Bu hafta siber saldırı cephesinde yaklaşık 296 bin IoT cihazının Dysphoria botnet’ine kaptırıldığı, ABD’de 100’den fazla su ve atık su sisteminin hedef alındığı ve Microsoft SharePoint açıklarının tarandığı görüldü. Aynı listede kimlik avı çerçeveleri, sahte üretkenlik uygulamaları, Android bankacılık zararlıları, AI destekli botnet’ler ve kurumsal bulutlara uzanan yeni saldırı zincirleri de yer aldı.
Paylaşılan bulgular, saldırganların artık yalnızca klasik oltalama yöntemlerine değil; blockchain tabanlı komuta kanallarına, canlı oturum yöneten phishing altyapılarına, kötü amaçlı eklentilere ve sahte güvenlik taramalarına da yaslandığını gösteriyor. Birçok kampanyada ortak nokta ise aynı: görünüşte sıradan duran bir bağlantı, uygulama ya da yönetim ekranı üzerinden kimlik bilgisi, oturum belirteci ya da uzaktan erişim elde etmek. Haftanın öne çıkan vakaları, saldırı zincirlerinin kısa sürede farklı platformlara yayıldığını ve farklı zafiyet sınıflarını aynı operasyon içinde bir araya getirdiğini de ortaya koydu.
Kimlik avından botnet’e uzanan yeni saldırı zincirleri
ReliaQuest, 22 Ağustos 2026’da çalışanlarından birinin kimlik avı ve sosyal mühendislik girişiminin hedefi olduğunu doğruladı. Saldırganlar, güvenlik ekibinden biriymiş gibi davranarak birden fazla personele telefon açtı, benzer alan adıyla kurulan sahte bir tek oturum açma sayfasına yönlendirmeye çalıştı ve bir çalışanın parolasını girip telefondaki MFA bildirimi onaylamasıyla kısa süreli bir oturum erişimi sağladı. Şirket, bu erişimin yalnızca görüntüleme yetkisi verdiğini, herhangi bir uygulama ya da sistemin açılmadığını ve müşteri verisine dokunulmadığını bildirdi. Olayın kullandığı yöntemler, ShinyHunters ve benzeri gasp odaklı grupların son kampanyalarında görülen sahte çağrı, tek kullanımlık alan adı, CDN arkasında barındırılan toplama sayfası ve MFA push istismarıyla birebir örtüşüyor. ReliaQuest, geçen hafta da dark web portalında ShinyHunters kampanyasına işaret eden alan adlarını izlediğini açıklamıştı; bunlar arasında “reliaquest[.]claims” de yer aldı.
Aynı dönemde internette dolaşan sahte üretkenlik uygulamaları da kullanıcıları zararlı yazılım indirmeye yöneltti. Kitchen Canvas, Food or Meal Formula, DocConvertWizard ve benzeri isimlerle sunulan Electron tabanlı uygulamaların, görünürde belge dönüştürme ya da masaüstü verimlilik aracı gibi çalıştığı, ancak yerleştirilen betikleri çalıştırabildiği ve Electron API’leri üzerinden masaüstü yakalama yeteneğine erişebildiği aktarıldı. Bu kurgu, uygulamayı açan kişinin zararlı davranışı fark etmesini zorlaştırıyor. Kampanyada yer alan web siteleri, üretkenlik yazılımı reklamı yaparak kullanıcıları aldatıcı biçimde çalışan programları indirmeye çekiyor.
Cisco Talos’un incelediği JWR adlı belgelenmemiş bir phishing çerçevesi de çevrimiçi ödeme ve alışveriş ekranlarını gerçek zamanlı taklit ediyor. Developer tarafından dahili olarak “JWR” diye adlandırılan sistem, ödeme ve giriş sayfalarını ikna edici biçimde kopyalayacak şekilde tasarlandı. AES-CTR ile şifrelenmiş bir WebSocket bağlantısını açık tutan yapı, operatörün kurbanın oturumunu canlı yönlendirmesine imkân veriyor. JWR yalnızca kart verisiyle yetinmiyor; kimlik belgeleri, Sosyal Güvenlik numaraları, pasaport ve ehliyet görüntüleri, web sitesi ve PayPal hesapları, iki aşamalı doğrulama kodları ile tam cihaz parmak izini de topluyor. Yapıya bakıldığında bunun, The Outsider adlı phishing-as-a-service platformunun bir varyantı olduğu değerlendiriliyor.
Android tarafında ise Octagon adlı daha önce belgelenmemiş bir bankacılık zararlısı underground forumlarda MaaS modeliyle satılıyor. Kendini AndroidKitKat adını kullanan Rusça konuşan bir aktörün pazarladığı zararlı, ayda 1.400 dolar karşılığında erişilebilirlik katmanları, gizli VNC, SMS ve tek kullanımlık şifre yakalama, ekran kilidi deseni toplama ve ekranda bakiye okuma gibi özellikler sunuyor. iVerify’nin aktardığına göre Octagon, kurulumdan sonra özellikle kripto cüzdanlarını ve bankacılık uygulamalarını hedef alıyor; dağıtım uygulaması ise alakasız bir tema kullanarak dikkat dağıtıyor.
Zscaler ThreatLabz’in Temmuz 2026’da keşfettiğini söylediği C2Looper ise Rust tabanlı yeni bir arka kapı ailesi. Çok aşamalı bir ClickFix enfeksiyon zinciriyle dağıtılan zararlı, uzaktan kabuk çalıştırma, keşif ve ek kötü amaçlı araç indirme komutlarını destekliyor. Araştırmacılar, C2Looper’ın Windows API’lerini dinamik çözdüğünü ve dizeleri şifrelediğini belirtti. Varyantlardan birinde komuta ve kontrol trafiği için GitHub’ın kullanılması da tespit edildi. Zscaler, bu ailenin fidye yazılımıyla bağlantılı bir tehdit aktörü tarafından kullanılıyor olmasının muhtemel olduğunu aktardı.
Botnet tarafında Dysphoria adını taşıyan yapı yaklaşık 296 bin IoT cihazını ele geçirmiş durumda. Shadowserver Foundation, botnet’in öncelikli amacının DDoS saldırıları olduğunu, son dönemde ise konut tipi proxy işlevi kazandığını bildirdi. Aynı sınıfta yer alan Aeternum adlı C++ botnet yükleyicisi de C2 altyapısını doğrudan Polygon blokzincirine taşımış durumda. Palo Alto Networks Unit 42, saldırganların merkezi sunucu ya da alan adı kullanmak yerine şifreli ve düz komutları akıllı sözleşmelere yazdığını, enfekte cihazların da kamuya açık RPC uç noktalarına sürekli bağlanarak bu komutları çektiğini açıkladı. Sanal makine tespiti ve antivirüs taraması gibi kaçınma yöntemleri de yapının parçası. Aeternum için gelen komutlar, merkezi altyapı yerine halka açık blokzincir kayıtları üzerinden dağıtılıyor.
Bir başka örnekte ToxNetV2 adlı AArch64 Linux eşler arası botnet, kontrol iş akışına büyük dil modeli ekledi. Joe Security, controller’ın NVIDIA NIM ile z-ai/glm-5.2 modeli üzerinden iletişim kurduğunu ve enfekte ortam hakkındaki telemetriyi modele aktararak hangi yeteneklerin kullanılacağını değerlendirdiğini aktardı. Sistem tam otonom değil; yüksek etkili işlemler için son onay operatörde kalıyor. Onay sonrası yerel komut çalıştırma, dosya yazma, uzak SSH, kalıcı durum ve derleme iş akışı devreye girebiliyor. Daha geniş Tox tabanlı yapıda ise şifreli eşler arası C2, ana makine yönetimi, tarama işçileri, kendini yayma mantığı ve 17 ağ saldırısı başlatıcısı bulunuyor. Joe Security, AI alt sisteminin yalnızca daha geniş botnet mimarisi içindeki bir bileşen olduğunun da altını çizdi.
Phantom Stealer da bu haftanın öne çıkan diğer zararlılarından biri oldu. Splunk’a göre bu bilgi hırsızı, tarayıcı kimlik bilgileri, kayıtlı parolalar, oturum çerezleri, kripto cüzdan dosyaları ve ayrıntılı sistem parmak izlerini toplamak için tasarlandı. Zararlı, farklı ülkelerdeki kullanıcılara karşı yürütülen birçok kampanyada görüldü; sıklıkla phishing yemleri, kırılmış yazılımlar ve Discord ile Telegram üzerinden yayılan kötü amaçlı bağlantılar aracılığıyla dağıtıldı. Splunk, modüler yapısı ve düşük giriş bariyerinin Phantom Stealer’ı hem yeni başlayanlar hem de deneyimli saldırganlar için çekici hale getirdiğini bildirdi. Aynı başlık altında görülen Salat Stealer ise Go ile yazıldı; sistem keşfi yapabiliyor, kimlik bilgisi çalabiliyor ve masaüstü akışı ile ses/görüntü yakalama üzerinden kurban faaliyetini izleyebiliyor.
Kurumsal ağlar, endüstriyel sistemler ve Microsoft ekosistemi
CISA, temmuz ayında ABD Su ve Atık Su Sistemleri sektörüne yönelik saldırıların 100’den fazla internete açık sistemi hedef aldığını duyurdu. İstismarın İran bağlantılı tehdit aktörlerine atfedildiği bildirildi. Saldırılar, doğrudan hücresel modem üzerinden internete bağlanan programlanabilir mantık denetleyicileri, yani PLC’leri kullandı. Kurum, PLC’lerin bu şekilde doğrudan internete açılmasının ciddi güvenlik riski yarattığını, ancak uzaktan erişimi tamamen kapatmak yerine gereksiz erişimi kaldırıp gerekeni güvenli hale getirmenin doğru yaklaşım olduğunu vurguladı. Huntress’ten Ben Bernstein, faaliyeti kamuya açık sistemleri hedefleyen fırsatçı ve otomatik bir tarama olarak tanımladı; saldırganların yapay zekâyı bu cihazlar için istismar betiği yazmakta kullanması ise yalnızca sürecin bir ayrıntısı olarak görüldü.
Microsoft SharePoint tarafında ise iki açık, saldırganların keşif amaçlı kullandığı bir istismar zinciri olarak öne çıktı. CVE-2026-55040, JWT token doğrulama hattındaki kimlik doğrulama atlatma zafiyetini; CVE-2026-63520 ise Microsoft Office SharePoint’te yanlış giriş doğrulamasından kaynaklanan ve kod çalıştırmaya izin veren açığı ifade ediyor. Defused Cyber, bu iki açığın honeypot sistemlerine karşı kullanıldığını ve önce JWT bypass’ının, ardından yoğun yönetici sayımı ile Business Data Catalog yüzeyinin yoklandığını bildirdi. Şirket, henüz kod çalıştırma gözlemlenmediğini ekledi.
Microsoft Purview’da keşfedilen bir başka güvenlik sorunu da tek bir dış Teams mesajı, e-postası ya da Copilot istemiyle saklı kötü amaçlı kodun denetçi tarayıcısına taşınabilmesine dayanıyor. Cymulate’ın bulgusuna göre, tamamen farklı bir tenant’taki ve sizin ortamınızda yetkisi olmayan standart bir kullanıcı bile Teams mesajı, e-posta veya Copilot prompt’u ile kötü amaçlı içerik gönderebiliyor; bu içerik işaretlenip açıldığında, JavaScript kodu doğrulanmış purview.microsoft.com oturumunda çalışabiliyor. Proof of concept sırasında bu durumun, gözden geçiren kişinin erişim ve yenileme belirteçlerinin tarayıcıdan çıkıp saldırgana ait sunucuya ulaşmasına yol açtığı aktarıldı. Microsoft daha sonra hizmet tarafında bir düzeltme yayımladığını açıkladı.
Şirket, yama penceresinin de hızla daraldığı uyarısını yaptı. Açıklamaya göre yeni duyurulan açıklar, güvenlik araştırmaları ve PoC’lerin küresel ölçekte saatler içinde yayılması nedeniyle, kurumların düzeltme uygulamadan önce aktif tarama ve istismara maruz kalma süresi giderek kısalıyor. Microsoft, modern saldırı kampanyalarının internet ölçeğinde çalıştığını, savunucuların binlerce sunucu, uygulama, veritabanı, konteyner ve ağ varlığından oluşan tüm ortamı korumak zorunda kaldığını, saldırganların ise yalnızca tek bir uygulanabilir yol bulmasının yeterli olduğunu belirtti. Bu nedenle, ağ merkezli bir “control plane” yaklaşımı önerdi ve bunun amacının yamadan kaçınmak değil, yama tamamlanana kadar anlamlı bir savunma katmanı oluşturmak olduğunu söyledi.
Microsoft ekosistemini hedef alan bir başka zincir de sahte Microsoft Security Scan siteleriyle kullanıcıları antivirüs kaldırmaya yöneltti. Malwarebytes’in izlediği kampanyada, SysScan gibi adlar taşıyan ve Microsoft markasını kullanan 11 sahte web sitesi yer aldı. Bu siteler, antivirüs araçlarının beklendiği gibi çalışıp çalışmadığını kontrol etme vaadiyle geliyor, ardından uyumluluk sorunu bahanesiyle cihazdaki güvenlik yazılımlarının hemen kaldırılmasını istiyordu. Şirket, sitelerin aynı işleyişi benimsediğini; ikna edici ama sahte bir güvenlik taraması gösterip antivirüsün sorun yarattığını iddia ettiğini, ardından mağdurun bilgilerini topladığını ve sözde bir iade çağrısına hazırladığını bildirdi.
Chrome tarafında da benzer bir zincir görüldü. Çok aşamalı bir saldırı, önce Rust ikilisi, ardından kötü amaçlı bir Chrome uzantısı ve AutoIt betiği bırakıyor; son aşamada StealC stealer devreye giriyor. VMRay Labs, uzantının Google Translate gibi davrandığını, kurulduktan sonra tarayıcı geçmişini, yer imlerini, yüklü uzantı listesini, kayıtlı kimlik bilgilerini ve çerezleri çıkardığını aktardı. Uzaktan kontrol tarafında ise kurbanın Chrome pencerelerinin canlı akışı, fare tıklamaları ve klavye girdileriyle etkileşim, proxy ayarı ve belirli sitelere kötü amaçlı JavaScript enjekte etme yeteneği sunuldu. Uzantı, odakta olmayan pencereler üzerinde de kontrol sağlayabiliyor ve adres çubuğu gerçek alan adını gösterirken sahte giriş formu yükleyen bir adversary-in-the-middle tekniğiyle çalışabiliyor.
PackClient adlı RAT ve C2 çerçevesi de Telegram üzerinden satılarak en az bir tehdit aktörü tarafından kullanıldı. Proofpoint, Çince konuşan TA4922’nin bu araçla kampanyalar yürüttüğünü ve ilk gözlemin Mayıs 2026’nın sonlarında vergi temalı bir yemle, Shandong Provincial Tax Bureau taklidiyle yapıldığını bildirdi. Temmuz 2026 ortası ile sonu arasında iki ayrı kampanya daha, Hint vergi otoritelerini taklit eden ve ceza temalı yemler kullanan dağıtımlar olarak kayda geçti. PackClient; birinci aşama yükleyici, ikinci aşama yükleyici DLL’i, çekirdek modül ve operatör komutuyla indirilebilen isteğe bağlı eklentilerden oluşuyor. Zararlı iki sabit C2 uç noktasına ham TCP soketleriyle bağlanıyor; çekirdek RAT DLL’ini indirip yansıtmalı biçimde çalıştırıyor, komut alıyor ve ek eklenti ya da yük indiriyor. Komutlar C2 sunucularını yapılandırma, kabuk komutları çalıştırma, ekran yakalama, SOCKS proxy tüneli açma, web kamera kaydı, dosya işlemleri, süreçleri numaralandırma, tuş vuruşlarını kaydetme ve çekirdek modülü güncelleme işlevlerini kapsıyor. Tespit edilen 11 eklenti arasında uzak masaüstü ekran paylaşımı, RDP benzeri sanal masaüstü, dosya yönetimi, sistem idaresi, etkileşimli uzaktan kabuk ve web kamera akışı da bulunuyor.
Bulut tarafında ise Miraak adlı modüler post-exploitation çerçevesi, saldırgan kontrolündeki açık dizinlerde ortaya çıkarıldı. Blackpoint Cyber, 144.172.96[.]13 adresinde bulunan yapının, ele geçirilmiş sistemler üzerinde kalıcı kontrol sağlamak üzere tasarlandığını; komut çalıştırma, dosya transferi, süreç yönetimi, ekran görüntüsü toplama ve genişletilebilir post-exploitation etkinliği desteklediğini bildirdi. Çerçevenin ayırt edici yönü, klasik web tabanlı C2 uç noktaları yerine bulut tabanlı PostgreSQL ve Timescale altyapısı kullanması oldu. Böylece enfekte sistemler veritabanı bağlantıları üzerinden kaydediliyor, görevler alınıyor ve sonuçlar geri iletiliyor. Araç henüz bilinen bir tehdit aktörüne ya da gruba atfedilmedi.
Kamuya açık GitHub pull request’leri üzerinden dağıtılmaya çalışılan Deadbugz adlı tedarik zinciri kampanyası da bu haftanın gündemindeydi. Pillar Security, kampanyanın ilk bakışta zararsız görünen “productivity-suite” adlı kötü amaçlı bir Model Context Protocol sunucusu dağıtmaya çalıştığını bildirdi. Sunucu başlangıçta metin biçimlendirme ve özetleme sunuyor; ancak bağlı istemci üç araç çağrısı yaptıktan sonra geri döndürdüğü talimatları değiştiriyor. Yeni metadata, AI aracısına SSH anahtarları, AWS kimlik bilgileri, shell geçmişi ve Kubernetes yapılandırması gibi hassas bilgileri aramasını ve bu faaliyeti kullanıcıdan gizlemesini söylüyor. Kampanya, runtime-gated MCP metadata poisoning tekniğini de kullanıyor; kötü amaçlı talimatlar sunucunun içine yerleştirilmiş olsa da istemci üç sıradan araç çağrısı yapana kadar saklı tutuluyor.
Linux Foundation’ın duyurduğu TRACE standardı ise yapay zeka ajanları ve confidential workload’lar için donanım tarafından doğrulanmış çalışma zamanı ve uyumluluk kanıtı sağlamak üzere geliştirildi. AMD, Intel, Microsoft, OPAQUE ve TII iş birliğiyle hazırlanan açık spesifikasyon, güvenilir yönetişim kayıtları için standart ve açık bir kanıt katmanı oluşturmayı amaçlıyor. Vakıf, özerkleşen AI ajanları ve açık ağırlıklı modeller yaygınlaştıkça, hassas verinin politika doğrultusunda işlendiğini kanıtlayacak tutarlı ve güvenilir bir yönteme ihtiyaç doğduğunu belirtti. TRACE; çalışma zamanı ortamı, yazılım, politikalar, veri sınıfları ve araç kullanımını taşınabilir, kriptografik olarak doğrulanabilir bir kayıt altında birleştiriyor.
Haftanın son başlıklarından biri de 11 sahte siteyle yürütülen tarama dolandırıcılığı ve buna eşlik eden Microsoft’un per-app gizlilik denetimleri oldu. Microsoft, Windows 11 Insider kullanıcılarının artık kamera, mikrofon ve hassas konum erişimini masaüstü uygulama bazında yönetebildiğini açıkladı. Önceki modelde geleneksel masaüstü uygulamaların erişimi tek bir cihaz genel ayarıyla denetleniyordu; yeni pilotta ise kullanıcılar her uygulama için ayrı ayrı izinleri gözden geçirip kontrol edebiliyor. Şirket, bunun hangi uygulamaların hassas kaynaklara erişim talep ettiğini daha görünür kıldığını söyledi.
Microsoft’a göre patch penceresinin daralması, CISA’nın su altyapısı uyarısı ve SharePoint zincirlerinde görülen hızlı tarama, haftanın aynı gerçeğe işaret eden farklı örnekleri oldu. Saldırganlar, ister sahte bir oturum açma sayfası kullansın, ister blokzincire yazılmış komutlara yaslansın, ister bir tarayıcı uzantısını ele geçirsin, yine de tek bir açık kapı arıyor. Bu hafta ortaya çıkan vakaların ortak noktası da tam olarak buydu.