Yapılan son analizler, saldırganların tek seferlik “zeki” taktikler yerine her hedefte aynı sonucu veren yöntemlere yöneldiğini gösteriyor. Microsoft’un geçen yıl yaptığı bildirimlerde ilk erişimlerin yüzde 47’si ClickFix adı verilen sosyal mühendislik tekniğiyle sağlanırken, Bitdefender’ın incelediği 700 bin güvenlik olayının yüzde 84’ünde yüksek riskli vakalara cihazda zaten bulunan ikili dosyalar ve yönetim araçları karıştı.
Bu tablo, fidye yazılımı ve veri hırsızlığı operasyonlarının giderek bir “playbook” üzerine kurulduğunu ortaya koyuyor. Saldırganlar, her kurbana özel araç geliştirmek yerine herkeste aynı şekilde çalışan kısa prosedürleri tercih ediyor. Güvenlik ekiplerinin önündeki güçlük de burada başlıyor: ortada taranacak bir ek, yamalanacak bir açık ya da imza tabanlı yakalanacak bir zararlı her zaman bulunmuyor.
ClickFix: Kullanıcının panosuna komut bırakıp terminale taşıyan yöntem
ClickFix, ziyaretçiye “robot olmadığını kanıtla” diyen bir web sayfasıyla başlıyor. Kullanıcı talimatları okurken sayfa arka planda panoya bir komut kopyalıyor, ardından da terminal açıp bu komutu yapıştırmasını adım adım anlatıyor. Yöntemin çekiciliği, yük dosyası ya da istismar edilen bir güvenlik açığı gerektirmemesi. Bu yüzden ne bir ek denetleniyor ne de bir yama bekleniyor.
Microsoft’un gözlemlediği vakalarda saldırganlar geçen yıl bu tekniği ilk erişim için yoğun biçimde kullandı. Bildirimlerde kaydedilen saldırıların yüzde 47’si ClickFix üzerinden başladı. Teknik, kendisini taratacak bir dosya taşımadığı için klasik e-posta güvenliği kontrollerine de daha zor yakalanıyor.
İlk aşamada kullanılan bu yöntem, saldırganın sonraki adımlarını da kolaylaştırıyor. Sayfadaki metin işe yaramaz hâle geldiğinde saldırganlar yeni bir kötü amaçlı yazılım yazmıyor; yalnızca kandırma metnini değiştiriyor. Tekniğin farklı ortamlarda aynı biçimde çalışmasının nedeni de bu. Kullanıcı komutu çalıştırdığı anda zincir başlıyor; altyapı, işletim sistemi ya da cihaz markası bu noktada belirleyici olmuyor.
Bu modelin savunma tarafında önemli bir karşılığı da var. Aynı tarz sosyal mühendislik kampanyaları, güvenlik ekiplerinin eğitimlerinde ve olay müdahale tatbikatlarında da inceleniyor. Fark, kullanım amacında ortaya çıkıyor: savunmacılar yöntemi tanımak için analiz ederken saldırganlar aynı akışı çok sayıda hedefte yeniden üretmeye çalışıyor.
Yama değil, ölçek: Saldırganların tercih ettiği asıl model
Bitdefender’ın 700 bin olayı kapsayan incelemesinde yüksek şiddetli vakaların yüzde 84’ünde kullanılan araçların, sistemlerde zaten kurulu olan ikili dosyalar olduğu belirlendi. Yani saldırganlar çoğu zaman dışarıdan yeni bir zararlı taşımıyor; işletim sistemiyle birlikte gelen betik motorlarını, uzaktan yönetim araçlarını, arşivleyicileri ve yönetimsel ikilileri kullanıyor.
Bu yaklaşımın nedeni yalnızca gizlilik değil. Bu araçlar her ortamda var, davranışları öngörülebilir ve sürümleri birbirine çok benziyor. Bir operatör bir kez komut sırasını öğrendiğinde, aynı diziyi bir sonraki hedefte neredeyse değişiklik yapmadan çalıştırabiliyor. Ağ içinde komuta-kontrol trafiği de çoğu zaman kurumun zaten izin verdiği bulut servisleri ve yönetim kanalları üzerinden yürütülüyor.
Verizon’un son Data Breach Investigations Report (DBIR) raporu da benzer bir tablo çiziyor. Raporda, zafiyet istismarının bu yıl veri setindeki en öne çıkan ilk erişim vektörü olduğu, oranının yüzde 31’e yükseldiği ve geçen yılki yüzde 20 seviyesinden geldiği aktarıldı. Bu da bir yılda yüzde 55’lik artış anlamına geliyor. Özellikle internete açık uç cihazlar, kısa ve tekrarlanabilir istismar prosedürleri nedeniyle saldırganların radarına giriyor.
Bu cihazlar, saldırgan için teknik olarak ilginç oldukları için değil, istismar zincirinin çok kısa olması nedeniyle öne çıkıyor. Yeni bir CVE yayımlandığında saldırganlar, kimlik doğrulama gerektirmeyen ve uzaktan kod çalıştırmaya izin veren zafiyetleri seçiyor. Ardından çoğu zaman günler içinde GitHub’da çalışan bir proof of concept beliriyor. Bu yayımlandıktan sonra kalan iş, internette geniş çaplı tarama yapıp yamalanmamış sistemleri toplamak oluyor.
Burada öne çıkan nokta, saldırganın kendi keşfini üretmemesi. Zafiyet araştırmasını yapan başkası, çalışan örneği paylaşan da çoğu zaman yine başkası. Operatörün yaptığı iş, hazır kodu hızlı ve çok sayıda hedef üzerinde çalıştırmak. Bu nedenle kurbanın kim olduğundan çok, sisteme dışarıdan erişilebilir olup olmadığı belirleyici hâle geliyor.
Bu yapı, meşru ekonomideki bazı seri üretim modellerini andırıyor. Bir jenerik ilaç üreticisi yeni molekül keşfetmez; başkasının araştırması kamuya açıldığında bilinen formülü yüksek hacimde üretir. Burada da benzer bir mantık var. Araştırma yapılmıyor, kamuya düşen proof of concept ile birlikte “patent” fiilen bitiyor ve operasyon üretim hattına dönüyor.
Fidye yazılımı ekosisteminde de aynı standartlaşma görülüyor. Yayımlanan verilere göre son bir yıldan uzun süre boyunca fidye yazılımı sızıntı sitesi sıralamasında ilk sırada Qilin yer aldı ve bu dönemde yaklaşık 1.600 kurban iddia etti. Grup çoğu ay yüzün üzerinde kurban açıkladı. Haziran ayında ise The Gentlemen öne çıktı; 121 iddia edilen kurbanla Qilin’in 80 kurbanlık verisini geçti. Bu rakamlar grupların kendi açıklamalarına dayanıyor, yani denetlenmiş sayılar değil, ancak rekabetin hacim üzerinden yürüdüğünü göstermeye yetiyor.
Yeni rakibin çıkış kaynağı da bu standartlaşmayı destekliyor. The Gentlemen’in, eski bir Qilin iştirakinden ayrılarak ortaya çıktığı belirtiliyor. Bitdefender’ın tehdit değerlendirmesinde de bu grubun fidye yazılımı “playbook”larının nasıl yeniden kullanıldığını ve geliştirildiğini gösterdiği aktarıldı. Bir organizasyonda çalışan prosedür, başka bir yapıya taşındığında da çalışmaya devam etmiş oldu.
Bu noktada saldırganların sahip olduğu şey bir exploit, özel bir araç ya da gizli bir teknik değil. Sahip oldukları şey, yazılıp devredilebilen ve yeniden yürütülebilen bir yöntem. ClickFix de, living off the land yaklaşımı da tam olarak bu yüzden işe yarıyor.
İlk erişimle sınırlı kalmayan bu mantık, sonraki aşamalarda da devam ediyor. Saldırganlar yerel betik motorlarını, uzaktan yönetim yazılımlarını, arşiv araçlarını ve yönetici ikililerini kullanarak veriyi dışarı çıkarıyor ya da sistemleri şifreliyor. Yükleme yapmıyorlar; yükün çoğunu zaten hedefte buluyorlar.
Bu araçların her ortamda aynı davranması, operatörün bir kez öğrendiği komut dizisini başka bir kurbanda da uygulamasını kolaylaştırıyor. Sorun, savunma tarafında bu etkinliğin çoğu zaman meşru yönetim hareketlerinden ayırt edilmesinin zor olması. Bir uzak yönetim aracının çalışması tek başına anormal görünmüyor, bir hesabın oturum açması da, bir makinenin bulut depolamaya bağlanması da. Anormal olan, bunların aynı host üzerinde, aynı zaman dizisinde ve aynı operatör akışıyla gerçekleşmesi.
Bitdefender’ın müdahale ve MDR ekiplerinin yürüttüğü incelemelerde aynı iki bulgu tekrar tekrar öne çıkıyor: ya uç nokta tespit ve müdahale sistemi hiç kurulmamış oluyor ya da kurulu olsa bile kimse izlemediği için alarmlar boşa düşüyor. Üçüncü bir senaryoda ise sistem uyarı veriyor ama uyarı, müdahale yetkisi olan birine hiç ulaşmıyor. İzlenmeyen tespit, alarm değil yalnızca sonradan okunacak bir günlük kaydı olarak kalıyor.
Rakamlar, bu işin ekonomik tarafının da hacim mantığıyla yürüdüğünü gösteriyor. Verizon’un son raporuna göre fidye yazılımı tüm ihlallerin yüzde 48’ini oluşturdu; bu oran bir önceki yıl yüzde 44’tü. Aynı dönemde para akışı ters yönde hareket etti: fidye mağdurlarının yüzde 69’u ödeme yapmadı, ödenen ortanca fidye tutarı ise 150 bin dolardan 139 bin 875 dolara geriledi. Bitdefender’ın fidye yazılımı sızıntı sitelerini izleyen verilerine göre Haziran 2026’da tek başına 704 kuruluş kurban olarak ilan edildi.
Daha fazla kurban, daha düşük gelir. Bu, deneme başına düşen gelirin azaldığını gösteriyor. Böyle bir tabloda saldırganın yapacağı ilk şey her denemeyi daha karmaşık hâle getirmek olmuyor; tam tersine, denemeyi ucuzlatıp aynı prosedürü daha çok kez çalıştırmak oluyor.
Yapay zekâ tartışması da burada aritmetiğe çarpıyor. Playbook tabanlı saldırı modelinde deneme başına maliyet neredeyse sıfıra yaklaşıyor: tarama ucuz, istismar kodu ücretsiz, araçlar zaten hedef makinelerde var. Bir modeli bu döngüye eklemek ise her denemeye gerçek bir maliyet bindiriyor. Üstelik bu maliyetin fayda üretmesi, tek tek hedeflere özel akıl yürütme gerektiren dar bir senaryoya bağlı. Binlerce küçük işletmeye tarama yapan hacim operasyonunda bu yatırımın geri dönüşü zayıf kalıyor.
Bu nedenle tam otonom ajanların bu iş için doğal tercih olmadığı aktarılıyor. Otonom bir sistem ortamı keşfeder, bir yol bulur ve bir sonraki şirkette başka bir yol seçer. Bu, teknik olarak etkileyici olabilir; ancak playbook mantığıyla çelişir. Fidye yazılımı tarafında franchise benzeri affiliate modeli esas olduğundan, aynı işlemin farklı ellerde aynı sonucu vermesi bekleniyor. Değişkenlik ise bu modelin düşmanı.
Yine de yapay zekâ burada tamamen dışarıda değil. Metinde aktarılan yaklaşım, modellerin çevrimdışı şekilde bir playbook hazırlamak için kullanılması yönünde. Araştırma yapmak, tekniği geliştirmek, yazılımı üretmek, kandırma metnini iyileştirmek gibi işler modelden destek alabilir. Ardından operasyonun kendisi yine deterministik şekilde, yani klasik yöntemle yürütülür. Kaynakta AI için çizilen ayrım da bu: yazar olarak kullanılabilir, icracı olarak değil.
Aynı mantık, saldırganların neden yeni zafiyet avına kendi kaynaklarını yatırmak istemediğini de açıklıyor. İnternete açık cihazlar için çalışan prosedür, başkasının araştırmasını bekleyip ücretsiz POC gelene kadar sabretmek üzerine kurulu. Yeni açık bulacak bir kabiliyet, bu iş modelinin şu anda yaşadığı problemi çözmüyor; çünkü beklemek zaten bedelsiz.
Teknik ayrıntılar bir yana, en net savunma resmi de yine bu standardizasyondan çıkıyor. İlk olarak internete açık, uzaktan kod çalıştırmaya izin veren ve kimlik doğrulama gerektirmeyen cihazlar filtreleniyor. Ardından yama penceresi, ilgili açığın duyurulması ile GitHub’daki ilk çalışan örneğin yayınlanması arasındaki birkaç gün üzerinden daralıyor. Bu pencere içinde hareket eden kurumlar, anlatılan prosedürün kapılarını kapatmış oluyor.
Kimlik ve yetki katmanı da aynı derecede belirleyici. Paylaşılan parolalar, aşırı geniş servis hesapları ve her yerde yönetici olan anahtarlar, tek bir makinenin olay hâline dönüşmesini kolaylaştırıyor. Kurum içinde bir hesabın neyi çalıştırabildiği, saldırganın playbook’unda hangi adımların ilerleyebileceğini doğrudan belirliyor.
Metnin sonundaki karşılaştırma, saldırganların ne aradığını net biçimde özetliyor. Üst düzey bir spor otomobil değil; sabah her zaman çalışan, ekipteki herkesin sürebildiği, her yerde servisi bulunan bir araç. ClickFix için de living off the land için de esas değer bu. Gösterişli olmaları gerekmiyor, güvenilir olmaları yeterli. Saldırganların ölçek üzerinden kazandığı yerde, tercih edilen şey tam olarak bu.
Yapay zekâ tarafında da aynı eşik geçerli olacaksa, anlatılanlara göre bunun nedeni yetenek değil maliyet olacak. Bir modeli kurban başına çalıştırmak, mevcut playbook’tan ucuz hâle geldiğinde benimsenmesi bekleniyor. O zamana kadar saldırganların gerçekten kullandığı kapılar, hâlâ kapatılabilir olanlar olarak kalıyor.