Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı ortaya çıkardı. Saldırganlar, meşru yazılım bileşenlerinden yararlanarak daha önce bilinmeyen NetamLoader adlı kötü amaçlı yazılım altyapısını kullandı.
Arka planda ek zararlı kodları alıp çalıştırabilen altyapı, faaliyetlerini gizlemek için çeşitli yöntemlerden yararlanıyor. Kaspersky, tehdit izleme ağı üzerinden saldırının bir kurbanını tespit ettiğini ve saldırıyı bilinen herhangi bir tehdit grubuyla ilişkilendiremediğini açıkladı.
Şirketin araştırmasına göre zararlı yazılım, söz konusu işletim sistemine özel olarak geliştirildi. Yazılımın yaptığı işlemler arasında, sistemin güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silmek de bulunuyor.
NetamLoader nasıl keşfedildi?
Araştırma, 2026’nın ilk yarısında Windows güncelleme klasöründeki bir arşiv dosyasında şüpheli bir yapılandırma dosyasının tespit edilmesiyle başladı. Arşivde yer alan programların çoğu meşru yazılımlardan oluşuyordu.
Bu programlar arasında üçüncü taraf yama yönetimi aracı Patch My PC’nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de bulunuyordu. Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla meşru yazılımların zararlı talimatları yüklemesini sağladı.
Arşivin bulunduğu konum ve içeriği, saldırganların hedeflerine ulaşmak için yazılım dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir tedarik zinciri saldırısına işaret ediyor. Ancak araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi.
Elde edilen bulgular, Patch My PC’nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor. Bu nedenle araştırmacılar, zararlı paketin sisteme ulaşma yöntemini kesin olarak belirlemiş değil.
Zararlı yazılım faaliyetlerini nasıl gizliyor?
NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Ardından yürütmeyi meşru bir Windows sürecine taşıyor. Bu yöntem, zararlı faaliyetin başlangıçtaki programla ilişkilendirilmesini zorlaştırıyor.
Araştırmacıların bulgularına göre zararlı yazılım, kötü amaçlı yazılım tarama işlevlerinden birine de müdahale ediyor. Bunun yanı sıra saldırının yeniden oluşturulmasına yardımcı olabilecek dosyaları ve bazı günlük kayıtlarını siliyor.
Silinen veriler arasında sistem önbelleğindeki dosyalar, .NET kullanım günlükleri ve güncelleme bileşeninin kayıtlarındaki belirli girdiler yer alıyor. Bu işlem, güvenlik ekiplerinin sistemde ne yaşandığını incelemesini güçleştirebiliyor.
İlk bağlantıdan önce 20 ila 40 dakika bekliyor
NetamLoader etkinleştikten sonra ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların kontrolündeki bir sunucuyla iletişim kuruyor. Ancak bağlantı girişimi, zararlı yazılımın çalışmaya başlamasının hemen ardından gerçekleşmiyor.
Araştırmacıların incelediği yapılandırma dosyasında, ilk bağlantı kurulmadan önce 20 ila 40 dakikalık bir bekleme süresi bulunuyor. Sunucudan geçerli bir yanıt alınamazsa zararlı yazılım, yeniden denemeden önce 22 ila 28 saat bekliyor.
Bu gecikmeler, kısa süreli izleme oturumlarında görülebilecek ağ etkinliğini sınırlandırıyor. Dolayısıyla araştırmacıların zararlı yazılımın sunucuyla iletişimini incelemek için daha uzun süreli gözlem yapması gerekebiliyor.
Kaspersky’den güncelleme kanalları için güvenlik önerileri
Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin, teknolojik egemenliğin birçok hükümet için öncelikli konulardan biri hâline geldiğini belirtti. Lozhkin, işletim sistemi üzerinde kontrol sahibi olmanın yanında güncelleme kanalları ve bakım araçları dâhil tüm ekosistemin güvenliğinin sağlanması gerektiğini söyledi.
Lozhkin, vakanın güvenlik ekiplerinin yalnızca programların ayrı ayrı meşru olup olmadığına değil, bileşenlerin birbirleriyle nasıl etkileşime girdiğine de bakması gerektiğini gösterdiğini ifade etti.
Kaspersky, benzer tehditlere karşı yazılım güncelleme kanallarının denetlenmesini ve güncelleme paketlerinin kaynaklarının doğrulanmasını öneriyor. Şirket, güncelleme klasörlerinin beklenmedik çalıştırılabilir dosyalar ve yapılandırma dosyaları açısından izlenmesini de tavsiye ediyor.
Öneriler arasında üçüncü taraf yönetim araçlarının yalnızca onaylanmış konumlardan çalıştırılması, uç noktalardaki şüpheli faaliyetlerin birlikte değerlendirilmesi ve seyrek gerçekleşen harici sunucu bağlantılarının izlenmesi bulunuyor.
Günlük kayıtlarının uç noktaların dışında merkezi olarak saklanması da şirketin önerileri arasında yer alıyor. Bu yaklaşım, saldırganların yerel sistemde silmeye çalıştığı kayıtların korunmasına ve günlüklerdeki açıklanamayan boşlukların tespit edilmesine yardımcı olabiliyor.
Kaspersky ürünleri tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* adlarıyla tespit ediyor. Güvenlik ihlali göstergelerini de içeren NetamLoader teknik raporu, Kaspersky’nin araştırma platformu Securelist üzerinden incelenebiliyor.
Kaspersky GReAT, araştırmanın sonuçlarını Bali’de düzenlenen Security Analyst Summit 2026’da sundu.
