Yavuzhan Özgen
Kaspersky araştırmacıları, Asya’daki bir hükümet kurumunda kullanılan özel Windows 10 sürümünü hedef alan NetamLoader adlı gelişmiş zararlı yazılım yükleyicisini ortaya çıkardı. Saldırıda, Windows güncelleme paketlerinin saklandığı dizine yerleştirilen bir CAB arşivi ve meşru yazılım bileşenleri kötüye kullanıldı. Araştırmacılar, saldırının olası bir tedarik zinciri operasyonuna işaret ettiğini belirtirken Patch My PC’nin sistemlerinin ihlal edildiğine dair herhangi bir kanıt bulamadı.
Saldırı Windows Güncelleme Dizininde Ortaya Çıktı
Kaspersky’nin GReAT ekibi, 2026’nın ilk yarısında gerçekleştirdiği tehdit avcılığı çalışmaları sırasında şüpheli bir .config dosyası tespit etti. Dosyanın, Windows’un güncelleme paketlerini sakladığı SoftwareDistribution\Download dizinindeki bir CAB arşivinde bulunduğu belirlendi.
Arşivden çıkarılan yedi dosyanın büyük bölümü Patch My PC adlı yama yönetimi aracına ait meşru bileşenlerden oluşuyordu. Enjeksiyon zincirinde kullanılan bazı .NET dosyalarının Microsoft tarafından imzalanmış olması da dikkat çekti. Zararlı kod ise arşivdeki Resources.resx dosyasına yerleştirilmişti.
Meşru Bileşenler Zararlı Kodu Çalıştırmak İçin Kullanıldı
NetamLoader’ın ilk aşamasında AppDomainManager Injection tekniğinden yararlanıldı. Saldırganlar, PatchMyPC-ScriptRunner.exe dosyasını ana süreç olarak kullanarak aynı dizindeki yapılandırma dosyası üzerinden zararlı .NET bileşenlerinin yüklenmesini sağladı.
Kaspersky’nin analizine göre yükleme zinciri, birden fazla XAML dosyası ve .NET bileşeninden oluşan katmanlı bir yapıya sahip. Bu yapı, zararlı kodun farklı aşamalarda belleğe yüklenmesini ve yürütme sürecinin meşru sistem bileşenlerinin arkasına gizlenmesini sağlıyor.
AMSI Devre Dışı Bırakıldı, İzler Silindi
NetamLoader’ın dikkat çeken yeteneklerinden biri, Windows’un kötü amaçlı yazılım tarama arayüzü AMSI’yi (Antimalware Scan Interface) devre dışı bırakması oldu. Zararlı yazılım, AMSI’nin tarama işleviyle ilişkili bellek yapılarını değiştirerek tarama sonuçlarının temiz olarak dönmesini sağladı.
İlk yükleyici ayrıca saldırıyla ilişkili Windows güncelleme kayıtlarını, zararlı dosyaları ve önbellek verilerini siliyor. Kayıt defterindeki belirli anahtarların temizlenmesiyle zararlının kendi hata ve istisna izleme mekanizmasına ait veriler de kaldırılıyor.
Saldırının sonraki aşamasında zararlı kod, RPC üzerinden oluşturulan bir COM nesnesinden yararlanarak dllhost.exe sürecine taşınıyor. Böylece yürütme, ilk aşamada kullanılan Patch My PC sürecinden ayrılıyor. Kaspersky, bu yöntemin güvenlik ürünlerinin süreç davranışlarını izlemesini zorlaştırmayı amaçladığını belirtiyor.
Komuta-Kontrol Bağlantısı İçin 40 Dakikaya Kadar Bekliyor
Zararlı yazılımın .NET tabanlı ikinci aşama bileşeni, sistem bilgilerini topladıktan sonra komuta-kontrol (C2) sunucusuyla iletişim kuruyor. Ancak ilk bağlantı hemen gerçekleştirilmiyor. NetamLoader, analiz ortamlarında tespit edilme olasılığını azaltmak amacıyla 20 ila 40 dakika arasında rastgele gecikme uyguluyor.
Araştırmacılar, zararlının openaigpt4v[.]com alan adını C2 iletişimi için kullandığını belirledi. Sunucu trafiği AES-128-CBC ile şifreleniyor ve HMAC kullanılarak doğrulanıyor. Sunucudan alınan yanıtlar, ayrı bir .NET uygulama alanında (AppDomain) çalıştırılabiliyor.
Tek Kurban Tespit Edildi, Saldırganın Kimliği Bilinmiyor
Kaspersky’nin telemetri verilerine göre saldırıda Asya’da yalnızca bir kurban tespit edildi. Zararlının, yalnızca hükümet kurumlarının kullanımına yönelik özelleştirilmiş bir Windows sürümünü hedefleyecek şekilde tasarlandığı belirtildi. Bu bulgular doğrultusunda araştırmacılar, hedefin Asya’daki bir devlet kurumu olduğunu değerlendiriyor.
Ancak Kaspersky, hedef ülkenin adını açıklamadı. Saldırının bilinen herhangi bir APT grubuyla ilişkilendirilmesini sağlayacak yeterli teknik benzerlik, kod ortaklığı veya altyapı bağlantısı da tespit edilemedi. Ayrıca saldırganların hassas verileri ele geçirip geçirmediği konusunda doğrulanmış bir bulgu paylaşılmadı.
Kaspersky’nin araştırması, devletlerin kendi işletim sistemlerini ve yazılım altyapılarını geliştirmesinin beraberinde yeni güvenlik sorumlulukları getirdiğine dikkat çekiyor. Olay, yalnızca işletim sisteminin değil, güncelleme mekanizmalarının ve bakım süreçlerinde kullanılan üçüncü taraf araçların da saldırı yüzeyinin parçası olabileceğini gösteriyor.
Zeyneb TÜRKMEN
Ali ARDAL
Merve ÇELİKKOL
Nilgün ALPAR