Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), Asya kıtasında yer alan bir ülkede yalnızca kamu idareleri tarafından kullanılan özel bir Windows 10 işletim sistemi sürümüne yönelik gerçekleştirilen siber saldırıyı tespit etti. Bu gelişmiş tehdit kapsamında, saldırganlar daha önce kayıtlarda bulunmayan "NetamLoader" olarak adlandırılan kötü amaçlı yazılım çatısını devreye soktu. Saldırganlar, bu operasyon sırasında meşru yazılım bileşenlerinden faydalanarak faaliyetlerini gizleme ve arka planda ek zararlı kodları indirme yeteneğine sahip bir yapı kurdular. Kaspersky'nin tehdit izleme ağı aracılığıyla tespit edilen kurban vakası, şu an için bilinen herhangi bir siber suç örgütüyle ilişkilendirilemedi.
Tedarik Zinciri Açığından Faydalanma
Araştırma süreci, 2026 yılının ilk yarısında başladı. Kaspersky uzmanları, Windows güncelleme klasöründe bulunan bir arşiv dosyası içinde şüpheli bir yapılandırma dosyası fark ettiler. İncelemeler sonucunda, arşivdeki programların büyük çoğunluğunun üçüncü taraf yama yönetim aracı Patch My PC'nin bileşenleri ve Microsoft tarafından dijital olarak imzalanmış modüller gibi güvenilir yazılımlar olduğu görüldü. Saldırganlar, bu güvenilir yazılımları değiştirilmiş yardımcı dosyalar aracılığıyla manipüle ederek, onlara zararlı talimatlar yükletmeyi başardı. Arşivin konumu ve içeriği, saldırganların yazılım dağıtım veya güncelleme süreçlerini kötüye kullanarak bir yazılım tedarik zinciri saldırısı düzenlediğini düşündürmektedir. Ancak araştırmacılar, arşivin kurban sisteme nasıl ulaştığını tam olarak gözlemleyemedi ve Patch My PC’nin veya dağıtım altyapısının ele geçirildiğine dair doğrudan bir kanıt bulunamadı.
Gelişmiş Gizleme Teknikleri ve Etkiler
NetamLoader altyapısı, zararlı içeriğini ortaya çıkarmak için çok katmanlı kodlama, sıkıştırma ve şifreleme teknikleri kullanıyor. Zararlı faaliyetin ilk aşamada meşru bir Windows süreciyle ilişkilendirilmesini zorlaştırmak amacıyla yürütme işlemi, güvenilir bir sistem prosesine taşınıyor. Ayrıca bu çerçeve, kötü amaçlı yazılım tarama işlevlerine müdahale ederek araştırmacıların saldırı senaryosunu yeniden oluşturmalarını engelleyen dosyaları silme eğiliminde. Etkinleştirildikten sonra NetamLoader, saldırganların kontrolündeki bir sunucudan ek talimatlar almak için iletişim kuruyor. Yapılandırma dosyasındaki ince ayarlar nedeniyle, ilk bağlantı öncesi 20 ile 40 dakika arasında bir bekleme süresi uygulanıyor. Geçerli yanıt alınamaması durumunda ise zararlı yazılım, yeniden deneme öncesinde 22 ila 28 saat bekliyor. Bu uzun gecikmeler, kısa süreli ağ izleme oturumlarının etkisiz kalmasına neden oluyor.
Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin, teknolojik egemenlik arayışının hükümetler için önemli olduğunu ancak bu durumun tüm ekosistemin güvenliğinin sağlanmasını da zorunlu kıldığını belirtti. Lozhkin, savunma ekiplerinin yalnızca programların meşruiyetine değil, bileşenlerin birbirleriyle olan etkileşimine de dikkat etmesi gerektiğini vurguladı. Kaspersky ürünleri bu tehdidi HEUR.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* ve Trojan.Script.Agent.* tanımlarıyla algılıyor. Bulgular, Securitylist platformu üzerinden yayımlanan kapsamlı teknik raporda detaylandırıldı ve araştırmanın sonuçları Bali'de düzenlenen Security Analyst Summit 2026'da paylaşıldı.
