Bir iş görüşmesi ne zaman siber tehdide dönüşür?

Bir yazılım geliştiricisinin LinkedIn üzerinden yeni bir iş fırsatı alması, teknik değerlendirme bağlantısına yönlendirilmesi ve kendisinden kısa sürede bir kodlama görevini tamamlamasının istenmesi oldukça olağan görünebilir.

Ancak bu sürecin arkasında, adayın güvenini kazanarak bilgisayarına erişim sağlamayı amaçlayan bir saldırgan bulunuyorsa işe alım süreci bir siber saldırının başlangıç noktasına dönüşebilir.

Kaspersky Global Research and Analysis Team (GReAT), 1 Eylül 2026’da yayımlanan araştırmasında Mirage Kitten ile ilişkilendirdiği bir kampanyayı duyurdu. Kampanyada sahte LinkedIn işe alım iletişimleri ve daha önce belgelenmemiş Node.js ve JavaScript tabanlı casus yazılımlar kullanıldığı bildirildi.

Kampanyanın ana hedefleri Mısır, Etiyopya ve Afganistan’daki havacılık ve finansal teknoloji (fintech) sektörleriydi. Bununla birlikte, saldırılarla ilişkili zararlı yazılımlar Türkiye’nin de aralarında bulunduğu başka ülkelerde de tespit edildi. Bu nedenle Türkiye açısından önemli bir tehdit örneği olsa da mevcut bulgular Türkiye’nin kampanyanın birincil hedefi olduğunu göstermiyor.

Bu vakayı önemli kılan nokta yalnızca yeni zararlı yazılımlar değil. Saldırganların, geliştiricilerin her gün kullandığı işe alım platformlarını, kodlama görevlerini ve yazılım araçlarını kötüye kullanması.

Bir teknik değerlendirme dosyası, yalnızca kodunuzu değil, çalıştırıldığı sistemin güvenliğini de riske atabilir.

Tehdit Aktörü: Mirage Kitten

Kaspersky, Mirage Kitten’ı Orta Doğu ve Afrika bölgesinde siber casusluk faaliyetleriyle ilişkilendirilen bir tehdit aktörü olarak tanımlıyor. Grup, farklı kaynaklarda UNC1549, Smoke Sandstorm ve Nimbus Manticore gibi adlarla da anılıyor.

Kaspersky’nin değerlendirmelerinde grubun havacılık, savunma, telekomünikasyon ve ilgili teknoloji alanlarına yönelik hedefli saldırıları öne çıkıyor.

Bu kampanyada ise dikkat çeken unsur, geleneksel oltalama mesajlarının profesyonel bir işe alım süreciyle birleştirilmesi. Saldırganlar, potansiyel kurbanın yalnızca bir bağlantıya tıklamasını değil, kendisine verilen teknik görevi çalıştırmasını sağlamaya çalışıyor.

Burada bir ayrımı korumak gerekiyor: Tehdit aktörünün kimliğine ilişkin atıf, araştırmacıların teknik bulgularına ve değerlendirmelerine dayanıyor. Kamuya açık raporlarda yer alan atıflar, her olayın aynı aktör tarafından gerçekleştirildiğini tek başına kanıtlamaz.

Saldırı Zinciri: Sahte İşe Alımdan Sistem Erişimine

Kaspersky’nin yayımladığı bulgulara göre saldırı, sosyal mühendislik ile teknik bir görevin birleştirilmesi üzerinden ilerliyor.

Aşama 1: LinkedIn Üzerinden İlk Temas

Saldırganlar, kendilerini büyük teknoloji şirketlerinde çalışan işe alım uzmanları gibi tanıtarak özellikle yazılım geliştiricilerle iletişim kuruyor.

Hedefteki kişiler, havacılık veya fintech sektörlerinde çalışan ya da bu alanlarda görev almak isteyen teknik uzmanlar olabiliyor.

Aşama 2: Teknik Değerlendirme Bahanesi

Adaylardan bir kodlama görevi veya yazılım geliştirme değerlendirmesi yapmaları isteniyor. Görev dosyaları, meşru Amazon bulut depolama altyapısı üzerinden sunulabiliyor.

Bu ayrıntı önemli: Dosyanın meşru bir bulut hizmetinde barındırılması, içeriğinin güvenilir olduğunu kanıtlamaz. Altyapının meşru olması ile o altyapı üzerinde sunulan dosyanın güvenli olması iki farklı konudur.

Aşama 3: Zaman Baskısı

Araştırmada, adaylara görevi tamamlamaları için bir ila üç saat gibi kısa süreler verildiği ve yapay zekâ destekli kod asistanlarını kullanmamalarının istendiği aktarılıyor.

Bu tür bir baskı, adayın dosyaları incelemek veya görev içeriğini doğrulamak için ayırdığı zamanı azaltabilir. Ancak tek başına zaman sınırı ya da yapay zekâ kullanımına yönelik bir kısıtlama, saldırı kanıtı değildir; şüphe uyandıran unsurlar diğer göstergelerle birlikte değerlendirilmelidir.

Aşama 4: Kodun Çalıştırılması

Aday, teknik görevi kendi iş istasyonunda çalıştırdığında zararlı bileşenler arka planda devreye girebilir.

Böylece saldırı, yalnızca kimlik bilgilerini ele geçirmeye çalışan bir oltalama girişiminden sistem erişimi ve veri toplama aşamalarına ilerleyebilir.

NodeRabbit: Geliştiricinin Çalışma Ortamına Yerleşen RAT

Kaspersky’nin tanımladığı ilk zararlı yazılım ailesi NodeRabbit.

Node.js tabanlı bu uzaktan erişim truva atı (RAT), yaygın yazılım geliştirme paketlerinin içine gizlenebiliyor. Araştırmada Windows, Linux ve macOS sistemlerini hedefleyebilen bir araç olarak tanımlanıyor.

NodeRabbit’ın önemi, yalnızca bir kez çalıştırılan şüpheli bir dosya olmasından kaynaklanmıyor. Kaspersky, yazılım geliştiricilerin günlük çalışma akışlarını kötüye kullanabilecek kalıcılık yöntemleri de bildirdi.

Bunlar arasında:

• Microsoft Visual Studio Code ile birlikte çalışacak şekilde sahte çalışma alanı eklentilerinin kullanılması.
• Yerel kod depolarında değişiklik yapılarak zararlı davranışın belirli geliştirme işlemleriyle ilişkilendirilmesi.
• Ele geçirilen sistem üzerinde komut çalıştırılması ve dosya işlemlerinin gerçekleştirilmesi.

Bu yöntemler, tehdit aktörünün geliştiricinin bilgisayarındaki erişimini sürdürmesine ve sıradan görünen geliştirme faaliyetleri arasına gizlenmesine yardımcı olabilir.

Savunma Açısından Neden Önemli?

Bir geliştirici iş istasyonu, sıradan bir kullanıcı bilgisayarından daha geniş bir erişim alanına sahip olabilir. Kaynak kodları, özel paket depoları, geliştirme sunucuları, bulut ortamları ve kimlik bilgileri aynı çalışma ortamında bulunabilir.

Bu nedenle bir geliştirici cihazının ele geçirilmesi, yalnızca tek bir kullanıcının bilgisayarının etkilenmesiyle sınırlı kalmayabilir. Etki alanı, kullanıcının yetkilerine ve erişebildiği sistemlere bağlı olarak genişleyebilir.

PollCat: OTP Mekanizmasıyla İlişkilendirilen İkinci RAT

Araştırmada tanımlanan ikinci zararlı yazılım ailesi PollCat. Bu araç, JavaScript tabanlı bir uzaktan erişim truva atı olarak raporlandı.

Kaspersky’ye göre PollCat, sahte işe alım sürecinde adaya verilen tek kullanımlık parolanın (OTP) girilmesini bekleyebiliyor. Ardından sistem bilgilerini toplama, dizinleri tarama ve elde edilen verileri saldırganlara gönderme gibi faaliyetlerde bulunabiliyor.

Burada OTP’nin rolünü doğru anlamak önemli. Bir OTP ekranının bulunması, tek başına çok faktörlü kimlik doğrulamanın kırıldığı anlamına gelmez. Bu vakada OTP, araştırmada anlatılan sahte teknik değerlendirme akışının bir parçası olarak kullanılıyor.

Bu ayrım, olay analizi sırasında kimlik doğrulama saldırıları ile zararlı yazılımın yerel sistemde yürüttüğü faaliyetlerin birbirine karıştırılmaması açısından önemli.

NodeRabbit ve PollCat Arasındaki Fark

İki aracın her kurbanda birlikte çalıştığı varsayılmamalıdır. Kaspersky, hangi aracın kullanılacağının kurbana göre değişebildiğini belirtiyor.

Neden Yazılım Geliştiriciler Hedefte?

Yazılım geliştiriciler, kuruluşların teknik altyapısında önemli bir konuma sahip olabilir. Geliştirme iş istasyonları, kaynak kodlarına ve özel depolara erişim sağlayabilir; bazı durumlarda dağıtım süreçleri veya bulut hizmetleriyle de bağlantılı olabilir.

Saldırgan açısından bu durum, geliştiriciyi yalnızca kişisel verileri için değil, erişebildiği teknik varlıklar nedeniyle de değerli bir hedef hâline getirebilir.

Mirage Kitten kampanyasında işe alım sürecinin kullanılması, sosyal mühendisliğin hedefin mesleki beklentilerine göre uyarlanabildiğini gösteriyor.

Bu yöntem, klasik bir “hesabınız kapatılacak” mesajından farklı bir psikolojik zemin oluşturuyor. Kurban, kendisini bir saldırının hedefi olarak değil, kariyeri için bir fırsatı değerlendiren aday olarak görüyor.

Dolayısıyla güvenlik farkındalığı yalnızca şüpheli e-postaları tanımaya indirgenmemeli. Teknik uzmanların da kendilerine gönderilen kodu, paketi veya geliştirme projesini güvenilmeyen içerik olarak değerlendirebilmesi gerekiyor.

CTI Perspektifi: Hangi Davranışlar İzlenmeli?

Bu kampanyadan savunma ekiplerinin çıkarabileceği temel ders, yalnızca belirli zararlı dosyaların imzalarını aramak yerine saldırı zincirindeki davranışları izlemektir.

Aşağıdaki tespit alanları, kurumun mevcut telemetrisi ve yazılım geliştirme ortamıyla uyarlanabilir.

Uç Nokta ve Süreç Telemetrisi

• Beklenmeyen kaynaklardan indirilen kodlama projelerinin çalıştırılması.
• Node.js süreçlerinin olağan dışı alt süreçler oluşturması veya beklenmedik sistem komutları yürütmesi.
• Geliştirme araçlarıyla ilişkili eklentilerin veya çalışma alanı yapılandırmalarının beklenmedik şekilde değişmesi.
• Yerel kod depolarında kullanıcı tarafından açıklanamayan değişiklikler.
• Geliştirme süreciyle ilgisiz ağ bağlantıları veya dosya erişimleri.

Ağ ve Veri Hareketi

• Yeni çalıştırılan geliştirme görevlerinin ardından oluşan olağan dışı dış bağlantılar.
• Kuruluşun normal çalışma düzeniyle uyuşmayan DNS ve proxy kayıtları.
• Geliştirici iş istasyonlarından beklenmedik veri aktarımı.
• Yeni veya güvenilmeyen paket kaynaklarına yönelik olağan dışı erişimler.

Kimlik ve Erişim Kontrolleri

• Teknik değerlendirme bahanesiyle paylaşılan bağlantıların ve erişim taleplerinin doğrulanması.
• Geliştirici hesaplarının yetkilerinin en az ayrıcalık ilkesiyle sınırlandırılması.
• Erişim belirteçleri ve kimlik bilgilerinin iş istasyonlarında gereksiz yere tutulmaması.
• Şüpheli olaylarda kimlik bilgilerinin ve oturumların uygun müdahale prosedürleriyle geçersiz kılınması.

Bunlar, kampanyayla ilişkilendirilebilecek davranışları araştırmaya yönelik önerilerdir; her biri doğrudan ve yalnızca Mirage Kitten’a özgü bir gösterge değildir.

MITRE ATT&CK ile Nasıl Eşleştirilebilir?

Kampanya raporunda aktarılan davranışlar, savunma ekiplerinin MITRE ATT&CK çerçevesi üzerinden ele alabileceği çeşitli teknik alanlara karşılık geliyor.

Not: Bu tablo, raporlanan davranışlara dayalı bir ön eşleştirmedir; doğrulanmış her teknik uygulamanın tam ATT&CK alt tekniğiyle eşleştiği iddiası değildir. Kurumsal tespit kuralları geliştirilmeden önce birincil teknik rapordaki ayrıntılar kontrol edilmelidir.

Kurumlar İçin Uygulanabilir Önlemler

Mirage Kitten kampanyası, özellikle yazılım geliştirme ekiplerinin güvenlik kontrollerinin yeniden değerlendirilmesi gerektiğini gösteriyor.

İşe alım ve insan kaynakları süreçleri

• İş tekliflerini ve teknik değerlendirme taleplerini bağımsız bir kanaldan doğrulayın.
• Görev dosyalarını yalnızca bağlantının bilinen bir platformda barındırılmasına güvenerek çalıştırmayın.
• Adaylara olağan dışı yazılım kurma veya güvenlik kontrollerini kapatma talimatları verilmesini bir risk göstergesi olarak ele alın.

Geliştirme ortamları

• VS Code ve benzeri araçlarda eklenti kurulumlarını kontrol edin; mümkünse onaylı eklenti listeleri kullanın.
• Bağımlılıkları ve paket kaynaklarını doğrulayın.
• Kaynak kodu depolarındaki değişiklikleri inceleyin ve beklenmeyen otomatik çalıştırma mekanizmalarını araştırın.
• Geliştirici cihazlarını EDR ile izleyin ve bu cihazların kurumsal ağa erişimini uygun şekilde sınırlandırın.

Olay müdahalesi

• Şüpheli dosyayı çalıştıran süreç zincirini ve ağ bağlantılarını koruyun.
• Geliştirici cihazından erişilmiş olabilecek depoları, belirteçleri ve kimlik bilgilerini değerlendirin.
• Gerekirse cihazı izole edin, etkilenen oturumları sonlandırın ve erişim sırlarını güvenli bir cihazdan yenileyin.

Güvenlik, Kod Çalıştırılmadan Önce Başlar

Mirage Kitten ile ilişkilendirilen bu kampanya, saldırganların yazılım geliştiricilerin alışkanlıklarına ve kariyer beklentilerine uyum sağlayabildiğini gösteriyor.

Sahte işe alım mesajları, teknik değerlendirme görevleri, NodeRabbit ve PollCat gibi araçlar aynı saldırı hikâyesinin farklı parçalarını oluşturuyor. Türkiye’de de kampanyayla ilişkili zararlı yazılımların tespit edilmiş olması, bu yöntemin yerel kuruluşlar açısından da dikkate alınmasını gerektiriyor.

Ancak doğru CTI yaklaşımı, yalnızca tehdit aktörünün adını veya zararlı yazılım ailesini raporlamak değildir. Gözlemlenen davranışları anlamlandırmak, hangi erişimlerin riske girebileceğini belirlemek ve bu bilgileri uygulanabilir tespit senaryolarına dönüştürmek gerekir.

Bir iş fırsatının gerçek olup olmadığını doğrulamak, artık yalnızca kariyer güvenliğinin değil, uç nokta güvenliğinin de bir parçası.

Kaynaklar

1. Kaspersky GReAT 1 Eylül 2026
   Kaspersky GReAT uncovers LinkedIn recruitment phishing and new cross-platform spyware targeting MEA by Mirage Kitten
   https://www.kaspersky.com/about/press-releases/kaspersky-great-uncovers-linkedin-recruitment-phishing-and-new-cross-platform-spyware-targeting-mea-by-mirage-kitten
2. Securelist / Kaspersky GReAT 28 Temmuz 2026
   Mirage Kitten’s new malware set: NightLedger backdoor and two tunneling tools
   https://securelist.com/mirage-kitten-new-tools/120811/
3. The Record / Recorded Future News 1 Eylül 2026
   Iranian cyber spies target aviation, fintech developers with new malware
   https://therecord.media/iranian-cyber-spies-target-aviation-fintech-new-malware