Kaspersky, Asya’daki devlet kurumlarını hedef alan NetamLoader saldırısını açığa çıkardı
Tespit Edilen Saldırının Teknikleri
Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan sofistike bir siber saldırıyı inceledi. Saldırıda kullanılan NetamLoader adlı zararlı yazılım altyapısı, meşru yazılım bileşenlerinden faydalanarak ek zararlı kodları gizli bir şekilde yükleyebilme yeteneğine sahiptir.
Saldırganlar, hedeflerine ulaşmak amacıyla sistemin kendi güncelleme bileşenine ait günlük kayıtlardaki belirli girdileri silmek suretiyle izlerini gizlemeye çalışmıştır. Kaspersky, tehdit izleme ağı üzerinden saldırının bir kurbanını tespit etmiş ancak tehdidi bilinen herhangi bir spesifik tehdit grubuyla ilişkilendirememiştir.
Meşru Yazılımların Kötüye Kullanılması
Araştırma, 2026 yılının ilk yarısında başlamıştır. Kaspersky analitikleri, Windows güncelleme klasöründe bulunan bir arşiv dosyası içinde şüpheli bir yapılandırma dosyası tespit ettiler. Arşivdeki programların çoğunluğu meşru yazılımlardan oluşuyordu:
- Üçüncü taraf yama yönetimi aracı Patch My PC bileşenleri
- Microsoft tarafından imzalanmış modüller
- Diğer yaşlı yazılım bileşenleri
Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla bu meşru yazılımların istemeden zararlı talimatları yüklemesini sağlamışlardır. Arşivin bulunduğu konum ve içeriği, yazılım dağıtım veya güncelleme süreçlerinin hedeflendiğini işaret etmektedir.
Araştırmacılar, Patch My PC yazılımının veya dağıtım sistemlerinin ele geçirildiğine dair bir bulgu elde edememiş ve arşivin kurbanın sistemine ulaşması mekanizmasını gözlemleyememiştir.
Zararlı Yazılım Altyapısının İşleyişi
NetamLoader, zararlı içeriğini çok katmanlı bir yapı üzerinden işletmektedir. Yazılım, kodlamadan sıkıştırma ve şifrelemeden geçen içeriği açığa çıkardıktan sonra, yürütmeyi meşru bir Windows sürecine taşıyarak ilk programa ait olduğunun anlaşılmasını zorlaştırmaktadır.
Zararlı yazılım çerçevesi ayrıca:
- Zararlı yazılım tarama işlevlerine müdahale eder
- İzleri temizlemek için araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siler
- Saldırganların kontrol ettiği sunucularla iletişim kurmak için karmaşık zaman gecikmesi mekanizmaları kullanır
Komuta ve Kontrolü İçin Sofistike Gecikmeler
NetamLoader etkinleştikten sonra, saldırganların kontrol ettiği bir sunucuyla iletişim kurarak ek talimatlar ve yapılandırma değişiklikleri almaktadır. Bu iletişim süreci, tespit ve analizi zorlaştırmak için tasarlanmıştır:
- İlk bağlantı kurulmadan önce 20 ila 40 dakikalık bekleme süresi
- Sunucudan geçerli yanıt alınamazsa 22 ila 28 saatlik bekleme dönemi
- Bu gecikmeler nedeniyle kısa süreli izleme oturumlarında sınırlı ağ etkinliği
Teknolojik Egemenlik ve Ekosistem Güvenliği
Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin konuyla ilgili değerlendirmesinde şu noktaları vurgulamıştır:
"Teknolojik egemenlik, birçok hükümet için öncelikli konulardan biri haline geldi. Bu alandaki çalışmalar genellikle işletim sistemleriyle başlıyor. Kendi platformunuzu kullanmak size kontrol imkanı sağlıyor. Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması ise zaman alıyor."
Lozhkin, bu olayın savunma ekiplerinin her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna bakması gerektiğini gösterdiğini belirtmiştir.
Tespit ve Tedbir
Kaspersky ürünleri bu tehdidi HEUR.MSIL.NetamLoader.gen ve Trojan.MSIL.Zapchast.* tanımlarıyla tespit etmektedir. Saldırının yazılım tedarik zinciri yönü, kuruluşların yazılım güncelleme süreçlerine karşı tehditlerin ne kadar sofistike hale geldiğini göstermektedir.
