenle burada zaman ve zamanlama hayati önem taşır.
• Sayfa, kurbana kodu gösterir ve onu Microsoft’un gerçek microsoft.com/devicelogin oturum açma portalına yönlendirir. İşin püf noktası, kodun saldırganının oturumuna ait olmasıdır; bu nedenle kurban, farkında olmadan kendi cihazını değil, saldırganın cihazını yetkilendirir.
• Geçerli bir oturum açma bilgisi algıladığında Microsoft, saldırgan tarafından açılan oturuma erişim ve yenileme jetonları verir. Sisteme girdikten sonra suçlular, kurumsal e-postalara, dosyalara, Teams’e, SharePoint’e, OneDrive’a ve diğer Microsoft 365 kaynaklarına erişebilir ve verileri sızdırabilir ya da BEC saldırıları hazırlayabilir. Bu nedenle finans, İK, lojistik ve satış hesapları saldırganların büyük ilgisini çekmektedir. 

EvilTokens’tan korunmak için öenmli ipuçları

• Kimlik doğrulama kodu için gelen beklenmedik talepleri şüpheli olarak değerlendirin. Hiçbir belge, fatura, e-posta veya başka bir platform, açık bir neden olmaksızın cihaz kodunuzu istememelidir. Talep aniden gelirse bunu işvereninizin BT veya güvenlik ekibine bildirin.
• Bağlam, sayfadan daha önemlidir. Herhangi bir oturum açma isteğini onaylamadan önce, erişim isteyen uygulamanın hangisi olduğunu, hangi hesabın söz konusu olduğunu ve bu işlemi gerçekten sizin başlatıp başlatmadığınızı kontrol edin. Gerçek bir Microsoft sayfası, bir isteği otomatik olarak güvenli hâle getirmez.
• Kuruluşlar, gerekli olmadığı durumlarda cihaz kodu akışını tamamen kısıtlamalıdır. Microsoft, gerekli olmadığı durumlarda cihaz kodu akışını engellemek ve bunu belirli kullanıcılar, cihazlar, konumlar veya işletim sistemleriyle sınırlandırmak için Koşullu Erişim ilkelerinin uygulanmasını önerir.
• Olağan dışı cihaz kodu kimlik doğrulamalarına, tanıdık olmayan altyapılara, riskli oturum açma işlemlerine, şüpheli belirteç kullanımına ve yeni gelen kutusu kurallarına dikkat edin; bunların herhangi biri bir soruna işaret edebilir. 
• Güvenlik farkındalığı eğitimleri, saldırganların kullandığı en yeni hilelere ayak uydurmalıdır. Çalışanlar, modern kimlik avı saldırılarının her zaman sahte bir sayfaya parola girilmesini gerektirmediğini anlamalıdır. Bazen saldırgan, çalışanlardan gerçek bir sayfada gerçek bir kodu girmelerini isteyebilir ancak bu kod yanlış cihaz içindir.
• Beklenmedik bir cihaz kodu talebi alan çalışanlar, şirketlerinin BT veya güvenlik ekiplerini bilgilendirmelidir; bu ekipler oturum açma günlüklerini incelemek, oturumları iptal etmek, yenileme belirteçlerini geçersiz kılmak, kötü amaçlı gelen kutusu kurallarını kaldırmak ve güvenliği ihlal edilmiş hesabı geçici olarak devre dışı bırakmak zorunda kalabilir.

Yeni nesil kimlik avı saldırıları parolaya ihtiyaç duymuyor yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Başta endüstriyel sektör, satış ve kamu olmak üzere pek çok farklı iş kolundan çalışanlar bu saldırıların hedefinde yer alıyor. Saldırının temel amacı, kurumsal kaynaklara ait kullanıcı giriş bilgilerini çalmak. Kaspersky uzmanları, son 30 gün içinde bu yöntemin kullanıldığı; İngilizce, Korece ve Rusça dillerinde yazılmış 8.000’den fazla kimlik avı e-postası tespit etti.

Tencent EdgeOne Pages, yapay zekâ desteğiyle hızlı bir şekilde web uygulamaları tasarlama ve yayına alma platformu olarak konumlandırılıyor. Dolandırıcılar ise bu platformu suistimal ederek, neredeyse hiç web geliştirme becerisine ihtiyaç duymadan, dakikalar içinde kimlik avı sayfaları oluşturup yayımlayabiliyor.

Saldırganlar, sahte sayfaları EdgeOne’ın resmi bulut altyapısında barındırıyor ve güvenilir alan adları (domain) kullanıyor. Bunun bir sonucu olarak, söz konusu siteler birçok güvenlik yazılımı tarafından kurumsal ve güvenli olarak algılanıyor; bu da saldırıların tespit edilmesini ciddi şekilde zorlaştırıyor.

Saldırı Nasıl Başlıyor?

Kullanıcıya ilk olarak, sözde “kurumsal e-posta destek ekibi”nden gelmiş gibi görünen bir e-posta ulaşıyor. Mesajda, hesap giriş bilgilerinin geçerlilik süresinin 48 saat içinde dolacağı, bilgilerin güncellenmemesi durumunda e-posta alımında veya gönderiminde sorunlar yaşanabileceği belirtiliyor. Olası kısıtlamaların önüne geçmek için kullanıcının bir bağlantıya tıklaması ve gerekli bilgileri girmesi isteniyor. Elbette kimlik avı e-postaları sadece bu senaryoyla sınırlı kalmıyor; İK departmanından gelen bir bilgilendirme veya indirilmesi gereken bir belge bildirimi gibi herhangi bir kurumsal senaryo da bu saldırıya alet edilebiliyor.

E-postadaki bağlantıya tıklandığında, kurbanın adını, e-posta adresini ve şifresini girmesi için tasarlanmış bir form sayfası açılıyor. Bu sayfa, neredeyse hiçbir ek görsel unsur barındırmayan oldukça sade bir tasarıma sahip oluyor.

Saldırganların kimlik bilgilerini ele geçirmek için kurduğu sayfa

Kullanıcı adını ve şifresini girdikten sonra, bu veriler doğrudan saldırganların kontrolündeki bir sunucuya aktarılıyor.

Kaspersky Anti-Spam Uzmanı Roman Dedenok konuya ilişkin şu değerlendirmelerde bulunuyor:

“Saldırganların, kimlik avı altyapılarının bir parçası olarak yapay zekâ ve kodsuz (no-code) platformları kullanma eğiliminin devam ettiğini görüyoruz. Daha önce Bubble platformunu kullanan benzer bir yönteme şahit olmuştuk, şimdi ise karşımızda bunun bir başka örneği var. Bu kimlik avı saldırılarında kullanılan iletişim dili geçmişte defalarca gördüğümüz klasik bir senaryo olsa da, saldırı tekniğinin kendisi suçlular için giriş bariyerini önemli ölçüde düşürüyor ve sahte kaynakların oluşturulma sürecini hızlandırıyor. Eskiden bu iş için en azından temel düzeyde web geliştirme becerisi gerekirken, artık dolandırıcılık amaçlı e-posta altyapısı dakikalar içinde kurulabiliyor.”

Kaspersky, Güvende Kalmak İçin Şunları Öneriyor:

• Çalışanlarınızı Eğitin: Personelin, kurumsal kimlik bilgilerinin yalnızca şirkete ait doğrulanmış ve resmi platformlara girilmesi gerektiği konusunda bilinçlenmesini sağlayın.
• Güçlü Güvenlik Çözümleri Kullanın: Bilinen ve şüpheli kimlik avı adreslerine erişimi engellemek için kurumsal ağınızda güçlü güvenlik çözümleri devreye alın.
• E-posta Ağ Geçitlerini Güvenceye Alın: Zararlı mesajlara maruz kalma riskini azaltmak için e-posta ağ geçidi gateway) seviyesinde gelişmiş anti-phishing teknolojileri uygulayın.
• Tehdit İstihbaratından Yararlanın: Evrilen saldırgan tekniklerinden sürekli haberdar olun ve threat intelligence güvenlik operasyonlarınıza entegre edin.

Kaspersky, Popüler Bir Yapay Zekâ Destekli Web Geliştirme Platformunu Hedef Alan Yeni Bir Kurumsal Kimlik Avı Yöntemi Keşfetti yazısı ilk önce En Gazete üzerinde ortaya çıktı.

“Siber Dünyanın Anatomisi” başlıklı kapsamlı küresel rapor; Managed Detection and Response (MDR), Incident Response (IR), Compromise Assessment ve SOC Consulting birimlerinin 2025 yılı boyunca elde ettiği verilere dayanıyor. Çalışmada en sık karşılaşılan saldırgan teknikleri, araçları ve tespit senaryoları incelenirken, tespit edilen olayların ayırt edici özelliklerine de ışık tutuyor.

Rapora göre, en yoğun şekilde izlenen saldırı tekniklerinin büyük bir kısmı kimlik bilgileri ve kimlik yönetimi süreçleri etrafında şekilleniyor. Çeşitli Saldırı Göstergelerinin (IoA) dönüşüm oranlarını* inceleyen analiz, siber tehditlerde öne çıkan şu taktikleri gözler önüne seriyor:

Parola Tahmini (%34,8): Saldırganların bir hesaba erişim sağlamak için sistematik olarak farklı parolaları denediği bu yöntem, dönüşüm listesinin zirvesinde yer alıyor. Tekniğin ilk sırada yer almasının nedeni hem gerçek saldırılarda hem de yetkili güvenlik testlerinde yoğun olarak kullanılması ve günümüz siber güvenlik dünyasında kalıcı bir tehdit oluşturmasıdır. Zayıf veya yinelenen parolalar kullanan organizasyonlar, bu köklü stratejinin işe yaramasına zemin hazırlamaya devam ediyor.

Yerel Hesap Oluşturma (%34,7): Saldırganlar sisteme bir kez sızdıktan sonra, ilk elde ettikleri erişim noktası fark edilip kapatılsa bile içeride kalmayı sürdürmek için sık sık yeni yerel hesaplar açıyor. Güvenlik tatbikatlarında da sıklıkla gözlemlenen bu teknik, doğru telemetri altyapısıyla tespit edilebiliyor; ancak şirketler genellikle bu görünürlüğü sağlayacak telemetri altyapısı bulunmuyor.

Yetkili Hesapların Suistimal Edilmesi (%34,5): Saldırganlar sisteme zararlı yazılım bulaştırmak yerine, ele geçirdikleri geçerli kimlik bilgileriyle giriş yaparak normal kullanıcı faaliyetlerinin arasında kamufle oluyor. Erişim süreci tamamen yasal göründüğü için bu durum tespiti ciddi şekilde zorlaştırıyor. Yüksek dönüşüm oranı, sızdırılan kimlik bilgilerinin neden hâlâ en tehlikeli saldırı vektörlerinden biri olduğunu açıkça kanıtlıyor.

Hesap Manipülasyonu (%32): Saldırganlar, içerideki erişimlerini kalıcı kılmak ve pekiştirmek için mevcut hesaplar üzerinde değişiklik yapıyor; devre dışı bırakılmış hesapları yeniden aktif hale getiriyor, grup üyeliklerini değiştiriyor veya yetki yükseltiyor. Bu durum, siber korsanların sisteme yeni araçlar sokmak yerine, halihazırda var olan unsurları kullanarak hakimiyetlerini artırdıklarına dair genel eğilimi destekliyor.

Ağ Servislerinin Keşfi (%31,2): Saldırganlar bir ağın daha derinlerine ilerlemeden önce, genellikle erişebilecekleri açık servisleri ve sistemleri tarar. Bu keşif adımı, bir sonraki aşamanın (yatay ilerleme ve daha fazla sızma) en güçlü habercisidir. Durumun erken safhada tespit edilmesi, güvenlik ekiplerine müdahale için kritik bir zaman penceresi kazandırıyor.

Rapor, saldırgan tekniklerini, gözlemlenen şüpheli faaliyetlerin ne kadarının kesinleşmiş birer siber olaya dönüştüğüne bakarak sıralıyor. Kaspersky uzmanlarına göre, MITRE ATT&CK® matrisi çok geniş bir saldırgan tekniği kataloğu sunsa da etkili bir savunma için hatalı alarm üretmekten kaçınırken, kötü niyetli olma olasılığı en yüksek davranışlara öncelik verilmesi gerekiyor.

Kaspersky Güvenlik Operasyonları Merkezi (SOC) Müdürü Sergey Soldatov konuya ilişkin şunları söylüyor: “Siber tehdit aktörleri hedeflerine ulaşmak için her zaman gelişmiş zararlı yazılımlara ihtiyaç duymazlar. Çoğu senaryoda, meşru yönetim araçları ve ele geçirilmiş hesaplar, fark edilmeden bir kurum içinde ilerlemenin en hızlı ve en etkili yoludur. Bu tekniklerin popülaritesini koruması; kurumların saldırgan davranışlarına karşı derin bir görünürlüğe ve bir saldırının farklı aşamalarındaki şüpheli faaliyetleri birbiriyle ilişkilendirme yeteneğine ihtiyaç duyduğunu gösteriyor. Şirketler bu zorlukların üstesinden gelmek için, tehdit tespitinden sürekli koruma ve müdahaleye kadar tüm olay yönetimi döngüsünü kapsayan Kaspersky Yönetilen Tespit ve Yanıt (MDR) ile Olay Müdahalesi (IR) çözümlerimizle güvenlik altyapılarını güçlendirebilirler.”

Saldırgan taktik ve teknikleri, tespit edilen olayların nitelikleri, bunların bölgelere ve sektörlere göre dağılımı hakkında daha fazla bilgi edinmek için raporun tamamını okuyabilirsiniz.

*Dönüşüm (Conversion): Belirli bir MITRE ATT&CK tekniğine ait toplam uyarı sayısı içinde, “gerçek pozitif” (gerçek bir tehdit) olarak sınıflandırılan uyarıların oranıdır.

Kimlik Bilgilerine Dayalı Saldırı Teknikleri, Siber Saldırganların En Etkili Yöntemleri Arasında Yer Alıyor yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Kaspersky Managed Detection and Response, Kaspersky Incident Response, Kaspersky Compromise Assessment ve Kaspersky SOC Consulting birimlerinden 2025 yılı boyunca elde edilen olay verilerine dayanan “Siber Dünyanın Anatomisi” (Anatomy of a Cyber World)  raporu, kapsamlı bir küresel analiz sunuyor. Rapor, en yaygın saldırgan taktik, teknik ve araçlarının yanı sıra tespit edilen olayların karakteristik özelliklerini ve bölgeler ile sektörler arasındaki dağılımını mercek altına alıyor.

Kaspersky Incident Response verilerine göre, son yedi yılda en yaygın ilk saldırı vektörlerinde önemli bir değişim yaşanmadı. Geçerli hesaplar ile internete açık uygulamalardaki zafiyetlerin istismarı, saldırganların en sık kullandığı giriş noktaları olmayı sürdürdü. Üçüncü sıradaki yöntem ise dönemsel olarak değişiklik gösterdi. Geçmişte yaygın olarak kullanılan kötü amaçlı e-postaların yerini, ilk kez 2021’de öne çıkan ve 2023 itibarıyla ilk üçe giren tedarik zinciri ve iş ortakları üzerinden gerçekleştirilen saldırılar aldı. 2025 yılı itibarıyla başlıca saldırı vektörlerinin dağılımı şu şekilde gerçekleşti:

Bu saldırı vektörleri çoğu zaman aynı saldırı zinciri içerisinde birbiriyle bağlantılı şekilde kullanılıyor. Tedarik zinciri ve iş ortakları üzerinden hedef alınan kuruluşların çoğu, ilk aşamada internete açık uygulamalardaki zafiyetlerin istismarı yoluyla ihlal ediliyor. Son dönemdeki vakalar, saldırganların hizmet sağlayıcıları veya BT entegratörlerini hedef alarak onların müşterilerine erişim sağlamaya çalıştığını gösteriyor. Sorunun boyutu, birçok küçük ölçekli hizmet sağlayıcının yeterli siber güvenlik uzmanlığına ve kaynağa sahip olmamasıyla daha da büyüyor. Muhasebe yazılımları veya web siteleri yöneten bu şirketlerde yaşanan bir ihlal, uzaktan erişim mekanizmalarının kötüye kullanılması yoluyla müşteri sistemlerinin de tehlikeye girmesine neden olabiliyor.

Araştırılan saldırılar süre ve etkilerine göre incelendiğinde, vakaların büyük bölümünün (%50,9) hızlı gerçekleşen saldırılar olduğu görülüyor. Genellikle bir günden kısa süren bu saldırılar çoğunlukla dosya şifreleme ile sonuçlanıyor. Vakaların %33’ünü oluşturan uzun soluklu saldırılar ise ortalama 108 saat sürüyor. Bu süreçte saldırganlar yalnızca dosyaları şifrelemekle kalmıyor; kalıcılık mekanizmaları kuruyor, Active Directory altyapısını ele geçiriyor ve veri sızıntısına yol açıyor. Geriye kalan %16,1’lik bölüm ise hibrit bir yapı sergiliyor. İlk etapta hızlı saldırılar gibi görünen bu vakalarda, ilk ihlal ile sonraki kötü amaçlı faaliyetler arasında ciddi bir zaman farkı bulunuyor ve toplam saldırı süresi yaklaşık 19 güne uzayabiliyor.   

    Kaspersky Global Emergency Response Team Başkanı Konstantin Sapronov konuyla ilgili şunları söyledi: “Tehdit aktörleri giderek daha koordineli ve çok aşamalı saldırılar düzenlerken, kurumların yalnızca olay anına müdahale eden reaktif bir güvenlik yaklaşımıyla hareket etmesi artık yeterli değil. Bunun yerine, gerçek zamanlı tehdit izleme ve sürekli tespit yeteneklerini günlük operasyonların bir parçası haline getiren proaktif bir güvenlik yaklaşımı kritik önem taşıyor. Bu sayede güvenlik ekipleri, saldırgan faaliyetleri büyümeden önce hızlı şekilde müdahale edebiliyor. Hem hızlı gelişen saldırılara hem de uzun süreli sızmalara karşı dijital varlıkları korumak için zamanında yama yönetimi, çok faktörlü kimlik doğrulama kullanımı ve üçüncü taraf erişimlerinin sıkı şekilde kontrol edilmesi temel önlemler arasında yer alıyor.”

     Kaspersky, gelişmiş tehditlere karşı korumayı güçlendirmek için şu önerilerde bulunuyor:

• Mevcut güvenlik kontrollerinizi Kaspersky Managed Detection and Response (MDR) hizmetinin uzman destekli tespit yetenekleriyle güçlendirin ve Kaspersky Incident Response ile güvenlik olaylarına ilişkin kapsamlı analizlerden yararlanın. Bu hizmetler, tehditlerin belirlenmesinden sürekli koruma ve iyileştirme süreçlerine kadar olay yönetiminin tamamını kapsayan 7/24 izleme desteği sunuyor.
• Kaspersky SOC Consulting hizmetinden yararlanarak iç süreçlerinizi ve teknolojik altyapınızı günümüzün değişen tehdit ortamına uyumlu hale getirin. Bu hizmet; sıfırdan kurum içi SOC yapısı kurma, mevcut SOC olgunluğunu değerlendirme veya tespit ve müdahale süreçleri gibi belirli yetkinlikleri geliştirme konularında destek sağlıyor.
• Tüm varlıklarınız için kapsamlı koruma sağlamak amacıyla Kaspersky Next XDR Expert gibi merkezi ve otomatik çözümler kullanın. Birden fazla kaynaktan gelen verileri tek bir noktada toplayıp ilişkilendiren ve makine öğrenimi teknolojilerinden yararlanan bu çözüm, etkili tehdit tespiti ve hızlı otomatik müdahale imkânı sunuyor.

İnternete açık uygulamalardaki zafiyetler ve tedarik zinciri bağlantılı saldırılar, başlıca saldırı vektörleri arasındaki yerini güçlendiriyor yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Dışarıdan bakıldığında fidye yazılımı saldırıları, fidye notu bırakılan bir hırsızlık gibi algılanabilir. Saldırgan sisteme sızar, kritik dosyaları şifreler ve ödeme talebinde bulunur. Ancak bu, sürecin yalnızca görünen kısmıdır. Saldırıyı mümkün kılan asıl yapı, arka planda işleyen ve çoğu zaman göz ardı edilen unsurlardan oluşur. Fidye yazılımının arkasında; iş gücü ve araç pazarları, abonelik tabanlı hizmetler, tedarikçiler ve iş ortaklarından oluşan, hizmet seviyesi anlaşmalarını andıran ilişkilerle kurulu bir yapı yer alır. Bu yapı, fidye notu ortaya çıkmadan çok önce saldırıya zemin hazırlar. Kuruluşların fidye yazılımı olaylarını ani ve rastlantısal saldırılar olarak değerlendirmesi, savunma stratejilerinin de eksik kalmasına neden olabilir. Oysa tehdit, yüksek derecede organize, kaynaklı ve tekrarlanabilir bir yapıya sahiptir.

ESET’in tespit verileri, 2025’in ilk yarısında yüzde 30’luk bir artışın ardından, ikinci yarıda fidye yazılımı faaliyetlerinin önceki altı aya göre yüzde 13 arttığını gösteriyor. Verizon’un 2025 Veri İhlali Araştırma Raporu (DBIR), fidye yazılımı içeren ihlallerin oranının yüzde 32’den yüzde 44’e yükseldiğini ortaya koyarken ortalama fidye ödemesinin 150 bin dolardan 115 bin dolara gerilediğini gösteriyor. Mandiant’ın analizleri ise saldırganların, savunmaları daha az olgun olan daha küçük ölçekli kuruluşlara yöneldiğine işaret ediyor.

Fidye yazılımı operasyonları, bireysel katılımcıların yetkinliklerinden bağımsız olarak ölçeklenebilir şekilde tasarlanır. Bu yapı, katılımcılar arasındaki güvene ve onları bir arada tutan teşvik mekanizmalarına dayanır. Zaman içinde bireysel saldırganlar, organize gruplara; bu gruplar ise pazar payı için rekabet eden, birbirine bağlı uzman ağlarına dönüşmüştür. Geleneksel sektörlerde yıllar süren gelişim süreçleri, siber suç ekosisteminde çok daha kısa sürede gerçekleşmiştir. Kolluk kuvvetlerinin müdahaleleri belirli ölçüde kesinti yaratsa da rekabetçi yapı nedeniyle bir grubun ortadan kalkması pazarı ortadan kaldırmaz. Aynı teşvikler varlığını sürdürdüğü sürece yeni oyuncular ortaya çıkar, mevcut gruplar yeniden yapılanır veya iş birlikleri geliştirir. Bu dinamik, fidye yazılımı ekosisteminin sürekliliğini sağlar.

Kırmızı Kraliçe’nin yarışı

Siber tehdit ortamı sürekli değişim hâlinde. Geçmişte yaygın olan dosya şifreleme temelli saldırılar, yerini veri hırsızlığı ve ifşa tehdidini içeren çift şantaj yöntemlerine bıraktı. Ancak dönüşüm bununla sınırlı değil. Kısa süre öncesine kadar neredeyse bilinmeyen bazı teknikler, bugün yaygın şekilde kullanılıyor. Örneğin, kullanıcıları sahte hata mesajlarıyla kandırarak kötü amaçlı komutları çalıştırmaya yönlendiren ClickFix yöntemi hem siber suç grupları hem de devlet destekli aktörler tarafından kullanılmaktadır. Bu adaptasyon hızı, bir versiyonunun doğada, aslında sonsuza dek devam ettiğini fark ettiğinizde pek de şaşırtıcı değil. Rekabet içinde olan türler, sadece konumlarını korumak için sürekli olarak adapte olmak zorunda. Avcılar hızlanır, bu yüzden avlar da hızlanır. Avlar kamuflaj geliştirir, bu yüzden avcılar daha keskin bir görüş geliştirir. Biyoloji buna, Lewis Carroll’un Aynanın İçinden kitabındaki, sadece yerinde kalmak için koşmaya devam etmek zorunda olan bir karakterin adını taşıyan Kırmızı Kraliçe etkisi adını verir. Siber güvenlikte de benzer bir dinamik söz konusu: Savunma sistemleri geliştikçe saldırganlar da buna karşılık verir. Bu durumun en somut örneklerinden biri, güvenlik çözümleri ile bu çözümleri devre dışı bırakmaya yönelik araçlar arasındaki rekabette görülür. Uç nokta tespit ve müdahale (EDR) ve genişletilmiş tespit ve müdahale (XDR) çözümleri, saldırgan faaliyetlerini tespit etmede kritik rol oynarken saldırganlar da bu sistemleri etkisiz hâle getirmeye yönelik araçlar geliştiriyorlar.

ESET araştırmacıları, aktif olarak kullanılan yaklaşık 90 farklı “EDR katili” aracı izliyor. Bunların 54’ü, güvenlik açığı bulunan ancak meşru bir sürücünün sisteme yüklenmesi ve bu sayede çekirdek seviyesinde ayrıcalık elde edilmesine dayanan aynı tekniği kullanıyor. “Kendi Güvenlik Açığı Bulunan Sürücünü Getir” (BYOVD) olarak bilinen bu yöntem, farklı saldırı araçlarında tekrar tekrar karşımıza çıkıyor. EDR katili araçlar, tıpkı fidye yazılımı ekosisteminin kendisi gibi, düzenli güncellenen ve abonelik modeliyle sunulan hizmetlerle destekleniyor. Bu araçların seçimi çoğu zaman doğrudan saldırıyı gerçekleştiren operatörlerden ziyade, bağlı kuruluşlar tarafından yapılır. Savunma sistemleri güncellendikçe, bu sistemleri aşmaya yönelik araçlar da aynı hızla evrilir. Bu döngü, siber tehdit ortamında Kırmızı Kraliçe etkisinin somut bir yansımasıdır.

Kırmızı Kraliçe’ye dikkat yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Endpoint Detection and Response ifadesinin kısaltması olan EDR, Türkçe’ye Uç Nokta Tespit ve Yanıt olarak çevrilen gelişmiş bir siber güvenlik teknolojisidir. Sunucu, bilgisayar ve mobil cihazlar gibi ağdaki uç noktaları sürekli izleyerek, antivirüslerin kaçırabileceği şüpheli davranışları gerçek zamanlı tespit eder ve otomatik yanıtlar verir. Siber suçluların çalışanların dizüstü bilgisayarlarını, masaüstü bilgisayarlarını ve mobil cihazlarını iş verilerine ve altyapıya sızmak için kullanmasını önlemek için işletmeler açısından önemli bir araçtır. EDR Killer, bir siber saldırganın hedef sistemdeki güvenlik yazılımlarını etkisiz hâle getirmek için kullandığı araç veya teknikleri ifade eder. EDR katilleri, modern fidye yazılımı saldırılarının temel bir parçasıdır; bu nedenle, iş ortakları yükleri sürekli olarak değiştirmek yerine şifreleyicileri çalıştırmak için kısa ve güvenilir bir zaman aralığını tercih ederler. ESET araştırmacıları, son zamanlarda gözlemlenen EDR katillerinden en azından bazılarının, yapay zekâ destekli üretime işaret eden özellikler sergilediğini değerlendiriyor. ESET telemetri ve olay araştırmalarına dayanan bu çalışma, sahada aktif olarak kullanılan yaklaşık 90 EDR katilinin analizine ve izlenmesine dayanmaktadır. 

Fidye yazılımı saldırılarındaki yeni taktik önce güvenliği devre dışı bırakmak

Son yıllarda, EDR katilleri modern fidye yazılımı saldırılarında en sık görülen araçlardan biri hâline geldi. Bir saldırgan yüksek ayrıcalıklar elde eder, korumayı bozmak için bu tür bir araç kullanır ve ancak o zaman şifreleyicisini başlatır. Her yerde görülen Bring Your Own Vulnerable Driver (BYOVD) tekniğinin yanı sıra ESET saldırganların sık sık meşru anti-rootkit yardımcı programlarını kötüye kullandığını veya sürücüsüz yaklaşımlar kullanarak uç nokta algılama ve yanıt (EDR) yazılımının iletişimini engellediğini veya onu askıya aldığını da gözlemlemektedir. Kötüye kullanılan bu araçlar sadece bol miktarda mevcut olmakla kalmaz, aynı zamanda öngörülebilir ve tutarlı bir şekilde davranır; işte bu yüzden de iş ortakları bunlara yönelmektedir.

EDR katillerini araştıran ESET araştırmacısı Jakub Souček “Bu araştırmanın ortaya çıkardığı manzara, kavram kanıtlarının sonsuz çatallanmasından karmaşık profesyonel uygulamalara kadar uzanan devasa bir alandır. Darknet’te reklamları yapılan ticari EDR katillerine odaklanmak, müşteri tabanlarını daha iyi anlamamızı ve aksi takdirde gizli kalacak bağlantıları tespit etmemizi sağlıyor. Şirket içinde geliştirilen EDR katilleri, kapalı grupların iç işleyişi hakkında fikir vermektedir. Ayrıca vibe kodlama da işleri daha da karmaşık hâle getirmektedir” açıklaması yaptı.

Saldırı ekosistemi büyüyor

Verileri başarılı bir şekilde şifrelemek için fidye yazılımı şifreleyicilerinin tespit edilmekten kaçınması gerekir. Günümüzde, paketleme ve kod sanallaştırmadan sofistike enjeksiyona kadar uzanan çok çeşitli olgun kaçınma teknikleri mevcuttur. Ancak ESET, şifreleyicilerde bunların uygulandığını nadiren görmektedir. Bunun yerine, fidye yazılımı saldırganları, şifreleyicinin dağıtımından hemen önce güvenlik çözümlerini bozmak için EDR katillerini tercih etmektedir. Aynı zamanda, EDR katilleri genellikle meşru ancak savunmasız sürücülere dayanır; bu da eski veya kurumsal yazılımların kesintiye uğraması riski olmadan savunmayı önemli ölçüde zorlaştırır. Sonuç, minimum geliştirme çabasıyla çekirdek düzeyinde etki sunan bir araç sınıfıdır; bu da bu araçları basitlikleri göz önüne alındığında orantısız bir şekilde güçlü kılar. Bu nedenle ESET, güvenlik açığı bulunan sürücülerin yüklenmesini engellemenin savunma hattında çok önemli bir adım olduğunu ancak mevcut çeşitli atlatma teknikleri nedeniyle bunun kolay bir adım olmadığını vurguluyor. Bu durum, neden sadece buna güvenilmemesi gerektiğini ve EDR katillerinin sürücüyü yükleme şansı bulamadan onları devre dışı bırakmayı hedeflemesi gerektiğini ortaya koyuyor. 

Aslında, en basit EDR engelleyiciler güvenlik açığı bulunan sürücülere veya diğer gelişmiş tekniklere dayanmaz. Bunun yerine, yerleşik yönetim araçlarını ve komutlarını kötüye kullanırlar. BYOVD teknikleri, modern EDR engelleyicilerin ayırt edici özelliği hâline gelmiştir: Her yerde bulunur, güvenilirdir ve yaygın olarak kullanılır. Tipik bir senaryoda, bir saldırgan kurbanın makinesine meşru ancak güvenlik açığı bulunan bir sürücü yerleştirir, sürücüyü yükler ve ardından sürücünün güvenlik açığını kötüye kullanan bir kötü amaçlı yazılımı çalıştırır. Daha küçük ancak büyümekte olan bir EDR katili sınıfı, çekirdeğe hiç dokunmadan hedeflerine ulaşır. Bu araçlar, EDR işlemlerini sonlandırmak yerine diğer kritik özelliklere müdahale eder. 

Yapay zekâ etkisiyle yeni nesil saldırı araçları gelişiyor

Yapay zekâ artık EDR katillerinin cephaneliklerindeki en yeni silah olarak kabul edilebilir. Yapay zekânın belirli bir kod tabanının oluşturulmasına doğrudan yardımcı olup olmadığını belirlemek genellikle pratik olarak imkânsızdır. Özellikle saldırganlar kodu sonradan işlediklerinde veya gizlediklerinde, yapay zekâ tarafından üretilen kodu insan tarafından yazılan koddan güvenilir bir şekilde ayıran kesin bir adli belirteç yoktur. Ancak ESET araştırmacıları, son zamanlarda gözlemlenen EDR katillerinden en azından bazılarının, yapay zekâ destekli üretimi güçlü bir şekilde ima eden özellikler sergilediğini değerlendiriyor. Buna açık bir örnek, Warlock fidye yazılımı çetesi tarafından yakın zamanda kullanılan bir EDR katilinde görülmektedir. Araç, yapay zekâ tarafından üretilen şablonlar için tipik bir örüntü olan olası düzeltmelerin bir listesini yazdırmakla kalmayıp, belirli bir sürücüyü istismar etmek yerine, çalışan bir sürücü bulana kadar birbiriyle ilgisiz, yaygın olarak kötüye kullanılan birkaç cihaz adını döngüsel olarak deneyen bir deneme-yanılma mekanizması da içermektedir. 

ESET araştırmacısı Jakub Souček  yaptığı açıklamada  şunları söyledi : “Önemli bir gözlem, hizmet olarak fidye yazılımı (RaaS) ekosistemlerindeki iş bölümü. Operatörler genellikle şifreleyiciyi ve destekleyici altyapıyı sağlar ancak EDR katili seçimi iş ortaklarına bırakılır. Bu, iş ortağı havuzu ne kadar büyükse EDR katili araçlarının o kadar çeşitli hâle geldiği anlamına gelir. Fidye yazılımına karşı savunma, otomatik tehditlere karşı savunmadan temelde farklı bir zihniyet gerektirir. Oltalama e-postaları, yaygın kötü amaçlı yazılımlar ve istismar zincirleri, güvenlik çözümleri tarafından tespit edilip etkisiz hâle getirildiğinde durur; ancak fidye yazılımı saldırıları durmaz. Bunlar etkileşimli, insan odaklı operasyonlardır ve saldırganlar tespitlere, araç arızalarına ve çevresel engellere sürekli olarak uyum sağlar.”

Şirketlerin güvenlik sistemlerini etkisizleştiren yöntemler artıyor yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Bu kampanyada saldırganlar, “chatgpt atlas” gibi arama sorguları için sponsorlu reklamlar satın alıyor ve kullanıcıları, chatgpt.com alan adı üzerinde barındırılan “ChatGPT Atlas for macOS” adlı sözde bir kurulum rehberine yönlendiriyor. Gerçekte ise bu sayfa, istem mühendisliği (prompt engineering) kullanılarak oluşturulmuş paylaşıma açık bir ChatGPT sohbetinden ibaret. İçerik, yalnızca adım adım “kurulum” talimatları kalacak şekilde düzenlenmiş durumda. Rehber, kullanıcılardan tek satırlık bir kodu kopyalamalarını, macOS Terminal’i açarak bu komutu yapıştırmalarını ve istenen tüm izinleri vermelerini istiyor.

Kaspersky araştırmacılarının analizine göre, bu komut atlas-extension[.]com adlı harici bir alan adından bir betik indirip çalıştırıyor. Betik, sistem komutlarını çalıştırmayı deneyerek doğrulama yapmak amacıyla kullanıcıdan tekrar tekrar sistem parolasını talep ediyor. Doğru parola girildiğinde ise betik, AMOS bilgi hırsızını indiriyor, ele geçirilen kimlik bilgilerini kullanarak zararlı yazılımı sisteme kuruyor ve çalıştırıyor. Bu enfeksiyon süreci, kullanıcıların uzaktaki sunuculardan kod indirip çalıştıran kabuk komutlarını manuel olarak yürütmeye ikna edildiği ClickFix olarak bilinen tekniğin bir varyasyonunu temsil ediyor.

AMOS, kurulumun ardından maddi kazanç sağlamak veya daha sonraki saldırılarda kullanılmak üzere çeşitli verileri topluyor. Zararlı yazılım; popüler tarayıcılardan parola ve çerezleri, Electrum, Coinomi ve Exodus gibi kripto para cüzdanlarına ait verileri, ayrıca Telegram Desktop ve OpenVPN Connect gibi uygulamalardan bilgileri hedef alıyor. Bununla birlikte Masaüstü, Belgeler ve İndirilenler klasörlerinde bulunan TXT, PDF ve DOCX uzantılı dosyaları, Notes uygulaması tarafından saklanan dosyalarla birlikte tarıyor ve bu verileri saldırganların kontrolündeki altyapıya sızdırıyor. Paralel olarak, sistem yeniden başlatıldığında otomatik olarak devreye giren bir arka kapı da kuruluyor; bu arka kapı saldırganlara uzaktan erişim imkânı sağlıyor ve AMOS ile büyük ölçüde örtüşen bir veri toplama mantığıyla çalışıyor.

Bu kampanya, bilgi hırsızı zararlı yazılımların 2025 yılının en hızlı büyüyen tehditleri arasında yer aldığına işaret eden daha geniş bir eğilimin parçası olarak öne çıkıyor. Saldırganlar, oltalama senaryolarını daha inandırıcı kılmak için yapay zekâ temalarını, sahte YZ araçlarını ve YZ tarafından üretilmiş içerikleri giderek daha fazla kullanıyor. Son dönemde sahte YZ tarayıcı kenar çubukları ve popüler modeller için hazırlanmış sahte istemci uygulamaları gibi örnekler görülürken, Atlas temalı bu faaliyet, meşru bir YZ platformunun yerleşik içerik paylaşım özelliğinin kötüye kullanılmasına kadar uzanıyor.

Kaspersky Zararlı Yazılım Analisti Vladimir Gursky, konuyla ilgili şunları söyledi: “Bu vakayı etkili kılan unsur, gelişmiş bir teknik açık değil; sosyal mühendisliğin tanıdık bir yapay zekâ bağlamı içinde sunulması. Sponsorlu bir bağlantı, güvenilir bir alan adındaki düzenli bir sayfaya yönlendiriyor ve ‘kurulum rehberi’ tek bir Terminal komutundan ibaret. Birçok kullanıcı için bu güven ve basitlik birleşimi, alışıldık temkin mekanizmalarını devre dışı bırakmaya yetiyor. Oysa sonuç, sistemin tamamen ele geçirilmesi ve saldırgan için uzun vadeli erişim anlamına geliyor.”

Kaspersky, kullanıcılara şu önerilerde bulunuyor:

• Özellikle bir web sitesi, belge ya da sohbet üzerinden tek satırlık bir betiğin kopyalanıp yapıştırılmasını içeren ve Terminal veya PowerShell çalıştırılmasını isteyen, talep edilmemiş “rehberlere” karşı temkinli olun.
• Talimatlar net değilse bu tür sayfaları kapatın veya mesajları silin; devam etmeden önce bilgili bir kaynaktan görüş alın.
• Şüpheli komutları çalıştırmadan önce, kodun ne yaptığını anlamak için ayrı bir yapay zekâ veya güvenlik aracına yapıştırarak incelemeyi değerlendirin.
• macOS ve Linux sistemler dâhil olmak üzere tüm cihazlarda, Kaspersky Premium gibi saygın bir güvenlik yazılımı kullanarak bilgi hırsızlarını ve ilişkili zararlı yükleri tespit edip engelleyin.

Kaspersky, ChatGPT’nin sohbet paylaşım özelliğini istismar eden macOS bilgi hırsızı kampanyasını ortaya çıkardı yazısı ilk önce En Gazete üzerinde ortaya çıktı.

Antalya ve Ege’de son günlerde köpek balıklarının görüldüğüne dair sosyal medyada paylaşılan görüntüler tam da yaz ayına yeni girerken tatilcileri endişelendirdi.

Kaynak: TR Sputnik

Konyaaltı, Datça, Gökova’da görüldü: Akdeniz ve Ege’deki köpek balıkları saldırgan mı? yazısı ilk önce En Gazete üzerinde ortaya çıktı.