Silent Push'un analizine göre, Salt Typhoon grubuna ait 45 yeni alan adı tespit edildi. Bu alan adları, grubun 2024 saldırılarından önce de aktif olduğunu ve Çin bağlantılı UNC4841 ile teknik örtüşmeler bulunduğunu gösteriyor. Siber güvenlik uzmanlarına, ilgili DNS kayıtları ve IP isteklerinin detaylı incelenmesi tavsiye ediliyor.
Temmuz 31, 2026
Siber Güvenlik Ekiplerinin Bilmesi Gereken 6 Kritik Tarayıcı Tabanlı Saldırı
Tarayıcı tabanlı saldırılar, iş uygulamalarına erişim sağlamak için giderek daha fazla tercih edilen yöntemler arasında yer alıyor. Kimlik bilgisi oltalaması, kötü amaçlı kopyala-yapıştır saldırıları, kötü amaçlı OAuth entegrasyonları ve tarayıcı uzantıları gibi teknikler, güvenlik ekiplerinin dikkatle takip etmesi gereken başlıca tehditlerdir. Bu saldırılar, MFA atlatma ve çok kanallı yayılım gibi gelişmiş yöntemlerle karmaşıklaşmakta ve tespiti zorlaşmaktadır.
Haftalık 2 Milyar İndirme Alan 20 Popüler npm Paketi Tedarik Zinciri Saldırısına Kurban Gitti
Haftalık 2 milyar indirme alan 20 popüler npm paketi, karmaşık bir tedarik zinciri saldırısıyla hedef alındı. Saldırganlar, bakımcıların 2FA bilgilerini ele geçirerek kötü amaçlı yazılımı npm kayıt defterine yayımladı ve kripto para hırsızlığına odaklandı. Bu olay, paket ekosistemlerinde güvenlik önlemlerinin artırılması gerektiğini gösteriyor.
Kendi Kendini Çoğaltan Solucan, 180’den Fazla npm Paketini Hedefleyerek Kimlik Bilgilerini Çalıyor
npm ekosisteminde 180'den fazla paketi etkileyen kendi kendini çoğaltan bir solucan, geliştirici makinelerindeki hassas kimlik bilgilerini çalmak için TruffleHog aracını kullanıyor. Saldırı, GitHub Actions iş akışları aracılığıyla kalıcı erişim sağlıyor ve toplamda 500'den fazla paketi etkileyen Shai-Hulud kampanyasıyla bağlantılı. Geliştiricilere etkilenen paketleri kontrol edip kimlik bilgilerini değiştirmeleri öneriliyor.
Phishing-as-a-Service (PhaaS) Platformlarında Küresel Artış: 74 Ülkede 316 Marka Hedefte
Phishing-as-a-Service (PhaaS) platformları Lucid ve Lighthouse, 74 ülkede 316 markayı hedef alan 17.500'den fazla oltalama alan adıyla ilişkilendirildi. Bu platformlar, gelişmiş hedefleme teknikleri ve gerçek zamanlı kurban takibiyle e-posta ve smishing saldırılarında artışa neden oluyor. Ayrıca, yeni alan adı taklit teknikleri ve API destekli dolandırıcılık şablonları finansal kayıpları büyütüyor.
Haberler
AI güvenliği için ağ katmanı yeni kontrol noktası oluyor
Check Point Software, kurumsal ağlarda yapay zekâ etkileşimlerini denetlemek için AI Network Firewall adlı yeni ürününü tanıttı. Ürün; istemler, model çağrıları, API kullanımı, dosya yüklemeleri ve ajan davranışlarını gerçek zamanlı inceleyerek prompt injection, veri sızdırma ve API istismarına karşı ağ seviyesinde kontrol sunmayı hedefliyor.
Silver Fox, Japon üreticiyi üç sürücülü BYOVD zinciriyle hedef aldı
Silver Fox, Japonya’daki bir endüstriyel üretim kuruluşunu hedefleyen kampanyada BYOVD, DLL side-loading ve NTDLL unhooking tekniklerini bir arada kullanarak ValleyRAT dağıttı. Cato Networks’ün analizine göre saldırıda iki yeni sürücü, çift watchdog yapısı ve 43.128.26[.]132 adresi üzerinden yürütülen ek indirme zinciri öne çıktı. Ayrı bir raporda ise Güney Kore merkezli bir şirket, Atlas RAT’a ait 146 örnek bulduğunu ve Silver Fox bağlantısının kesinleşmediğini bildirdi.
OWA açığıyla kurumsal postaya kalıcı erişim kuruldu
Proofpoint, Laundry Bear olarak izlenen TA488’in Microsoft Outlook Web Access’taki CVE-2026-42897 açığını kullanarak 22 Temmuz 2026’dan itibaren ABD ve Avrupa’daki kamu, telekom, finans, konaklama ve havacılık hedeflerine yöneldiğini bildirdi. Yeni kampanyada half-click tekniği, OWAReaper adlı kalıcı JavaScript implantı, iki komuta-kanalı, iki sızdırma yöntemi ve tarayıcı içinde yeniden çalışan kalıcılık mekanizmaları kullanılıyor.
Microsoft Copilot, Word belgelerine gizli komutları taşıyabiliyor
Microsoft Copilot for Word üzerinde gösterilen saldırı zinciri, gizli komutların belgeler arasında taşınabildiğini ortaya koydu. Araştırmacı tekniği 28 Temmuz’da açıkladı; Microsoft’un davranışı 31 Mart’ta doğruladığı ve iki önlem aldığı belirtildi. Haber, saldırının Work IQ, OneDrive ve Copilot’un taslak davranışı üzerinden nasıl ilerlediğini ve Microsoft ile araştırmacının hangi koruma ve sınırlamaları aktardığını da içeriyor.
AnySign4PC açığıyla Kore sitelerinden arka kapı dağıtıldı
Güney Kore’de yürütülen ortak incelemeler, ele geçirilmiş web siteleri üzerinden AnySign4PC açığının kullanılarak ziyaretçilere fark ettirmeden arka kapı yüklendiğini ortaya koydu. Saldırılarda SIGNBT ve COPPERHEDGE aileleri, SyncHost.exe ve svchost.exe enjeksiyonu, reverse tunnel altyapısı ve silme izleri öne çıkıyor. Raporda aynı izlerin Mart 2026’daki Gunra fidye yazılımı vakasıyla da kesiştiği, ancak iki kampanyayı aynı aktöre bağlayacak kesin sonucun çıkarılamadığı belirtiliyor.
FCC, yabancı robot ve inverterleri güvenlik gerekçesiyle liste dışı bıraktı
FCC, siber risk gerekçesiyle yabancı üretim bazı robot ve güç inverterlerinin yeni onaylarını durdurdu. Karar, teknik eşikleri ve uzaktan bağlantı bileşenlerini esas alıyor; daha önce onaylanan modeller ile mevcut kullanıcılar kapsam dışında kalıyor.
Cisco FMC’de sıfırıncı gün açığı aktif istismarda
Cisco, Secure Firewall Management Center (FMC) yazılımındaki CVE-2026-20316 açığını aktif istismar edildiği gerekçesiyle KEV kataloğuna ekledi. Şirket, sabit kimlik bilgilerine dayanan zafiyet için hot fix paketlerini yayımladı, IoC kontrolü için bir komut paylaştı ve FCEB kurumlarına 1 Ağustos 2026’ya kadar yama uygulanmasını tavsiye etti.
Amazon, npm saldırısını Kuzey Kore bağlantısıyla yeniden eşleştirdi
Amazon Threat Intelligence, debug ve chalk npm paketlerine yönelik 2025 Eylül saldırısını Kuzey Kore bağlantılı bir grupla ilişkilendirdi; ancak şirketin paylaştığı kanıtlar kamuya açık iddiayı bütünüyle kapatmıyor. Haberde, axios, typo-crypto, Aikido, Wiz, Google, Microsoft ve npm tarafındaki bulgular ile teknik ayrıntılar da yer alıyor.
İki Joyfill npm paketi Node.js’e yüklenince RAT çalıştırdı
Socket, Joyfill ekosistemine ait iki npm paketinde import anında çalışan ve Tron, Aptos ile BNB Smart Chain üzerinden ikinci aşama yükleri çeken kötü amaçlı bir JavaScript implantı bulduğunu açıkladı. Araştırmaya göre paketler, DEV#POPPER ve PolinRider ile ilişkili örüntüler taşıyor; son aşamadaki kod Node.js RAT ve Python infostealer yetenekleriyle kimlik bilgileri, tarayıcı verileri, Git kayıtları ve geliştirme araçlarına ait dosyaları hedef alıyor.
FSB, Telegram kurucusu Durov’u terör suçlamasıyla hedef aldı
FSB, Telegram’ın kurucusu Pavel Durov hakkında terör faaliyetlerine yardım suçlamasıyla soruşturma başlattı ve adını uluslararası arananlar listesine ekledi. Kurum, Telegram kanalları, sohbetleri ve botlarının sabotaj, terör, toplu cinayet ve siber dolandırıcılık için kullanıldığını, Temmuz 2025’ten bu yana 46 Rus vatandaşının da gözaltına alındığını öne sürdü.
Tek bir kötü amaçlı site ziyareti Tor Browser’ı düşürebiliyor
CVE-2026-10702 olarak izlenen Firefox açığı, tek bir kötü amaçlı sayfa ziyaretiyle Tor Browser’da uzaktan kod çalıştırmaya kapı açıyor ve Mozilla bu hatayı Firefox 151.0.3 ile kapattı. Nebula Security, açığı IonStack zincirinin ilk adımı olarak kamuya açık istismar koduyla bir Android 17 ARM64 cihazda kullandığını, ikinci aşamada ise CVE-2026-43499 adlı GhostLock çekirdek açığının devreye girdiğini açıkladı.
Check Point SmartConsole açığı için kamuya açık PoC yayımlandı
Rapid7, Check Point SmartConsole’daki CVE-2026-16232 için kamuya açık bir Python ispat-kodu yayımladı ve açığın kimlik doğrulaması olmadan tam yönetici yetkisiyle oturum açmaya izin verdiğini açıkladı. Check Point, kusurun zero-day olarak kullanıldığını ve sınırlı sayıda müşterinin hedef alındığını bildirirken, 22 Temmuz 2026 tarihli Jumbo Hotfix’lerle yamayı dağıttı.
OpenAI ajanı, Hugging Face ihlalinde açık hesapları kullandı
OpenAI, Hugging Face ihlalini incelerken modellerinden birinin dört serviste açığa çıkmış hesap bilgilerini kullandığını açıkladı. Hugging Face’in zaman çizelgesi, saldırının Artifactory’deki sıfır gün açığından başlayıp Kubernetes erişimine, C2 altyapısına ve GitHub depolarına uzanan iki aşamalı bir zincir olduğunu ortaya koydu.
Gitea’da kritik RCE: repo yazma yetkisi olanlar shell komutu çalıştırabiliyor
Gitea’da CVE-2026-60004 kodlu, CVSS 9.8 puanlı kritik bir açık 1.27.1 ile kapatıldı. Hata, varsayılan açık kayıt nedeniyle dışarıdan oluşturulabilen hesaplarla repository yazma yetkisi üzerinden uzaktan kod çalıştırmaya kadar uzanabiliyor. 27-28 Temmuz tarihlerindeki duyurularda otomatik yükseltme, PoC kodu ve ayrı bir dosya dahil etme düzeltmesi de yer aldı.
Mythos tartışması büyürken asıl açık: önceliklendirme
Anthropic’in Mythos tartışması, saldırı hızından çok kurumların hangi açığı önce kapatacağını doğru belirleyememesini öne çıkarıyor. Metin, CVSS puanına dayalı sıralamanın kimlik, ağ erişimi ve kritik varlık bağlamı olmadan yetersiz kaldığını; Mesh ve benzeri araçların da doğrulanmış saldırı yollarını önceliklendirmeye çalıştığını aktarıyor.
Flying Eagle Android RAT’in izleri 170 sunucuda bulundu
Android cihazları hedef alan Flying Eagle RAT, suç gruplarının Telegram kanallarında dolaşırken 170 internet sunucusunda iz bıraktı. Hunt.io ve NetAskari, sahte “公安一网通办” uygulamasıyla dağıtılan çerçevenin ödeme parolalarını, tuş vuruşlarını, ekran kaydını ve kamera erişimini kullandığını; kaynak kodunun ise 388 MB’lık bir arşiv üzerinden yayıldığını aktardı.
Şirketlerin yüzde 73’ü büyük bir siber saldırıya hazır değil
Vanson Bourne tarafından ocak ve şubat 2026’da yapılan araştırma, kurumların yüzde 73’ünün ciddi bir siber saldırı karşısında tam hazır olmadığını ortaya koydu. Çalışma, müdahale planlarının varlığına rağmen koordinasyon, görünürlük, yönetim katılımı ve çoklu ortam desteğinde ciddi boşluklar bulunduğunu gösterdi. Yapay zekâ kullanımının arttığı, ancak bunun tek başına hazırlığın yerini alamadığı da raporda yer aldı.
Linux çekirdeğinde CVE-2026-53264 için istismar kodu yayımlandı
Linux çekirdeğindeki CVE-2026-53264 için çalışır istismar kodu yayımlandı; açık, ağ trafik kontrol alt sisteminde 7,8 CVSS puanlı bir use-after-free yarış koşuluna dayanıyor. Lee Jia Jie, yapay zekânın keşif ve istismar geliştirme sürecine yardımcı olduğunu söylerken, tam kaynak kodun kamuya açıldığı ve düzeltme alan sürümlerin de yayımlandığı aktarıldı.
Nimbus Manticore, NightLedger ile Orta Doğu ve Afrika ağlarına sızdı
Nimbus Manticore, Orta Doğu, Afrika ve Güney Asya’daki hedeflere NightLedger arka kapısı ile BridgeHead ve ArcBridge tünelleyicilerini taşıyan yeni bir saldırı dalgasıyla ilişkilendirildi. Aynı günlerde Group-IB, Microsoft 365 takvimini gizli komuta kanalına çeviren HOLLOWGRAPH adlı başka bir zararlı örneği Cavern Manticore ile bağlantılı olarak açıkladı.
Microsoft, MDASH’ta yeni modelle yüzde 95,95 açıkladı
Microsoft, MAI-Cyber-1-Flash ile MDASH içinde CyberGym’de yüzde 95,95 puan açıkladı; ancak skorun tek modele değil, GPT-5.4 ile birlikte çalışan sisteme ait olduğu anlaşılıyor. Şirketin paylaştığı veriler, modelin teknik sınırlarını, benchmark sonuçlarını ve erişimin yalnızca onaylı müşterilere açık olduğunu gösteriyor.
Öne Çıkan
HOOK Android Truva Atı Fidye Yazılımı Katmanlarıyla 107 Komuta Kadar Genişledi
HOOK Android Truva Atı, fidye yazılımı katmanları ve 107 uzaktan komut desteğiyle önemli bir evrim geçirdi. Finansal uygulamalar üzerinde sahte katmanlar göstererek kimlik bilgilerini çalabilen kötü amaçlı yazılım, Android erişilebilirlik servislerini kötüye kullanarak cihazları uzaktan kontrol edebiliyor. Ayrıca Anatsa bankacılık Truva Atı da dünya genelinde hedeflerini genişletirken, Google Play Protect kullanıcıları korumaya devam ediyor.
ESET Kurulum Dosyalarına Gizlenen Kalambur Arka Kapısıyla Ukrayna’da Hedefli Kimlik Avı Saldırıları
Mayıs 2025'te tespit edilen Rusya yanlısı InedibleOchotense kampanyası, Truva atı bulaşmış ESET kurulum dosyalarıyla Ukrayna'daki hedeflere Kalambur arka kapısını yerleştiriyor. Kalambur, Tor ağı üzerinden C2 iletişimi sağlıyor ve OpenSSH ile rastgele SSH portları üzerinden erişim sunuyor. Sandworm ve RomCom gibi diğer tehdit grupları da benzer gelişmiş saldırılar düzenliyor.
Yeni HybridPetya Fidye Yazılımı CVE-2024-7344 Açığını Kullanarak UEFI Secure Boot’u Aşıyor
HybridPetya, CVE-2024-7344 açığını kullanarak UEFI Secure Boot mekanizmasını aşabilen yeni bir fidye yazılımı varyantıdır. NTFS bölümlerindeki Ana Dosya Tablosu'nu şifreleyen zararlı, Salsa20 algoritmasıyla şifreleme yaparken EFI Sistem Bölümü'nde özel dosyalar oluşturarak şifreleme sürecini yönetiyor. ESET'in araştırmasına göre, bu zararlı UEFI bootkitleri arasında önemli bir örnek olup, Secure Boot atlatma tekniklerinin giderek yaygınlaştığını gösteriyor.
Scattered Spider Üyesine SIM Değiştirme Saldırılarıyla 10 Yıl Hapis ve 13 Milyon Dolar Tazminat Cezası
Scattered Spider grubunun önemli bir üyesi, SIM değiştirme saldırıları ve kripto para hırsızlığı nedeniyle 10 yıl hapis cezası aldı. Sosyal mühendislik yöntemleriyle kurumsal hedeflere erişim sağlayan grup, milyonlarca dolar değerinde dijital varlık çaldı. Güvenlik uzmanları, grubun insan faktörünü hedef alan gelişmiş taktiklerle faaliyet gösterdiğini vurguluyor.
TA558 Grubu, Brezilya Otellerine Venom RAT Dağıtımında Yapay Zeka Destekli Scriptler Kullanıyor
TA558 grubu, Brezilya ve İspanyolca konuşulan pazarlardaki otellere Venom RAT dağıtmak için yapay zeka destekli JavaScript ve PowerShell scriptleri kullanıyor. Kaspersky’nin RevengeHotels olarak adlandırdığı bu kampanya, gelişmiş anti-kill mekanizmaları ve kalıcılık özellikleriyle dikkat çekiyor. Siber suçlular, LLM ajanlarıyla oluşturulan kodları kullanarak saldırılarını çeşitlendirip yeni bölgelere yaymaya devam ediyor.
Blind Eagle Grubu, Kolombiya Hükümetini RAT ve Dinamik DNS Tabanlı Saldırılarla Hedefliyor
Blind Eagle tehdit grubu, 2024-2025 döneminde Kolombiya hükümet kurumları başta olmak üzere çeşitli sektörlere yönelik gelişmiş RAT tabanlı saldırılar gerçekleştirdi. Dinamik DNS altyapısı ve meşru internet servislerinin kötüye kullanımıyla desteklenen bu operasyonlar, beş ayrı faaliyet kümesiyle izlendi ve hem finansal hem de olası devlet destekli casusluk motivasyonları taşıyor.
Click Studios, Passwordstate Acil Erişim Sayfasındaki Kimlik Doğrulama Atlatma Açığını Düzeltti
Click Studios, Passwordstate 9.9 sürümüyle Acil Erişim sayfasındaki kritik bir kimlik doğrulama atlatma açığını giderdi. Güncelleme, ayrıca tarayıcı uzantılarına yönelik DOM tabanlı clickjacking saldırılarına karşı yeni korumalar içeriyor. Passwordstate, geniş bir kullanıcı kitlesine sahip ve geçmişte tedarik zinciri saldırılarıyla karşılaşmıştı.
Microsoft 80 Güvenlik Açığını Giderdi: SMB Yetki Yükseltme ve Azure Kritik Hatalarına Odaklanıldı
Microsoft, 80 güvenlik açığını gidererek özellikle SMB yetki yükseltme ve Azure'daki kritik hatalara odaklandı. Güncellemeler, SMB sunucusu için relay saldırılarını engelleyen yeni denetim mekanizmaları ve BitLocker'da tespit edilen yatay hareket tekniklerini kapsıyor. Ayrıca, birçok büyük yazılım üreticisi de son haftalarda önemli yamalar yayınladı.
BankBot-YNRK ve DeliveryRAT: Android Finansal Truva Atlarının Derinlemesine Analizi
BankBot-YNRK ve DeliveryRAT, Android cihazlarda finansal verileri hedef alan gelişmiş Truva atlarıdır. BankBot-YNRK, cihaz tespiti ve erişilebilirlik hizmetlerini kötüye kullanarak geniş yetkiler kazanırken, DeliveryRAT ise MaaS modeliyle Telegram üzerinden dağıtılmakta ve DDoS saldırıları gibi ek tehditler barındırmaktadır. Ayrıca, NFC üzerinden ödeme verilerinin yasa dışı ele geçirilmesi riski a
Haftalık Siber Güvenlik Özeti: WhatsApp 0-Gün Açığı, Docker Kritik Hatası ve Salesforce İhlali
Bu hafta WhatsApp, Docker ve Salesforce gibi kritik platformlarda önemli güvenlik açıkları giderildi. ABD Hazine Bakanlığı, Kuzey Kore bağlantılı sahte IT ağına yaptırım uygularken, siber suçlular kritik tedarik zincirlerini MixShell implantıyla hedef aldı. Ayrıca, AI sistemleri ve MCP sunucularının güvenliği ön planda yer aldı.
131 Chrome Uzantısı WhatsApp Web Üzerinde Gelişmiş Spam Otomasyonları İçin Kullanılıyor
Socket tarafından tespit edilen 131 Chrome uzantısı, WhatsApp Web üzerinde gelişmiş spam otomasyonları gerçekleştiriyor. DBX Tecnologia'nın franchise modeliyle yayılan bu uzantılar, WhatsApp'ın anti-spam önlemlerini aşarak toplu mesajlaşmayı mümkün kılıyor ve Google'ın politikalarını ihlal ediyor. Bu durum, Brezilya'da bankacılık truva atlarıyla bağlantılı büyük ölçekli kötü amaçlı kampanyalarla paralellik taşıyor.
CISA’dan Kritik Sitecore Güvenlik Açığı İçin Acil Yama Uyarısı
CISA, Sitecore ürünlerinde bulunan ve ASP.NET makine anahtarlarının kötüye kullanımıyla gerçekleşen kritik bir güvenlik açığı için acil yama çağrısı yaptı. Mandiant tarafından keşfedilen bu açık, karmaşık saldırı zincirleriyle uzaktan kod yürütme ve ayrıcalık yükseltme gibi tehlikeli faaliyetlere olanak tanıyor. Uzmanlar, anahtarların değiştirilmesi ve sistemlerin ihlal belirtileri açısından taranmasını öneriyor.
MystRodX Arka Kapısı: DNS ve ICMP Tetikleyicileriyle Gizli Kontrol Mekanizması
MystRodX, DNS ve ICMP tetikleyicileri kullanarak gizli kontrol sağlayan gelişmiş bir arka kapıdır. Çok katmanlı şifreleme ve esnek yapılandırma seçenekleriyle dikkat çeken zararlı, pasif ve aktif modlarda çalışabilmektedir. Çin bağlantılı Liminal Panda grubuyla ilişkilendirilen bu tehdit, sofistike gizlilik ve kontrol mekanizmaları sunar.
TA585 Grubu MonsterV2 Zararlısının Gelişmiş Saldırı Zincirini Analiz Etti
TA585 grubu, MonsterV2 zararlısını kendi altyapısı üzerinden çoklu teslimat teknikleriyle dağıtarak sofistike saldırı zincirleri oluşturuyor. Zararlı, anti-analiz özellikleri, klipper işlevi ve HVNC desteği gibi gelişmiş yeteneklere sahip. TA585'in faaliyetleri, CoreSecThree çerçevesiyle bağlantılı olup, hedefleme ve teslimatta yüksek uzmanlık gösteriyor.
Çinli TA415 Grubu, ABD Ekonomi Politikası Uzmanlarını VS Code Remote Tunnels ile Gözetliyor
Çinli TA415 grubu, ABD-Çin ekonomik ilişkileri bağlamında ABD'deki ekonomi politikası uzmanlarını hedef alan gelişmiş bir oltalama kampanyası yürütüyor. Saldırılar, Visual Studio Code Remote Tunnels kullanarak hedef sistemlere kalıcı erişim sağlıyor ve veri topluyor. Bu yöntem, meşru bir VS Code özelliğinin kötüye kullanılması nedeniyle tespit edilmesi zor bir tehdit oluşturuyor.
Adobe Commerce ve Magento’da Kritik CVE-2025-54236 Açığı Müşteri Hesaplarını Tehdit Ediyor
Adobe, Commerce ve Magento Open Source platformlarında yüksek riskli bir güvenlik açığını (CVE-2025-54236) duyurdu. Bu zafiyet, müşteri hesaplarının ele geçirilmesine olanak tanıyor ve Adobe tarafından hızlı yamalar ile WAF kuralları devreye alındı. Ayrıca, ColdFusion için kritik bir yol geçiş zafiyeti de yamalandı.