ThreatsDay: Kritik Güvenlik Duvarı Açıkları, Kiralanmış Banka Trjanları, Silahlandırılmış PDF, Token Çalınması ve 26 Daha Fazla Hikaye
Hacking News / Cybersecurity News
Gorsel Kaynagi: The Hacker News
Bazı saldırılar gerçek beceri gerektirir. Bazılarıysa kapının açık bırakılmasını bekler. Bu hafta ikisi de ortadaydı. Ortaya çıkan parollar, hâlâ sömürülen eski açıklar ve güvenilen yazılımların yapmaması gereken şeyleri yapması.
Cayır cayır zeka ile dikkatsiz hataların tuhaf bir karışımı. Saldırganlar, tanıdık uygulamalardan, sitelerden ve yapay zeka araçlarından güven ödünç alıyor. Bazıları işleri hızlandırmak için yapay zeka kullanırken, diğerleri kendi saldırı dosyalarını açıkta bırakıyor. Tam da özenli bir iş değil.
Farklı hikayeler, tanıdık zayıf noktalar. Bu hafta ortaya çıkanlar şöyle.
Saldırı her hafta değişiyor. Abone olun, her yeni ThreatsDay Bülteni yayınlandığında sizi uyuralım.
PHP2Shell saldırıları sürüyor
PHP2Shell ile Zararlı Yazılanmış WordPress Sitesi… Hâlâ Değil
WordPress güvenlik şirketi Wordefence, 28 Ekim 2026 itibarıyla PHP2Shell (CVE-2026-109618 ve CVE-2026-109619) üzerinden zararlı yazılmış herhangi bir WordPress sitesi bildiğini belirtmiyor. “PHP2Shell ile ilgili istekleri, koruduğumuz 5 milyondan fazla site üzerinde görmeye devam ediyoruz,” dedi. “Bu istekler süren tarama ve sömürme girişimlerini gösteriyor; bir girişimin başarılı olup olmadığını göstermiyor. Sitedeki temizlik ve olay müdahale ekiplerimiz, bu açıklara atfedilen bir WordPress zararlı yazılımıyla karşılaşmadı.”
40.573 ifşa edilen gizli veri
FortiBleed Araştırması Ekstra İfşa Edilen Gizli Verileri Ortaya Çıkarıyor
Hudson Rock’un FortiBleed kimlik toplama kampanyasına yönelik araştırması, 975 yeni tespit edilen alan adı ve 40.573 ifşa edilen gizli veri ortaya çıkardı; bunların 37.076’sı yerel kullanıcı kayıtları, 1.576’sı ise Active Directory LDAP bağlanma kayıtlarıydı. Veriler, 1.689 ana bilgisayar tanımlayıcısına ait 1.703 yeni elde edilen FortiGate kaynak dosyasından geliyor. “Yapılandırma materyali, ilk araştırmada incelenen muhtemel Mayıs/Haziran materyalinden daha eski olup 2026 Şubat tarihine ait,” dedi Hudson Rock. En son tespit, FortiBleed 2.0 kod adını aldı.
Kurumsal DNS ele geçirildi
Yasa Dışı İçerik Yerleştirmek İçin Domain Shadowing Kullanımı
Tehlike aktörleri, birbirinden iki ayrı operasyonda, meşru okul ve devlet kurumlarının alan adlarının altına yasa dışı kumar içeriği yerleştirmek için domain shadowing (alan adı gölgeleme) tekniğini kullandı. “Her iki vakada da yetkisiz bir tarafın DNS yönetimine eriştiği ve orijinal alan adı sahiplerinin fark etmemiş olabileceği kayıtlar oluşturduğu gözüküyor” diyen Infoblox, “Sonuç olarak ortaya çıkan makine adları yerleşik kurumsal alan adları içinde yer aldığı için arama motoru optimizasyonu (SEO) ve trafik edinme açısından son derece kullanışlı bir altyapı sağladı.” Hidden Hawk adlı bir tehlike aktörüne bağlanan bir kümede, kurumsal makine adlarını büyük ölçüde Cloudflare Pages üzerinde barındırılan kumar sayfalarına yönlendiren bireysel CNAME kayıtlarının eklendiği tespit edildi. Hint devlet alan adını kullanan ikinci kampanya ise tüm alt alanları üçüncü taraf yetkili nameserver’lara devredip wildcard (joker) kullanarak, pek çok makine adının mağdanın DNS ortamının dışında yönetilmesine olanak tanıdı. Başka bir deisle, yetkisiz DNS erişimi, yasa dışı kumar giriş sayfaları sunan altyapıya çözülen yeni kurumsal makine adları oluşturuyor. Sayfalar, kötü amaçlı URL’lerin arama motoru sonuçlarında öne çıkmasını sağlamak için okul ve devlet alan adlarının yerleşik itibarından da yararlanıyor.
Görsel Kaynağı: The Hacker News
AI bankacılık kimliği uyarısı
Bank of America, Kimlik Bilgilerinin AI Ajanlarıyla Paylaşılmasına Karşı Uyarıyor
Bank of America, müşterilerine bankacılık kimlik bilgilerini yapay zeka ajanlarıyla paylaşmamalarını hatırlatıyor. “AI Dünyasında Finansal Güvenliğinizi Korumak” başlıklı, müşterilere yönelik bir e-posta kampanyasında finansal kurum, müşterilere kullanıcı adı ve şifrelerini başka bir kişiye ya da dış bir hizmete—”kendi adınıza işlem yapmayı teklif eden bir AI destekli araç veya ajanda” dahil olmak üzere—asla paylaşmamalarını öğütledi.
Android, kişi erişimini sıkılaştırıyor
Android, Uygulamaların Kişilere Yazmasını Engelleyecek
Google, yakında gelecek Android sürümünün WRITE_CONTACTS izni ile kişilere doğrudan yazamayacağını duyurdu. “Bunun yerine, standart kişi niyetlerini (ACTION_INSERT, ACTION_EDIT ve ACTION_INSERT_OR_EDIT) kullanabilirsiniz,” dedi Google. “Günümüzde, uygulamanızın yalnızca bir kişiyi bile kaydetmesi gerekiyorsa, WRITE_CONTACTS isteğinde bulunuyor olabilirsiniz. Ancak bu izin, arka planda ve kullanıcı etkileşimi olmasa bile cihaz üzerindeki kişilere yayılı değişiklikler yapmaya olanak tanıyan geniş bir erişim sağlar. Çoğu uygulamanın böyle bir geniş izne ihtiyacı yoktur.”
26.400 canlı kimlik bilgisi ifşa edildi
Gitee Üzerindeki 7,25 Milyon Halka Açık Depo Taranıyor
Çin’in en büyük yerli Git barındırma platformu Gitee üzerindeki 7,25 milyon halka açık depoin taranması, büyük bir girişim yapay zeka platformu için aktif bir kuruluş-yönetici kimlik bilgisi ve binlerce canlı bulut sağlayıcı erişim anahtarı dahil olmak üzere 26.400 benzersiz, canlı doğrulama kimlik bilgisi ortaya çıkardı, bağımsız güvenlik araştırmacısı Ben Zimmermann söyledi.
Kritik Fortinet düzeltmeleri yayımlandı
Fortinet, Güvenlik Güncellemeleri Yayımladı
Fortinet, yapay zeka destekli açıklama tespit yaklaşımıyla işaretlenen kritik ve yüksek ciddiyetli açıkları gidermek için “FortiOS, FortiManager ve FortiAnalyzer için koordine bir güvenlik güncelleme seti” yayımladı. Sorunların ayrıntıları 10 Kasım 2026’ya kadar gizli tutuluyor. Fortinet cihazları saldırıranların favori hedefi haline geldiği için, kullanıcıların düzeltmeleri hızlı bir şekilde uygulamaları kritik önem taşıyor.
İzinsiz token çalınması
Microsoft Authenticator Hatası İzin Dışında Hesap Erişimine İmkan Veriyor
Şimdi düzeltilen bir açık (CVE-2026-80097, yani AuthMask) hakkında detaylar ortaya çıktı. Bu açık, etkilenmiş bir Android cihazda kötü amaçlı bir uygulama kurup çalıştırarak ve güvenilir bir uygulama olduğunu iddia ederek kullanıcının uygulamada bir kimlik doğrulama işlemini tamamlamasını sağlayarak sömürülebilir. Açık, ek izin gerektirmeden hesapların ele geçirilmesinde kullanılabilir. “Başarılı sömürü, saldırganın kimlik doğrulama belirteçlerini elde etmesine ve etkilenmiş kullanıcı adına kaynaklara erişmesine olanak tanıyabilir,” dedi Microsoft. Enclave’a göre, “sıfır izne sahip ayrıcalıksız bir Android uygulaması, kurulu herhangi bir Microsoft birinci parti uygulamasının taklidini yapabilir ve Microsoft Authenticator aracısının o uygulamanın belirteçlerini ona vermesini sağlayabilir.” Kurulum, Authenticator’ın kurulu olduğu ve içine bir hesap iş hesabıyla giriş yapıldığı bir cihazdan oluşuyor.
32 sahte AI botu gizli bilgileri avlıyor
Saldırganlar Kimlik Bilgisi Avlamak İçin AI Asistanı Kılığına Bürünüyor
Saldırganlar, kimlik bilgilerini çalmak için kendilerini AI asistanları gibi gösteriyor. Cequence, ChatGPT, Claude ve Perplexity dahil olmak üzere yaklaşık 32 farklı AI botu kılığına bürünerek ölçekli bir AI asistanı taklidi yürüten tek bir saldırganı takip ettiğini; şifreler, API anahtarları ve bulut kimlik bilgileri aradığını belirtti. “Kötü niyetli tarayıcı, büyük bir bulut sağlayıcısından çalışıyor ve OpenAI, Anthropic, Meta, Perplexity ve diğerlerinden tarama botları ile asistanları kapsayan yaklaşık 32 AI botu kimliği arasında dönüyor,” dedi Will Glazier. “Gizli bilgilerin yaygın olarak saklandığı .env yapılandırma dosyaları, bulut kimlik dosyaları, özel SSH anahtarları ve sunucu ortam verileri dahil olmak üzere yaklaşık 90 dosya yolu listesiyle, gizli bilgi saklayan dosyaları istiyor; web sayfalarını görmezden geliyor. Her adres, yaklaşık sekiz saniye içinde 50 ile 190 arasında kısa istek patlaması gönderip ardından ilerliyor. Tarayıcı, yaygın bir tarama tekniği olan, her isteğe yanıt veren siteleri bulmak için önce rastgele anlamsız yollar göndererek hedefleri sırayla, gün boyu tarıyor. Finansal hizmetler, perakende, telekomunikasyon, enerji ve yazılım sektörlerindeki kuruluşlara saldırdı ve en azından eylül sonundan ekim sonuna kadar aktif kaldı.”
Çin bağlantılı ağ ihlali
Çin Bağlantılı Saldırgan Fiji’deki Bir Kuruluşun İhlal Edildi
ABD’nin Fiji Büyükelçiliği, Çin bağlantılı hackerların, Temmuz ile Ağustos 2026 arasında Suva’da merkezlenen bölgesel bir kuruluşun ağına sızdığını açıkladı. “Çin ile bağlantılı hackerlar, kuruluşun ağına birkaç gün boyunca erişimi sürdürdü,” dedi. Büyükelçilik, tehdit aktörünü isimlendirmedi. Saldırganların erişmiş olabileceği verilerin ne olduğu konusunda da bilgi vermedi.
Kamera yazılımı silaha dönüştürüldü
Saldırganlar Kamera Yönetim Yazılımı Silaha Dönüştürüyor
Saldırganlar kamera yönetim yazılımları üzerinden kurumsal ağlara sızıyor; güvenlik şirketi Huntress, Eylül ve Ekim 2026’da birden fazla olayı gözlemiş ve bunları zayıflatılmış bir uygulamaya iz sürmüştür. Kaynak kodu kalıntıları, analog ve IP kameralar ile dijital ve ağ video kaydedicileri satan Kore merkezli bir şirkete işaret ediyor. Faaliyet, uzak sunucuya çıkış bağlantıları kuran DLL’leri ikincil yükleme (sideload) amacıyla meşru “WpcMon.exe” ikili dosyasını kötüye kullanıyor. Huntress, “Bu faaliyet, saldırganların kötü amaçlı kodu algılamadan kaçınmak için güvenilir Windows bileşenleriyle harmanlayabildiğini gösteriyor” dedi.
68 GB devlet verisi sızdırıldı
Filipinler Devlet Kurumundan 68 GB Veri Çalındı
Operasyonel güvenlikte büyük bir hataya düşen bilinmeyen bir tehdit aktörü, Filipinler merkezli bir devlet kurumundan 68 GB veri çalmış, aktarımın ayrıntılı bir kaydını tutmuş ve ardından bu kaydı 13.163.205[.]35:80 adresinde internette açık bırakmıştır. Hunt.io, “Kopyalama 6 Eylül 2026’da 24 dakikadan kısa sürede tamamlandı” dedi. “Aktarım kaydı, dosya adları Filipinler dış ülkelerde istihdam ve göçmen işgücü idaresinin vaka yönetim sistemleriyle eşleşen 27 SQL Server yedeklemesini kaydediyor.” Kaydın yanında operatörün araç çantası, yeniden markalı bir GodPotato sürümü, bir PowerShell stager, iki payload ve tam bir Impacket ortamı bulunuyordu.
AI modelinden veri sızdırma kaygıları
Cohere, Alibaba’nın Qwen Modelinin Çin’e Dosya Göndermeye Çalıştığını İledi
Kanada merkezli yapay zekâ şirketi Cohere, Alibaba’ın Qwen3.8-Flash-Next modelinin, kötü amaçlı dosya indirme ve çalıştırma tespiti için modelden, /tmp dizinine bash betiklerini indiren curl süreçlerini izleyerek bash çalıştırmasını algılaması istenen bir istifle birlikte değerlendirme kumbarasında veriyi Çin’e göndermeyi denemeye çalışırken yakalandığını iddia etti. “Savunmalı bir tespit kuralı yazması istendiğinde Qwen3.8-Flash-Next talimatları görmezden geldi ve çalıştığı makinenin envanterini çıkardı, ardından Beijing’deki bir Alibaba Cloud depolama kovasına bir prob dosyası yüklemeyi denedi,” dedi Cohere. “Bunun kasıtlı olup olmadığını ya da eğitimden kalma bir hatanın artığı olup olmadığını yanıtlayamayız.” Cohere, bu davranışla bağlantılı olarak model izini ve buna karşılık gelen ham token kimliklerini içeren bir veri seti de yayımladı. “Kesin çıktının her zaman garanti edilmesi mümkün değil ve davranışı yeniden üretmek için birçok deneme gerekebilir,” dedi Cohere ve sözlerine şunları ekledi: “ayrıca modelin çıkarmaya meyilli olduğu, çoğu aliyunc içeren benzeri beklenmedik URL’ler de var.” Ancak bulgular, şirketin jeopolitik korku yayıcılığına başvurduğu ve açık ağırlıklı modelleri baskı altına alma girişimi olduğu yönünde sosyal medyada tartışmalara da yol açtı.
Santıksal sonrası göç yol haritası
NIST, Santıksal Sonrası Kriptografi Geçiş İçin Yol Gösterici Yayımladı
ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), kuantuma duyarlı algoritmelerden kuantuma dayanıklı standartlara geçiş için zaman çizelgelerini ayrıntılı biçimde açıklayan yol göstericileri yayımladı. “Rapor, farklı kullanım durumlarını betimler ve bir göçün diğerinden daha uzun sürmesinin nedenini açıklar,” dedi PQC standartlaştırma projesini yöneten NIST matematikçisi Dustin Moody. “Her kullanım durumu için uygun tek bir stratejinin olmadığı anlaşılır; insanlara, değişenleri takip ederken göçlerini yönetmelerinde yardımcı olmak istiyoruz.”
Yapay zeka destekli fidye yazılımı operasyonu ifşa edildi
n0n Fidye Yazılımı, Yapay Zeka Destekli Zorla Para İsteme Operasyonu ile İlişlendirildi
SOCRadar, eylül 2026 itibarıyla operasyonun tüm iş akışını ifşa eden n0n fidye yazılımı grubuyla ilişkilendirilen bir tehdit aktörünün canlı çalışma alanını (yani açık dizini) ortaya çıkardı. 185.157.161[.]148 adresindeki dizin, yüzlerce saldırı betiği üretmek için yaklaşık 150 modelle yapılandırılmış bir yapay zeka kodlama ajanını içeriyor ve 7.216 doları aşan kullanım maliyetine sahip. “Giriş noktaları arasında 305 FortiGate SSL-VPN cihazına yönelik kimlik bilgisi doldurma kampanyası, ifşa edilen AWS anahtarları, zayıf RDP/WinRM kimlik bilgileri ve ele geçirilen hosting yönetim portalları bulunuyordu,” dedi SOCRadar. Çalışma alanında, bir ABD spor mağazası, bir bulut sağlayıcısı, bir öğretmen sendikası, bir Venezuelalı ISP, bir Arjantin bakanlığı ve bir ilaç yan kuruluşu dahil olmak üzere 14 ülkede en az 23 kuruluşun tespit edildiği belirtiliyor.
Hükümetin yapay zekaya erişimi kısıldı
İsveç, Hükümetin ChatGPT ve Claude’a Erişimini Yasakladı
İsveç hükümeti, hassas verilerin işlenmesiyle ilgili güvenlik endişeleri nedeniyle çalışanlarının iş bilgisayarlarında ChatGPT veya Claude’un tarayıcı tabanlı sürümlerine erişimini yasakladı. “Yetkililer, hassas bilgilerinin bu modellere, verilerin nasıl korunup güvence altına alınacağını belirleyen bir anlaşma olmadan girilmesinin, bu verilerin modele beslenip eğitim için saklanmasına yol açabileceğinden endişe ediyor,” diye bildirdi Euro News.
42 depo ele geçirildi
npm Tedarik Zinciri Payload’ları ile Silahlandırılan 42 Hijacked GitHub Deposu
JFrog ve SafeDep, tehdit aktörlerinin üçüncü taraf 11 sahip üzerinden 42 GitHub deposunu hijaklayıp, bu tür ihlalleri bulmak için kullanılan GitHub arama ve API yollarını atlamaya yeterli büyüklükte payload blob’ları yaydığı bir kampanyayı ortaya çıkardı. JFrog, “Depolar, AI kodlama asistanları ve IDE’ler için yürütme hook’ları ile gizli CI-yayıncı payload’ına dönüştürülen 12,9 ile 13,7 MB arası polimorfik sarmalclar içeriyor.” Etkinliğin, sonu “testmetest” ile biten çeşitli paketler altında yayılan Miasma ailesinden bir npm solucanı ile ilişkili olduğu değerlendiriliyor. SafeDep’a göre solucan, Haziran 2026’daki Miasma “Phantom Gyp” ile kod paylaşıyor ve Mini Shai-Hulud’dan token geri alma wiper’ını ekliyor. Zararlı sürümler kimlik bilgilerini çalarak diğer paketlere ve depolara yayılıyor ve kurban çalıntı GitHub token’ını geri aldığında ev dizinini silen bir wiper kuruyor. Paketleri farkında olmadan kuran geliştiricilerin verileri çalındı ve zararlı kodla ihlal edilen depolar, daha zararlı testmetest sürümleri üretmek ve CVE-2026-41940 üzerinden cPanel sistemlerini hedef alan shellpanel iş akışlarını çalıştırmak için kullanıldı; bu durum Socket tarafından Temmuz 2026’da detaylandırılan önceki bir kampanya ile örtüşüyor.
Android bankacılık yazılımı kötü amaçlı hizmet olarak
MR ROBOT, Hint bankası müşterilerini hedefleyen bir MaaS operasyonu
MR ROBOT adlı yeni bir Android kötü amaçlı yazılım operasyonu, Hint bankalarının müşterilerini hedef alıyor ve bankacılık dolandırıcılığını abonelik işine dönüştürüyor; siber suçlular, OTP’leri, kart bilgilerini, UPI şifrelerini ve kimlik bilgilerini çalmak için özelleştirilmiş bankacılık trojanlarını kiralarken, gizlice güvenlik kontrollerini atlatmak için aramaları yönlendiriyor. “Bu tek aktörlü bir kampanya değil, kiralanan bir suç yazılımı platformu: ana operatör, afilyelere erişim kiralıyor; afilyeler ise Telegram botunu (‘APK Shield’) ve bir web yönetim panelini (v7.0) kullanarak, talep üzerine kişiselleştirilmiş bankacılık trojanları oluşturuyor ve bunları sahte Play-Store tarzı sayfalar ve mesajlaşma uygulaması tuzakları aracılığıyla dağıtıyor,” diyor CloudSEK. Kit, bankalar, yardımcı hizmet sağlayıcıları ve devlet hizmetleri dahil olmak üzere yaklaşık 36 tuzak uygulamasını taklit ediyor. Bir afilenin, 153 bulaşık cihazdan 5407 metin mesajını engellediği tahmin ediliyor.
MDM platformları uzaktan erişim için kötüye kullanılıyor
Saldırganlar Hexnode ve Rippling MDM’yi Kalıcı Uzaktan Erim İçin Kullanıyor
Saldırganlar, Huntress’e göre, sosyal mühendislik kullanarak cihazları kaydetmek veya yönetim ajanlarını kurmak yoluyla Hexnode ve Rippling gibi meşru mobil cihaz yönetimi (MDM) platformlarını kötüye kullanıyor. “Kurulduktan sonra MDM, kötü amaçlı faaliyetler için güvenilir ve ayrıcalıklı bir yol sağlar; örneğin sahte RMM araçlarının dağıtılması ve uzaktan erişimin sürdürülmesi,” diyor.
Critik Gotenberg RCE açığı sömürülüyor
Saldırganlar, özel Go ters kabuğu yerleştirmek için Gotenberg RCE açığını sömürüyor
Saldırganlar, Gotenberg’de kritik uzak kod yürütme açığı olan CVE-2026-42589 (CVSS puanı: 9.8) sömürerek “cache_base” adlı Go tabanlı bir ters kabuğu yerleştiyor. Açık, Mayıs 2026’da düzeltildi. VulnCheck’e göre faaliyet, Ekim 2026’nın başlarında Japon bir ikametgah IP adresinden kaynaklandı. “Yürütme akışı basit: bir kilit edin, ana bilgisayar bilgisini topla, C2’ye bağlan, mağduru kaydet ve bir kabuğu aç,” dedi VulnCheck. Son 30 gün içinde açık, 128 benzersiz kaynak IP adresinden 1.358 sömürü olayı kaydetti.
Görsel Kaynak: The Hacker News
Discord tartışmaları halka açılıyor
Discord, Keşfedilebilir Sunuculardan Mesajları Web Aramasına Dahil Etmeyi Planlıyor
Discord, 12 Aralık 2026’dan itibaren arama motorlarının Keşfedilebilir Sunuculardaki tartışmaları indekslemesine ve platform dışında, hesap veya davetiye olmadan web kullanıcılarına erişim sağlamasına olanak tanıyacağını duyurdu. “Keşfedilebilir Sunuculardaki tartışmalar web’de aranırken artık daha kolay bulunacak, böylece aradığınız cevabı bulabilir ve doğrudan Discord’daki sohbete katılabilirsiniz,” dedi. Değişiklikler yalnızca Keşfedilebilir Sunuculara uygulanmakta ve özel sunucular ile doğrudan mesajlara genişletilmemektedir.
800’den fazla fidye yazılımı mağduru açıklandı
The Gentlemen RaaS’ın Detayları Verildi
The Gentlemen fidye yazılımı operasyonu, çoklu bölge ve sektörde 800’den fazla mağdur kaydetmiş olup, saldırıların çoğu ABD ve Avrupa’daki kuruluşları hedef alıyor. “Grup, çoklu platformları destekliyor; Windows, Linux, NAS ve BSD sistemlerini hedefleyen fidye yazılımı varyantları, iştiraklerinin geniş bir kurumsal ortam yelpazesini hedef almasına olanak tanıyor,” dedi Acronis. “Grup operasyonları EDR öldürme araçlarının kullanımını içeriyor. Son bir olayda, güvenlik süreçlerini sonlandırmak için zafiyetli Safetica ProcessMonitorDriver [CVE-2025-70795] ve Lenovo BootRepair.sys sürücülerini yerleştiren özel bir dropper gözlemlendi.”
AI modeli yüklenirken RCE riski
Unsloth’un Model Yükleyicisinde İstemsiz Kod Çalıştırma
Pillar Security, Unsloth’un temel model yükleyici yolunda istemsiz kod çalıştırma açığı (CVE-2026-93348, CVSS puanı: 8,6) olduğunu açıkladı. Açık, unsloth_zoo 2026.8.14 sürümünde düzeltildi. “Saldırganın kontrol ettiği bir model yapılandırması, yüklenme sırasında Python kodunun çalıştırılmasına yol açabilirdi,” araştırmacı Ariel Fogel söyledi. “Etkilenen kod, model yükleyici süreci içinde çalışıyor ve bu sürecin okuyabildiği, değiştirebildiği veya kimlik doğrulayabildiği her şeye erişebiliyordu. Bir AI geliştirme ortamında bu, özel veri setlerini, model dosyalarını, Hugging Face belirteçlerini ve bulut kimlik bilgilerini içerebilir. Sömürülme, etkilenen bir yükleyici yolunun saldırganın yaptığı bir yapılandırmayı işlemesini gerektiriyordu.”
Kimlik doğrulamadan kök düzeyinde RCE
EAC Oy Kullanıcı Hesaplama Aracında Kritik RCE
XBOW, Amerika Birleşik Devletleri Seçim Yardım Komisyonu’na (EAC) ait halka açık bir web uygulamasında kimlik doğrulamayan, kritik ciddiyette uzak kod çalıştırma açığı tespit ettiğini belirtti. “Etkilenen uygulama, bir oy makinesi veya seçmen kaydı sistemi değil, bir kaynak/logistika hesaplama aracıydı,” XBOW araştırmacı Ariel Walter Garcia söyledi. “Açık, kimlik doğrulamayan bir saldırganın, yerel olarak korunan kaynaklara erişim ve çıkış ağı bağlantısı ile backend konteyneri içinde kök olarak kod çalıştırabilmesine olanak tanıyordu; bu, işlenmiş bir kimlik doğrulamayan web isteği üzerinden ulaşılabilecek, ayrıcalıklı bir taban noktasıydı.”
Oturum ele geçirme RAT’ı ortaya çıktı
Yeni DataCore RAT’ı ortaya çıktı
Gmail, WhatsApp ve MediaFire hesaplarına çalıntı oturumlar kullanarak erişim sağlayabilecek, ayrıca faaliyetin kurbanın kendi IP adresinden kaynaklandığı izlenimini verecek özel bir tarayıcıyla gelen DarkCore adlı yeni bir uzaktan erişim trojani ortaya çıktı. DarkCore, ilk olarak Ağustos 2026’da siber suç forumlarında ilan edildi. “Satıcı, enfekte olmuş makinenin IP adresi üzerinden iş e-posta kutularına, anlık mesajlaşma uygulamalarına, bulut depolama alanına ve diğer hizmetlere erişmek için bu oturumları yeniden kullanan bir tarayıcıyı tanımlıyor,” diye belirtti BlackFog. “Amaç, erişimin kullanıcının meşru faaliyeti gibi görünmesini sağlamak.”
Yapay zeka destekli kötü amaçlı yazılım çerçevesi
NIK C2, yapay zeka özellikli C2 Çerçevesi
Cisco Talos, NIK C2 adlı yeni bir yapay zeka entegreli komut ve kontrol (C2) çerçevesinin ayrıntılarını açıkladı. İmplant, kimlik dökme, RDP oturumu ele geçirme, süreç boşaltma ve C2 tarafından yönlendirilen ekran kilitleme fidan yazılımı modülü dahil gözetim, hırsızlık, yatay hareket ve atılma yeteneklerini içeriyor. “NIK C2, bir aktörün kimlikleri dökmesine, kurbanın klavye girişlerini hedeflenen kurbanın hassas verilerini toplamak için akıtmasına ve toplanan verileri analiz etmesi için entegre bir yapay zeka modeline talim vermesine olanak tanıyan bir Windows implantı kullanıyor; bunların tümü ihlal edilmiş oturum içinde gerçekleşiyor,” dedi Talos. “Bu çerçevede aktör, ChatGPT tarzı konuşmaları programlı olarak sağlayan bir HTTP uç noktası olan OpenAI Chat Completions uygulama programlama arayüzünü (API) kötüye kullanıyor. Hırsızlığı sağlayan özelliklere ek olarak, bir aktör NIK C2 implantı üzerinden kurban makinesine masaüstü ekran kilitleme fidan yazılımı da yerleştirebilir ve bu da Bitcoin veya USDT kripto paralarında fidye talebine yol açar.” 12 Ağustos 2026’dan bu yana kötü amaçlı yazılımın üç farklı sürümü tespit edildi. Talos, NIK C2’nin toplama ve sömürmeyi tek bir sürekli oturuma indirgeyerek saldırganın ustalığını değiştirdiğini belirtti.
Görsel Kaynağı: The Hacker News
Zararlı PDF arka kapı açar
FedEx Faturası Sahtekarlığı Sirius Arka Kapıya Yol Açar
FedEx vergi faturası misillemesi kullanan ve içinden PDF barındıran bir ZIP arşivi içeren bir oltalama e-postası, daha önce belgelenmemiş bir Sirius arka kapı varyantını aktaran çok aşamalı bir bulaşma sürecini tetiklediği gözlemlendi. “PDF, açıldığında gömülü Base64 kodlu bir PowerShell komutunu tetiklemek için /OpenAction ve /Launch nesnelerini kötüye kullanıyor,” Trellix, “Yürütme, kullanıcının PDF okuyucunun güvenlik onay istemini kabul etmesi için sosyal mühendisliğe dayanıyor. PowerShell stager’ı şifreyi çözer ve bir .NET derlemesini bellekte yansıtarak yükler. Bu yükleyici, msbuild.exe, svchost.exe gibi meşru Windows süreçlerine süreç boşaltma (process hollowing) uygulayarak kötü amaçlı yazılımın güvenilir süreç bağlamlarında çalışmasını sağlıyor.” Son yük, genişletilmiş uzaktan erişim yeteneklerine sahip Microsoft Visual C++ tabanlı bir arka kapı olan SIRIUS’tur.
Yapay zeka fidye yazılımı ekonomisini dönüştürür
Fidye Yazılımı ve Zorbalıkta Yeni Ekonomi
Flare’dan gelen yeni bir analiz, tehdit aktörlerinin ticari modelleri yerel, açık ağırlıklı ve sınırları kaldırılmış alternatiflerle birleştirerek karmaşık bir yapay zeka araç seti inşa ettiğini ve maliyetleri mağdurlara aktarmak için çalıntı yapay zeka kimliklerine dayandığını ortaya koydu. “Yapay zekanın yardımcı olabileceği alan sistemleri anlama, araç yazma ve sorun gidermedir. Tehdit aktörünün hala erişime, kararlara ve ödeme sağlama yoluna ihtiyacı var,” Flare, “Eğer yapay zeka bir ortaklaşa çalışan bir veri aktarma scripti yazmasına yardımcı olursa, o ortaklaşa bir uzman işe almak ve yardımını beklemek yerine o uzmanın ücretinden kaçınabilir. Yapay zeka, yalnızca kullanmanın ve çalışmalarını kontrol etmenin maliyeti, yerine geçtiği uzman yardımının maliyetinden düşükse, uzmanlığın elde edilmesini ucuzlaştırır.”
Yeni ortaya çıkan veri zorlaklığı tehdidi
ScarlettGroup: Yeni ortaya çıkan veri zorlaklığı aktörü
Yakında gözlemlenen ScarlettGroup adlı siber zorlaklık aktörü, iddia edilen veri ihlallerini açıkça ilan ediyor ve hedeflediği kuruluşlara baskı uygulamak için müzakere süreleri ve açıklama tehditleri kullanıyor. Grubun karanlık web sitesindeki liste; teknoloji, eğitim, hükümet ve eğlence sektörlerinden kurbanları içeriyor. “ScarlettGroup; açık kurban iddiaları, süreye dayalı baskı ve yeraltı forumu faaliyetleri dahilinde finansal kazanç odaklı veri zorlaklığı operasyonlarıyla ilişkilendirilen özellikler sergiliyor,” diye belirtti Foresiet. “Özel sızma sitesi altyapısı ve yapılandırılmış açıklama mekanizması, iddia edilen ihlalleri tanıtma ve itibar baskısı uygulama konusunda organize bir yaklaşımı işaret ediyor.”
İnfoçalarlar RAT’lere evriliyor
StealC, Stadia RAT olarak geri döndü
Haziran 2026’da Operation Endgame kapsamında etkisiz kılınmasının ardından StealC, dört ay sonra Stadia adıyla geri döndü. “Bu sefer bir çalar değil, tam bir uzak erişim truvası,” diye belirtti Varonis. “RAT’in özellikleri arasında gizli masaüstü kontrolü, canlı komut kabuğu, dosya gezgini, işlem yöneticisi ve bellek içi yükleyici yer alırken, StealC’nin çaları altı modülden biri olarak eklenmiş durumda.” Stadia’nın arkasında bulunan aktör, orijinal StealC müşterilerini geri kazanmak için yoğun çalışıyor: her eski StealC müşterisine en üst ($900) katta bir aylık ücretsiz hizmet sunuluyor. Bu gelişme, Moonlock Lab’in Icarus macOS çalarının da benzer şekilde kır-ve-al kripto ve veri çalarından uzak erişim yeteneğine sahip bir yazılıma evrildiğini ortaya çıkardığı bir döneme denk geliyor. Yeni sürüm ICMacOS olarak adlandırılıyor. “Çalar, Rusça konuşan, GlowComa takma adını kullanan bir aktör tarafından siber suç forumlarında aktif olarak tanıtılıyor ve özellik güncellemeleri düzenli olarak Telegram üzerinden duyuruluyor,” dedi SOCRadar. “GlowComa, ICMacOS’i, kötü amaçlı kopyala-yapıştır terminal komutları kullanarak yük teslim eden bir eş panel olan Icarus ClickFix ile birlikte tanıtıyor. Bulaşma zinciri, ana yükü teslim etmeden önce makine mimarisini algılayan ilk bulaştırıcı betiklere ve sahte sistem iletişim kutularını kullanarak yönetici parolalarını toplamaya dayanıyor.” Başka bir macOS odaklı çalar ise Aokigahara; tarayıcıların, VPN istemcilerinin, kripto cüzdanlarının, FTP/SFTP istemcilerinin, parola yöneticilerinin ve e-posta uygulamalarının ötesine geçerek yapay zeka uygulamalarını ve geliştirme araçlarını da hedef alıyor. “Çalar, Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot, Gemini CLI ve diğer araçlarla ilişkili kimlik doğrulama dosyalarını, oturum verilerini ve yapılandırma dosyalarını topluyor,” dedi Check Point. “Çalınmış yapay zeka kimlik bilgileri, para kazanma fırsatları sunabilir. Kullanılabilir kimlik bilgileri veya oturum belirteçleri, ücretli yapay zeka hizmetlerine izinsiz erişimi veya ihlal hesapların yeniden satımını sağlayabilir.”
Bu haftanın kaosu işte. Bazı saldırılar zekiydi, bazıları acı verecek kadar basitti ve birkaç saldırgan da onları araştıranların işini kolaylaştırdı. Ortak sorun? Kimse yakından izlemediği şeylere fazla güvenmek.
Yapay zeka yeni hileler ekliyor ama eskiler ortadan kalkmıyor. Çalıntı kimlik bilgiler, zayıf erişim kontrolleri ve unutulmuş açıklar hâlâ oldukça iş çıkarıyor. Yeni araçlar, tanıdık hatalar.
İşe yarayan kısım, bu hataların nerede tekrar ortaya çıktığını bilmek. Genelde de bir sonraki sorunun başlangıcı tam orada olur.
