Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), Asya'da faaliyet gösteren bir ülkede yalnızca devlet kurumlarına özel olarak geliştirilmiş bir Windows 10 sürümünü hedef alan karmaşık bir siber saldırıyı deşifre etti. Bu saldırı, 'NetamLoader' adı verilen yeni bir kötü amaçlı yazılım altyapısını kullanması ve meşru yazılım bileşenlerini istismar etmesiyle dikkat çekiyor. Siber güvenlik uzmanları, saldırının arkasındaki grubun kimliğini henüz belirleyemedi.
NetamLoader Nasıl Çalışıyor?
Tespit edilen NetamLoader, siber saldırganların faaliyetlerini gizleyerek arka planda ek zararlı kodları alıp çalıştırma yeteneğine sahip. Kaspersky'nin tehdit izleme ağı üzerinden bir kurban sistemde ortaya çıkarılan bu zararlı yazılım, özellikle hedef alınan işletim sistemine özgü operasyonlar gerçekleştirebiliyor. Bunlar arasında, sistemin kendi güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silmek gibi gizliliği artırıcı eylemler de bulunuyor. Bu durum, saldırının ne kadar sofistike bir yapıya sahip olduğunu gözler önüne seriyor.
Araştırma, 2026 yılının ilk yarısında Kaspersky uzmanlarının, Windows güncelleme klasöründe bulunan bir arşiv dosyasının içindeki şüpheli bir yapılandırma dosyasını keşfetmesiyle başladı. Bu arşivdeki programların büyük çoğunluğu, üçüncü taraf yama yönetimi aracı Patch My PC'nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere meşru yazılımlardı. Ancak saldırganlar, bu meşru yazılımların değiştirilmiş yardımcı dosyalar aracılığıyla zararlı talimatları yüklemesini sağladı.
Yazılım Tedarik Zinciri Saldırısı İhtimali
Arşivin bulunduğu konum ve içeriği, siber saldırganların hedeflerine ulaşmak için yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor. Kaspersky araştırmacıları, arşivin kurbanın sistemine nasıl ulaştığını tam olarak gözlemleyemese de, elde edilen bulgular Patch My PC'nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini doğrudan göstermiyor. Bu durum, saldırının karmaşıklığını ve tespit edilmesini zorlaştıran yönlerini ortaya koyuyor.
NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Bu yöntem, kötü amaçlı yazılımın analizini ve tespitini oldukça güçleştiriyor. Ardından, zararlı yazılımın yürütmesini meşru bir Windows sürecine taşıyarak, kötü amaçlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırıyor. Ayrıca, zararlı yazılım çerçevesi, sistemdeki kötü amaçlı yazılım tarama işlevlerinden bazılarına müdahale ederek kendi varlığını daha da gizlemeye çalışıyor.
Siber Güvenlik Önlemleri ve Farkındalık
Bu tür gelişmiş siber saldırılar, özellikle devlet kurumları gibi kritik altyapıları hedef aldığında büyük riskler taşıyor. Kaspersky'nin bulguları, kurumların siber güvenlik stratejilerini sürekli gözden geçirmeleri ve güncel tehditlere karşı proaktif önlemler almaları gerektiğini bir kez daha gösteriyor.
- Tüm sistemlerin ve yazılımların düzenli olarak güncellenmesi,
- Güvenlik duvarı ve antivirüs programlarının etkin bir şekilde kullanılması,
- Çalışanlara yönelik siber güvenlik farkındalık eğitimlerinin artırılması,
- Yazılım tedarik zinciri güvenliğine özel önem verilmesi
gibi adımlar, benzer saldırıların önüne geçmek için hayati önem taşıyor. Siber saldırganlar her geçen gün daha sofistike yöntemler geliştirmeye devam ederken, koruma mekanizmalarının da bu gelişmelere paralel olarak güçlendirilmesi gerekiyor. NetamLoader vakası, özelleştirilmiş sistemlerin bile hedef alınabileceğini ve sürekli tetikte olunması gerektiğini bir kez daha kanıtlıyor.
