Kategori: Siber-Fiziksel Güvenlik

Microsoft Security araştırmacıları, meşru MSP360 Uzaktan İzleme ve Yönetim yükleyicilerini toplantı davetleri, PDF araçları, yazılım güncellemeleri ve diğer tanıdık dosyalar gibi gösteren kimlik avı kampanyalarını belgeledi. Bir alıcı imzalı yükleyiciyi çalıştırdığında saldırganlar Windows cihazında ilk uzaktan yönetim erişimini elde etti.

İki meşru araç yedekli erişim sağladı

Microsoft, MSP360 kurulumunun daha sonra ConnectWise ScreenConnect’i indirip yüklemek için kullanıldığını ve operatörlere ikinci bir uzaktan erişim kanalı sağladığını belirtti. Araştırmacılar, iki üründen herhangi birinin istismar edildiğini bildirmedi. Kampanya bunun yerine aldatıcı dağıtıma ve meşru yollarla edinilmiş yönetim yazılımlarının kötüye kullanılmasına dayanıyordu.

Gözlemlenen faaliyet Temmuz 2026’da başladı ve Amazon S3, Cloudflare R2, Dropbox, GitLab ve Supabase gibi hizmetlerin yanı sıra saldırganların kontrolündeki altyapıyı kullandı. Güvenliğin ihlal edilmesinden sonraki faaliyetler arasında bilgi toplama, kimlik bilgilerine erişim ve ek araçların dağıtılması yer aldı.

RMM izin listeleri davranışsal izleme gerektirir

Savunma ekipleri onaylı uzaktan yönetim aracılarını envantere almalı, olağandışı yükleyiciler için uyarılar oluşturmalı ve bir RMM ürününün başka bir ürünü yükleyen betikleri çalıştırmasını araştırmalıdır. İmzalı yazılımlar ve tanıdık bulut barındırma hizmetleri, bir yürütme zincirini güvenilir hâle getirmez. Ekipler, SectechMedia’nın siber-fiziksel güvenlik yayınlarında ilgili uç nokta ve kimlik risklerini takip edebilir.

Kaynaklar

• Microsoft Security araştırması — 29 Eylül 2026
• The Hacker News haberi — 30 Eylül 2026

Jamf Threat Labs, ana yükün geri alınma ve kalıcı hale getirilme biçimini değiştiren yeni bir PamStealer macOS kampanyasını belgeledi. Operasyon sahte bir kripto para cüzdanı sitesi ile AppleScript tabanlı bir tuzak kullanırken, yükün şifresinin çözülmesi saldırganların kontrolündeki altyapıyla iletişime bağlı.

Sunucu destekli şifre çözme statik incelemeyi sınırlandırıyor

Önceki varyantlar, şifre çözme malzemesinin daha büyük bir bölümünü ilk betiğin içine yerleştiriyordu. Jamf’a göre yeni Wavel temalı zincir, özel olarak hazırlanmış bir yardımcı program indiriyor ve yük açılmadan önce anahtar değişimini tamamlıyor. Sunucu iş birliği yapmadan analistler yalnızca ilk aşama dosyasından nihai bileşeni elde edemiyor.

Kurban, bir disk imajını açmaya ve Script Editor üzerinden bir AppleScript çalıştırmaya yönlendiriliyor. JavaScript for Automation taşıyıcısı daha sonra yürütmeyi bir kabuk sürecine aktarıyor. Kampanya, tek bir uzaktan istismar adımından ziyade kullanıcı eylemine ve güvenilir işletim sistemi araçlarının kötüye kullanılmasına dayanıyor.

Kalıcılık ve kimlik bilgisi riski etkiyi genişletiyor

Bildirilen zincir birden fazla kalıcılık mekanizması kuruyor; tarayıcı, cüzdan ve hesap bilgilerini ele geçirmeye çalışıyor. Savunma ekipleri ilk tuzağı, süreç ağacını, indirilen yardımcı programları ve ağ hedeflerini saklamalıdır; çünkü altyapı değiştikten sonra katmanlardan herhangi biri ortadan kalkabilir.

Uç nokta izleme sistemleri, Script Editor’dan kabuğa olağandışı yürütmeyi, yeni başlangıç öğelerini ve yakın zamanda kaydedilmiş altyapıdan indirilen imzasız yardımcı programları işaretlemelidir. Bu kontroller, SectechMedia’nın Türkçe güvenlik teknolojileri yayınlarında ele alınan kimlik ve uç nokta risklerini tamamlar. Kullanıcılar yazılımı yalnızca doğrulanmış üretici kanallarından kurmalı ve indirme sayfalarının sunduğu betikleri çalıştırmamalıdır.

Kaynaklar

• Jamf Threat Labs — PamStealer Wavel analizi
• The Hacker News — PamStealer teknik incelemesi

Socket araştırmasına göre Mini Shai-Hulud kampanyası sırasında daha önce ele geçirilen iki GitHub Action, eylül ayında yeniden erişilebilir hale geldi; ancak sürüm etiketleri hâlâ zararlı içeriğe işaret ediyordu. GitHub daha sonra etkilenen depoları yeniden devre dışı bıraktı.

Yeniden erişim, mevcut bağımlılık riskini etkinleştirdi

Etkilenen actions-cool/issues-helper ve actions-cool/maintain-one-comment eylemleri, mayıs ayında zararlı kod eklenmesinin ardından devre dışı bırakılmıştı. Socket, depoların 16 Eylül’de ele geçirilmiş sürüm etiketleri temizlenmeden geri döndüğünü bildirdi. Bu değiştirilebilir etiketlere başvuran iş akışları, yeni bir zararlı sürüm yayımlanmamış olsa bile eski yükü indirip çalıştırabilirdi.

Yük, CI/CD ortamlarından kimlik bilgisi çalınmasıyla ilişkilendirildi. Olay, sınırlamanın yalnızca bir depoyu erişilemez kılmaya dayanmaması gerektiğini gösteriyor: erişim geri verilmeden önce etiketler, sürümler ve aşağı akış başvuruları da incelenmelidir.

Tüketiciler değişmez referanslar ve kurtarma kontrolleri kullanmalı

Geliştirme ekipleri etkilenen eylemlere yapılan başvuruları bulmalı, açığa çıkmış gizli bilgileri değiştirmeli ve depolar yeniden erişilebilir olduktan sonraki iş akışı geçmişini incelemelidir. Üçüncü taraf eylemlerini gözden geçirilmiş commit hash’lerine sabitlemek, değiştirilebilir üst kaynak etiketlerine bağımlılığı azaltır; ancak seçilen commit’in de güvenlik incelemesinden geçmesi gerekir.

Olay, SectechMedia’nın Türkçe güvenlik teknolojileri yayınlarında ele alınan yazılım tedarik zinciri ve kimlik bilgisi risklerini genişletiyor. Kuruluşlar harici iş akışı bileşenlerinin envanterini tutmalı, sahiplik ve erişilebilirlik değişikliklerini izlemeli ve depo restorasyonunu yalnızca operasyonel değil, güvenlik açısından hassas bir olay olarak değerlendirmelidir.

Kaynaklar

• Socket — Mini Shai-Hulud Actions analizi
• The Hacker News — yeniden etkinleştirilen GitHub Actions haberi