Kaspersky, Asya’da Yalnızca Kamu Kurumlarının Kullandığı Windows’a Yönelik Saldırıyı Açığa Çıkardı

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumlarının kullandığı özelleştirilmiş bir Windows 10 sürümüne yönelik bir siber saldırıyı açığa çıkardı. Saldırganların, meşru yazılım bileşenlerini kullanarak daha önce bilinmeyen “NetamLoader” adlı kötü amaçlı yazılım altyapısını devreye soktuğu belirtildi. Bu altyapının, faaliyetlerini gizlerken arka planda ek zararlı kodları indirip çalıştırabildiği kaydedildi.

Tehdit izleme ağında tespit edilen kurban

Kaspersky, tehdit izleme ağı üzerinden saldırının bir kurbanını belirledi. Saldırının bilinen herhangi bir tehdit grubuyla ilişkilendirilemediği ifade edildi. Zararlı yazılımın bu işletim sistemine özel olarak geliştirildiği; faaliyetleri arasında sistemin kendi güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silmenin de yer aldığı aktarıldı.

Şüpheli yapılandırma dosyasından başlayan inceleme

Araştırma, 2026’nın ilk yarısında Kaspersky’nin Windows güncelleme klasöründe bulunan bir arşiv dosyasının içindeki şüpheli bir yapılandırma dosyasını fark etmesiyle başladı. Arşivdeki programların büyük çoğunluğunun, üçüncü taraf yama yönetim aracı Patch My PC’nin bileşenleri ile Microsoft tarafından imzalanmış bir modül de dahil olmak üzere meşru yazılımlar olduğu görüldü. Saldırganların, değiştirilmiş yardımcı dosyalar aracılığıyla bu yazılımlara zararlı talimatlar yüklettiği belirtildi.

Olası bir tedarik zinciri saldırısı

Arşivin konumu ve içeriği, saldırganların hedeflerine ulaşmak için yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir tedarik zinciri saldırısına işaret ediyor. Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Elde edilen bulguların ise Patch My PC’nin ya da yazılımın dağıtım sistemlerinin ele geçirildiğini göstermediği kaydedildi.

Gizlenme yöntemleri

NetamLoader’ın zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkardığı belirtildi. Ardından yürütmeyi meşru bir Windows sürecine taşıyarak zararlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırdığı aktarıldı. Zararlı yazılım çerçevesinin ayrıca kötü amaçlı yazılım tarama işlevlerinden birine müdahale ettiği ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları sildiği ifade edildi.

Gecikmeli iletişim ile izleme zorlaşıyor

NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların kontrolündeki bir sunucuyla iletişim kurduğu bildirildi. İncelenen yapılandırma dosyasında, ilk bağlantıdan önce 20 ila 40 dakikalık bir bekleme süresi bulunduğu; sunucudan geçerli bir yanıt alınamazsa zararlı yazılımın yeniden denemeden önce 22 ila 28 saat beklediği görüldü. Bu gecikmeler nedeniyle kısa süreli izleme oturumlarında incelenebilecek ağ etkinliğinin çok sınırlı kalabileceği kaydedildi.

Uzman görüşü

Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili şunları söyledi: “Teknolojik egemenlik, birçok hükümet için öncelikli konulardan biri hâline geldi. Bu alandaki çalışmalar genellikle işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size kontrol imkânı sağlıyor. Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması ise zaman alıyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”

Tespit adları ve teknik rapor

Kaspersky ürünleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* adlarıyla tespit ediyor. Güvenlik ihlali göstergelerini (IoC) de içeren kapsamlı teknik rapora Securelist üzerinden ulaşılabiliyor.

Kurumlar için öneriler

Kaspersky, benzer tehditlere karşı şu önlemleri öneriyor:

– Kaspersky Threat Intelligence Services’tan yararlanın. Güncel tehdit akışlarına, davranış temelli güvenlik ihlali göstergelerine (IoC) ve ayrıntılı tehdit avcılığı raporlarına erişim sağlayan bu hizmetler, GReAT dahil Kaspersky araştırma ekiplerinin uzmanlığına dayanıyor.
– Yazılım güncelleme kanallarını denetleyin. Saldırganların zararlı paketi, Windows’un indirilen güncellemeler için kullandığı klasöre yerleştirdiği belirtildi. Bu klasörlerin beklenmedik çalıştırılabilir dosyalar ve yapılandırma dosyaları açısından izlenmesi, her güncelleme paketinin kaynağının doğrulanması ve üçüncü taraf yönetim araçlarının yalnızca onaylanmış konumlardan çalıştırılmasına izin verilmesi öneriliyor.
– Uç noktalarda gizli tehdit faaliyetlerini tespit edin. Kaspersky Next EDR Expert; imzalı bir programın değiştirilmiş yapılandırma dosyası aracılığıyla kod yüklemesi, bir Windows sistem sürecinin harici sunucularla bağlantı kurması ve kötü amaçlı yazılım taramasına müdahale edilmesi gibi şüpheli etkinlikleri ilişkilendirerek analiz ediyor.
– Ağ trafiğini izleyin. Kaspersky Anti Targeted Attack (KATA), içerik dağıtım ağlarının (CDN) arkasına gizlenenler de dahil olmak üzere tanınmayan harici sunucularla kurulan seyrek ve şifreli bağlantıları tespit edebiliyor. Platform, bağlantı kontrolünü saatler hatta günler boyunca erteleyen zararlı yazılımların izlenmesine de yardımcı oluyor.
– Günlük kayıtlarını uç noktaların dışında saklayın. NetamLoader’ın sistem önbelleğindeki dosyaları, .NET kullanım günlüklerini ve güncelleme bileşeninin kayıtlarındaki bazı girdileri sildiği belirtildi. Kaspersky SIEM ile günlük kayıtlarının merkezi olarak toplanması, saldırganların yok etmeye çalıştığı kanıtların korunmasını sağlıyor ve yerel kayıtlardaki açıklanamayan boşlukları uyarıya dönüştürüyor.

Araştırmanın sonuçları, Bali’de düzenlenen Security Analyst Summit 2026’da sunuldu.