Yeni saldırı dalgaları, kurumsal oturum çalma, sahte giriş sayfalarıyla kimlik bilgisi toplama, eski entegrasyonları istismar etme ve güvenilir yazılımları arka kapıya dönüştürme yöntemlerinin hâlâ ne kadar etkili olduğunu ortaya koydu. Son analizlerde Microsoft Teams üzerinden yürütülen oltalama ve vishing operasyonları, yüzlerce kurumu hedef alan fidye yazılımı faaliyetleri, yaklaşık 5 bin Dropbox hesabını etkileyen ihlal ve OAuth onay hileleri öne çıktı.
Hafta boyunca ortaya çıkan vakalar, saldırganların artık yalnızca parola peşinde koşmadığını, oturum, uygulama izni ve kurumsal uzaktan yönetim araçları üzerinden kalıcı erişim kurduğunu gösterdi. Araştırmacılar ayrıca sahte yazılım siteleri, Telegram üzerinden dağıtılan phishing-kit’ler, gizli DLL yüklemeleri, AI talimat dosyalarındaki yanlış yapılandırmalar ve kurumsal ağlarda arka planda çalışan fidye yazılımı zincirlerini de raporladı.
Teams, uzaktan destek kılıfı ve vishing aynı zincirde
Microsoft, dış işbirliği özelliği üzerinden kullanılan Microsoft Teams hesaplarının IT desteği ya da yardım masası personeli gibi davranılarak çalışanları kandırmak için kullanıldığı insan eliyle yürütülen bir sızma kampanyası konusunda uyarıda bulundu. Şirketin anlatımına göre saldırganlar, kurbanı interaktif bir uzaktan oturuma izin vermeye ikna ediyor; bağlantı kurulduktan sonra ise PowerShell çalıştırarak kötü amaçlı bir MSI paketi indiriyor ve bunu sessizce kuruyor.
Microsoft’un tarif ettiği zincirde bu MSI paketi taşınabilir bir Node.js çalışma zamanı ile obfuscate edilmiş bir JavaScript implantı kuruyor. İmplant, kalıcı komut çalıştırma ve komuta-kontrol iletişimi sağlıyor. Ardından saldırganlar ana makine ve Active Directory keşfi yapıyor, kurbanın ekran görüntülerini periyodik olarak alıyor, meşru Windows ikili dosyalarını kullanarak ek yükler çalıştırıyor ve Windows Remote Management (WinRM) üzerinden alan denetleyicileri gibi yüksek değerli varlıklara sıçrıyor. Microsoft, bu “intrusion pattern”ı yüksek etkili olarak tanımladı; çünkü dışarıdaki bir operatöre iç altyapıda etkileşimli erişim veriyor.
Teams’i merkeze alan başka bir operasyon da Palo Alto Networks Unit 42 tarafından izlenen Spring Ring oldu. Ocak ile Nisan 2026 arasında en az 10 şirkette 150’den fazla çalışana ulaşan bu koordineli kampanya, dış Microsoft Teams hesaplarıyla IT help desk personeli kılığına girerek ilerledi. İlk bakışta zararsız bir sohbet gibi görünen görüşmelerin, aslında kurbanları RMM araçları ya da özel zararlı yazılımlar çalıştırmaya zorlamayı amaçlayan voice phishing araması olduğu belirtildi.
Unit 42, daha gelişmiş bir varyantta saldırganların vishing çağrısından tam ölçekli bir NTLM relay saldırısına geçtiğini ve hedefin bir kuruluşun domain controller’ı olduğunu aktardı. Chat ve arama denemelerinin arkasında 26 ayrı saldırgan kimliği belirlendi. Bu tür kampanyalarda RMM araçları, güvenlik ekiplerinin de uzaktan yönetim ve destek için kullandığı meşru yazılımlar olduğu için, saldırı ile yönetim trafiği arasındaki çizgi özellikle bulanıklaşıyor.
Benzer bir çizgi, Huntress’in izlediği vakalarda da görüldü. Saldırganlar, Faronics Deploy adlı kurumsal uç nokta yönetim platformunu kötüye kullanarak oltalama kurbanlarının sistemi kurmasına rağmen kendi kontrol ettikleri PowerShell komutlarını çalıştırdı. Şirket, 457’den fazla uç noktanın Faronics temalı oltalama içeriğiyle karşılaştığını bildirdi. Gözlemlenen zincirlerde Faronics Deploy, ScreenConnect’e bağlanarak kötü amaçlı uzaktan erişimi güvenilir yazılım iş akışının içine gömdü.
Kurulum yöntemi kampanyaya göre değişti; bazı örneklerde ek içerik curl ya da MSHTA ile çekildi, bazılarında ise msiexec kullanılarak saldırgan altyapısında barındırılan yükler kuruldu. Son aşamada ScreenConnect çalıştırıldı ve ele geçirilen uç noktada ikinci bir uzaktan erişim kanalı açıldı.
Sahte girişler, taklit kitler ve sessiz veri toplama
ZeroBEC, finans sektöründeki üst düzey yöneticileri hedef almak için kullanılan BlueKit adlı anahtar teslim phishing hizmetinin ayrıntılarını yayımladı. Kampanya, browser-in-the-middle, yani BitM altyapısıyla kimlik bilgisi ve oturum çalmaya odaklanıyor. Saldırı zinciri, belge paylaşımı kılığına sokulmuş davetlerle tetikleniyor; ardından ZeroBot ile bot filtrelemesi yapılıyor. ZeroBEC’ye göre saldırı yalnızca parola ya da oturum çalmakla kalmadı, seçilen kurbanlar sahte bir belge görüntüleyici akışına alındı ve bu akışta saldırganın kontrolündeki bir ScreenConnect bulut örneğine bağlı meşru bir istemci teslim edildi.
BlueKit hizmeti yedi gün için 250 dolar, 14 gün için 480 dolar ve 30 gün için 940 dolar olarak pazarlanıyor. Bu fiyatlandırma, onu Tycoon 2FA, Greatness ve Forg365 gibi piyasa içi diğer hizmetlerin üzerinde konumlandırıyor.
Phishing-as-a-service tarafında bir başka örnek de Outsider oldu. Kolluk kuvvetlerinin bazı alan adlarını devre dışı bırakmasına rağmen hizmetin ayakta kaldığı, Google’ın operatörlere karşı açtığı hukuk davasından sonraki bir ay içinde 700’den fazla yeni phishing sayfası üretildiği bildirildi. Kampanyalar SMS üzerinden dağıtılıyor. Group-IB’nin ifadesine göre, bir zamanlar teknik uzmanlık isteyen bir operasyon abonelik ve Telegram kanalına indirgenmiş durumda. Kitler özel bir Telegram ekosistemi üzerinden dağıtılıyor; operatörler canlı tuş kaydı için WebSocket bağlantısı kullanıyor ve çok faktörlü kimlik doğrulama meydan okumalarını manipüle ediyor.
İncelemeye giren bir başka taktik de DLL sideloading oldu. iZOOlogic, Birleşik Arap Emirlikleri ve Hindistan temalı vergi değerlendirme yemleriyle dağıtılan bir kampanyada alıcılara kötü amaçlı bir disk imajı açtırılmaya çalışıldığını aktardı. Disk imajının içinde meşru, geçerli şekilde imzalanmış bir ticari yürütülebilir dosya ile gizlenmiş, imzasız kötü amaçlı bir DLL bulunuyor.
Bu yapı, yazılım güveninin kötüye kullanılması ve DLL sideloading’i kampanyanın merkezine yerleştiriyor. Kötü amaçlı DLL bir loader gibi davranıyor, birden fazla çalıştırma ve kalıcılık mekanizması kuruyor. Loader içinde şifrelenmiş üç yük var; ikisi farklı ticari ürünlere ait meşru imzalı kernel driver’lara çözümleniyor, üçüncüsü ise bir kalıcılık betiği oluyor. Saldırı zinciri, Registry’de barınan ikinci aşamaya uzanıyor ve bu aşama UDP üzerinden harici bir sunucuya bağlanıyor.
Elektron uygulamalarını hedef alan RevStealer kampanyası da benzer biçimde meşru yazılım görünümünü kullanıyor. Morphisec, GitHub depoları ve oyun hilesi temalı siteler üzerinden dağıtılan trojanlaştırılmış Electron masaüstü uygulamalarının Windows bilgi hırsızı RevStealer’ı yaydığını bildirdi. Saldırıda kullanılan yükleyici, uygulama kaynağı içine AES ile şifrelenmiş yerel bir payload saklıyor, kullanıcının AppData klasörünü Microsoft Defender dışlama listesine eklemeye çalışıyor ve yükü görünür bir pencere açmadan çalıştırıyor.
RevStealer önce anti-analysis ve anti-VM kontrolleri yapıyor. Ana C2 erişilemezse, Polygon blockchain üzerindeki bir akıllı sözleşmeden yedek adres okuyor ve operatörlerin altyapıyı yeniden derlemeden adres değiştirmesine imkan veriyor. Zararlı yazılım kalıcılıktan çok tek seferde olabildiğince fazla veri toplama yaklaşımına yaslanıyor; verileri şifrelenmiş biçimde dışarı aktarıyor ve ardından kendini siliyor.
Bir başka vakada da Intezer, sahte bir “privacy browser”ın uzaktan verilen komutları kurban makinede fare ve klavye girdisine dönüştürdüğünü ortaya koydu. “www.mxsetuplogi.com” adlı sahte site, Google’daki sponsorlu sonuçlar üzerinden öne çıkarıldı; kurbanın adres çubuğuna “www.mxsetup.logi.con” yazarak alan adını yanlış girmesi zinciri başlatan ilk adım oldu. Şirket, bunu internet üzerinden dağıtılan bir USB Rubber Ducky saldırısı olarak tanımladı.
İncelemede saldırının EDR’den kaçtığı ve VirusTotal üzerinde sıfır ila iki tespit aralığında kaldığı vurgulandı. Enfeksiyon, sıradan bir mouse kurulumunda yapılan tek bir yazım hatasıyla başladı; kurban, malvertising ağı üzerinden Microsoft altyapısıyla imzalanmış bir MSIX yükleyicisine yönlendirildi. Kampanyanın, Ocak 2016’daki benzer bir operasyona kadar izlenebildiği ve en az on yıldır aktif olduğu kaydedildi.
FBI’ın uyardığı OAuth consent phishing vakaları da benzer şekilde parola yerine izin akışlarını hedef alıyor. Kurum, kötü niyetli aktörlerin tanınmış kurbanları, aile üyelerini ve yakın çevrelerini kişisel hesaplarından doğrudan mesajla hedef aldığını, kötü amaçlı bağlantılar üzerinden OAuth onayı alarak hesaba erişim sağladığını bildirdi. Hedefler arasında hükümet yetkilileri, medya mensupları ve kamuya mal olmuş isimler bulunuyor.
Mesajlaşma uygulaması üzerinden gelen saldırılarda kurbanlardan, saldırganın kontrolündeki bir dosya paylaşım hizmeti kılığındaki bağlantıyı açmaları istendi. Önceki kampanyalarda organizatör ve planlayıcı kılığına girildiği, olay daveti ve kimlik doğrulama bahanesiyle kötü amaçlı uygulama üzerinden bağlantı onayı alındığı da belirtildi. FBI, kaç kişinin etkilendiğine ya da saldırıların arkasında kimin olduğuna dair ayrıntı vermedi.
Dropbox da ağustos ayındaki bir ihlal nedeniyle yaklaşık 5 bin hesabın etkilendiğini açıkladı. Şirket, Lenovo ID’ye bağlı ve iki faktörlü kimlik doğrulaması etkin olmayan hesaplar üzerinden yetkisiz erişim tespit ettiğini, ardından Lenovo ID ile doğrulanan tüm oturumları sonlandırdığını bildirdi. Lenovo, olayın Dropbox ile kendi sistemleri arasındaki eski bir entegrasyonla ilişkili olduğunu ve bu entegrasyonun bazı Dropbox hesaplarını yanlış şekilde doğrulamak için kullanılabildiğini söyledi.
İhlalin ardından veri saklama platformunda yer alan içeriklerin görüntülendiği ve indirildiği belirtildi. Lenovo tarafı da inceleme yürütüyor.
AI tarafında ise başka bir risk sınıfı öne çıktı. Savunma yüklenicileri, Fortune 500 şirketleri ve büyük teknoloji firmalarına ait 6 bin 214 canlı alan adının taranması, kök dizinde robots.txt yanında llms.txt veya llms-full.txt dosyaları barındırıldığını ortaya koydu. Bu dosyalar, arama motoru haritası ya da yasal uyarı değil; AI ajanlarına ne okunacağı, hangi API’lerin çağrılacağı, hangi paketlerin kurulacağı ve hangi alan adlarına güvenileceğini söyleyen talimat setleri olarak kullanılıyor.
Tarama sonucunda 8 bin 265 llms.txt ve llms-full.txt dosyası bulundu. Bunların 120’si, farklı sitelerde yer alan ve PyPI ya da npm paket adlarına yönlendiren kurulum talimatları içeriyordu; ancak bu paket adlarının yöneldiği alan adları daha önce hiç kaydedilmemişti. Araştırmacılar, şirket adlarından ödünç alınan bazı paket adlarını PyPI ve npm’de kaydedip içine tek bir telefon sinyali yerleştirdiklerini, ilk geri dönüşün dört dakikadan kısa sürede geldiğini söyledi.
En kritik bulgu ise bu yanlış yapılandırmalardan birinin aktif saldırıda kullanılmış olmasıydı. Kimlik doğrulama sağlayıcısı Clerk’in llms.txt dosyasında, scoped paket @clerk/eslint-plugin yerine “clerk-next-fix-auth-protection” adlı bir npm paketine atıf yapıldığı görüldü. Kimliği bilinmeyen bir aktör aynı adı taşıyan herkese açık paketi kaydetti ve içine yükleyicinin kullanıcı adını, makine adını, çalışma dizinini ve zaman damgasını harici bir sunucuya gönderen kod ekledi. Clerk daha sonra sorunu giderdi.
Benzer biçimde, Prince of Persia ya da Indy adıyla izlenen İran bağlantılı grubun arka uç altyapısı da incelendi. Whisper Security’den Kaveh Azarhoosh, grubun canlı her C2 sunucusunda kendi alan adlarının nameserver’larını da çalıştırdığını belirtti. Ayrıca, grubun kendi nameserver’larına delegasyonu yapılmış 58 pasif alan adı da tespit edildi; bunların hiçbirinin şu anda bir sunucuya işaret etmediği aktarıldı. Azarhoosh’a göre bu alan adları “hazır bekletiliyor”, yani herhangi birine adres kaydı girildiği anda yeni bir komuta sunucusu yayına alınmış sayılıyor.
Fidye yazılımı tarafında Sophos, The Gentlemen olarak izlediği ve Gold Sherwood adıyla takip ettiği operasyonun 2026 Temmuz sonuna kadar toplam 683 kurban sayısına ulaştığını, yalnızca Temmuz ayında 169 yeni kurban eklediğini duyurdu. Grup, hızlı ayrıcalık yükseltme, meşru uzaktan erişim mekanizmaları, güvenilir sistem yollarında araç hazırlama, hedefli veri sızdırma, savunmadan kaçınma, yedekleri bozma ve fidye yazılımı dağıtımını birleştiren tekrarlanabilir bir affiliate playbook kullanıyor.
Sophos’a göre iştirakçiler, yerel Windows araçlarını, ticari ve açık kaynak yardımcıları, BYOVD tabanlı EDR öldürücülerini ve yedek hizmetlerine müdahaleyi ortamdan ortama uyum sağlamak için kullanıyor. Böylece şifreleme başlamadan önce etkilerini maksimize ediyorlar.
Bir başka fidye yazılımı operasyonu olan CRPx0 ise çapraz platform çalışmasıyla öne çıktı. Ransom-ISAC Research Team, Windows ve macOS güncelleme istemleri ile reCAPTCHA kontrollerini taklit eden ClickFix yemleriyle dağıtılan bu RaaS yapısının, kullanıcıyı kopyalanmış bir komutu çalıştırmaya ikna ettiğini bildirdi. Windows tarafında çok aşamalı bir DLL zinciri başlıyor; macOS tarafında Python yükü doğrudan indiriliyor.
Final yük, veri sızdırdıktan sonra AES-128-CBC ile dosyaları şifreleyen, kurban başına üretilen anahtarı gömülü RSA-4096 açık anahtarıyla saran ve yanlamasına hareket denemeleri yapan çapraz platform bir Python fidye yazılımı. Kurbanlara Bitcoin ya da Monero ile 48 saat içinde ödeme talep eden notlar bırakılıyor. RaaS programı ilk kez 7 Haziran 2026’da ortaya çıktı; Ağustos sonuna gelindiğinde grup, compromised makineleri yönetmek, dosya ve kimlik bilgisi toplamak, çalınan kripto varlık izlerini izlemek, uzaktan komut çalıştırmak ve fidye yazılımını manuel başlatmak için kullandığı saldırgan kontrol panelini “crpx0[.]su/v3.txt” adresinde clearnet üzerinden de pazarlıyordu.
AI tedarikçileri ve güvenlik şirketleri ise artan saldırı hızına karşı ortak hareket çağrısı yaptı. Anthropic, Google, OpenAI, Microsoft, Perplexity ve diğer 100’den fazla şirketin imzasını taşıyan açık mektup, AI’nin saldırı zaman çizelgelerini sıkıştırdığını, saldırıların hız ve ölçeğini artırdığını ve savunucuların istismar edilmeden önce açıkları kapatmak için sahip olduğu süreyi kısalttığını vurguladı. Mektupta, mevcut siber güvenlik yaklaşımının AI destekli saldırı dalgasına hazır olmadığı, saldırganların uzun süredir bilinen zafiyetleri, aşırı yetkileri, yanlış yapılandırmaları, güvensiz ve yamanmamış yazılımları, zayıf kimlik doğrulamayı ve eski sistemlerde biriken teknik borcu kullanabildiği ifade edildi.
Şirketler, önümüzdeki aylarda AI destekli siber saldırıların çok daha yaygın ve sofistike hale geleceği uyarısını da yaptı. Açık mektupta hastanelerden su arıtma tesislerine, interneti ayakta tutan altyapıya kadar kamu hizmetlerinin risk altında olduğu belirtildi. Aynı metin, AI’deki ilerlemenin savunuculara da yıllardır biriken zayıflıkları düzeltmek için yeni imkanlar sunduğunu, kararlı hareket edilirse dijital ortamın daha güvenli hale getirilebileceğini savundu.