Devlet Sistemlerini Hedef Alan Yeni Tehdit

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı tespit etti. Saldırganlar, meşru yazılım bileşenlerinden yararlanarak daha önce bilinmeyen "NetamLoader" adlı zararlı yazılım altyapısını devreye soktu.

NetamLoader'ın İşleyişi

NetamLoader, faaliyetlerini gizlerken arka planda ek zararlı kodlar alıp çalıştırma yeteneğine sahip. Zararlı yazılım, söz konusu işletim sistemine özel olarak geliştirilmiş ve sistemin kendi güncelleme bileşenine ait günlük kayıtlarında belirli girdileri silme işlevine sahip.

Zararlı yazılım yapısı çok katmanlı bir koruma içeriyor:

  • Zararlı içerik, çoklu kodlama, sıkıştırma ve şifreleme katmanlarından geçiriliyor
  • Yürütme, meşru bir Windows sürecine taşınıyor
  • Kötü amaçlı faaliyetin orijinal programla ilişkilendirilmesi zorlaştırılıyor

Saldırının Keşfi ve Yayılış Yöntemi

Araştırma, 2026'nın ilk yarısında başladı. Kaspersky, Windows güncelleme klasöründe bulunan bir arşiv dosyasının içindeki şüpheli bir yapılandırma dosyasını tespit etti. Arşivdeki programların çoğu meşru yazılımlardı:

  • Üçüncü taraf yama yönetimi aracı Patch My PC'nin bileşenleri
  • Microsoft tarafından imzalanmış modüller
  • Diğer resmi yazılımlar

Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla bu yazılımların zararlı talimatları yüklemesini sağladı. Arşivin bulunduğu konum ve içeriği, saldırganların yazılım dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor.

Kaspersky araştırmacıları, arşivin kurbanın sistemine nasıl ulaştığını görmedi. Ayrıca bulgular, Patch My PC'nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.

Ağ İletişim ve Gizleme Taktikleri

NetamLoader, etkinleştikten sonra saldırganların kontrolündeki bir sunucuyla iletişim kuruyor. Ek talimatlar ve yapılandırma değişiklikleri almak için özel bekleme süreleri kullanıyor:

  • İlk bağlantı kurulmadan önce 20-40 dakikalık bekleme
  • Geçerli yanıt alınamazsa 22-28 saat bekleme süresi

Bu gecikmeler nedeniyle kısa süreli izleme oturumlarında ağ etkinliği çok sınırlı kalabiliyor.

Uzmanların Değerlendirmesi

Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin, saldırının teknik egemenlik bağlamında önemine dikkat çekti: "Teknolojik egemenlik birçok hükümet için öncelikli konulardan biri haline geldi. Kendi platformunuzu kullanmak size kontrol imkânı sağlıyor. Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması zaman alıyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor."

Saldırı ile İlgili Diğer Bulgular

Kaspersky, saldırıyı şu anda bilinen herhangi bir tehdit grubuyla ilişkilendiremedi. Zararlı yazılım çerçevesi ayrıca kötü amaçlı yazılım tarama işlevlerinden birine müdahale ediyor ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.

Kaspersky ürünleri bu tehdidi HEUR.MSIL.NetamLoader.gen ve Trojan.MSIL.Zapchast.* olarak algılıyor.