- Microsoft ayrıntılı bilgi verdi. İhtiyaç Duyan PeygamberdevesiDLL dosyalarının yan yüklenmesi ve WebSocket komut ve kontrolü ile uzun süreli erişim için kullanılan bir kötü amaçlı yazılım ailesi.
- Hollanda polisi, olayla bağlantılı 24 yaşındaki bir adamı tutukladı. Parlak AvcılarHaberlerde adı Pepijn van der Stap olarak geçiyor, grup ise FBI'ın iş ilanları portalına sızdığını iddia etti.
- ShinyHunters istismar etti Oracle PeopleSoft CVE-2026-35273 ve iddialara göre WAF kurallarını ihlal ederek eğitim, teknoloji, sağlık, tarım, ulaşım ve hükümet sektörlerini etkiledi.
- Proofpoint diyor ki TA419Çin yanlısı bir grup, yapay zeka politikası uzmanı kılığına girerek düşünce kuruluşlarından ve yüklenicilerden yetki belgelerini çaldı.
Siber saldırı dünyasındaki son gelişmeler iki yönde ilerliyor: uzun vadeli erişim arayan devlet bağlantılı casusluk ekipleri ve her zamankinden daha agresif davranan suçlu gasp grupları. Microsoft, telekomünikasyon şirketlerine, üniversitelere, tıbbi kar amacı gütmeyen kuruluşlara, hükümetler arası kurumlara ve devlet yüklenicilerine karşı sınırlı sayıda sızmada kullanılan NeedyMantis adlı bir kötü amaçlı yazılım ailesinin teknik analizini yayınladı . Bu araç, geniş çapta yayılmak yerine, ilk sızmadan sonra saldırganları ağların içinde tutmak için tasarlanmış gibi görünüyor.
Aynı zamanda, Hollandalı yetkililer, büyük veri hırsızlıkları ve fidye tehditleriyle bağlantılı bir çete olan ShinyHunters ile ilişkili olarak 24 yaşında bir adamı gözaltına aldı . Tutuklama, grubun kamuoyuna yönelik pervasızlığını yavaşlatmadı: birkaç gün içinde, FBI'ın iş ilanları portalına yapılan bir sızmanın sorumluluğunu üstlendi ve PeopleSoft güvenlik açığının istismar edilmesiyle bağlantılı olduğu ortaya çıktı. Ayrı olarak, araştırmacılar, TA419 adlı Çin yanlısı bir grubun , düşünce kuruluşlarından, yüklenicilerden ve üniversitelerden kimlik bilgilerini çalmak için yapay zeka politikası uzmanı kılığına girdiğini söylüyor.
Microsoft, NeedyMantis'i uzun vadeli siber saldırılarla ilişkilendiriyor.
Microsoft'un analizine göre NeedyMantis, en az Ekim 2025'ten beri gözlemleniyor ve az sayıda hedefli operasyonda ortaya çıktı. Kurbanlar arasında telekomünikasyon kuruluşları, üniversiteler, tıbbi kar amacı gütmeyen kuruluşlar, hükümetler arası kuruluşlar ve devlet yüklenicileri yer alıyor. Kötü amaçlı yazılımın amacı kitlesel yıkım değil, kalıcılık ve kontrol sağlamaktır.
NeedyMantis'e giden yol, kısmen Kaspersky'nin DAEMON Tools'a yönelik bir tedarik zinciri saldırısıyla ilgili soruşturmasından kaynaklanıyordu. DAEMON Tools Lite için resmi olarak imzalanmış yükleyiciler , 8 Nisan 2026 tarihli kötü amaçlı kod içeriyordu ve geliştirici 5 Mayıs'ta temiz bir sürümü geri yükledi. Microsoft, ilgili etkinliği Storm-3069 olarak takip ediyor, ancak NeedyMantis'in kendisinin bu tedarik zinciri yoluyla geldiğini görmedi.
Kötü amaçlı yazılım paketi genellikle üç parçadan oluşur: yasal bir program, programın yüklediği dosyanın adını taşıyan kötü amaçlı bir DLL dosyası ve aynı etikete sahip şifrelenmiş bir arşiv. Uygulama başlatıldığında, kötü amaçlı DLL dosyasını yükler; bu tekniğe DLL yan yükleme denir.
Bu şekilde kötüye kullanılan meşru programlar arasında Poedit, curl, Vim ve TightVNC yer almaktadır . Kötü amaçlı yazılım ayrıca Microsoft Office, Broadcom, Intel ve NVIDIA ile bağlantılı DLL'ler olarak da kendini gizlemiştir. Bir örnekte, Poedit'in güncelleme bileşeni olan WinSparkle.dll'i değiştirmiştir.
Veri paketi trafiğini nasıl gizliyor?
Ayrıntılı örnekte, ağ içinde bulunan bir operatör, Impacket kullanarak paketi paylaşılan bir klasörden kopyaladı ve hedef makinede çalıştırdı. İlk erişim, bir durumdan diğerine farklılık gösterebilir.
Yüklendikten sonra, DLL şifrelenmiş arşivden bir sonraki aşamayı çıkarır ve çalıştırır. Bu aşama, HTTPS üzerinden bir komuta ve kontrol sunucusuyla iletişim kuran ve ardından WebSocket bağlantısına geçen ana bileşeni çözer.
Bu kanal aracılığıyla operatörler ek modülleri yükleyip kaldırabilir ve bunlara veri gönderebilirler. Microsoft bu modüllerin ne işe yaradığını henüz doğrulamadı. Ekim 2025 tarihli eski bir sürüm, Windows hizmetlerini kullanan bir kalıcılık modülü içeriyordu ; yeni sürümün kalıcılık yöntemi detaylandırılmadı.
Çin'e atfedilmesi konusunda temkinli davranılıyor.
Storm-3069, Microsoft'un yeni veya gelişmekte olan kümelere, bunların arkasında kimin olduğu konusunda daha emin olana kadar verdiği geçici bir etikettir. Şirket, NeedyMantis'i DAEMON Tools kampanyasının dışında gördüğünü ve birden fazla grubun bunu kullanıyor olabileceğini söylüyor. Tüm faaliyetlerin tek bir aktörden gelip gelmediğini henüz belirlemedi.
Microsoft, faaliyetin Çin kaynaklı olduğunu değerlendiriyor ancak Storm-3069'u Çinli bir devlet aktörüne bağlamadı. Hedefler ve seçici kurban grubu, şirketin Çin ile ilişkilendirdiği kalıplara uyuyor. Kaspersky, DAEMON Tools kötü amaçlı yazılımında Çince metin buldu ancak bunu bir aktöre bağlamadı.
Google Tehdit İstihbarat Grubu, DAEMON Tools kampanyasının arkasındaki aktörü UNC6863 olarak takip ediyor . Mandiant, UNC6863'ü DAEMON Tools güvenlik açığını kullanarak kötü amaçlı yazılım dağıtan, Çin bağlantılı olduğundan şüphelenilen bir aktör olarak tanımladı. UNC6863 ve Storm-3069'un aynı kişi olup olmadığı ise belirsizliğini koruyor.
Göstergeler, tespit ve temizleme
Microsoft'un yayınladığı göstergeler arasında, ilk aşama yükleyiciye ve şifrelenmiş arşivlere bağlı üç SHA-256 özeti, 443 numaralı bağlantı noktasındaki corp.tripswithenginecom C2 etki alanı ve sabit kodlanmış firefox/21.0 kullanıcı aracısı yer alıyor.
- e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e – ilk aşama yükleyici WinSparkle.dll, ilk kez 21 Mayıs 2026'da görüldü.
- 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef – WinSparkle adlı şifrelenmiş arşiv, ilk kez 23 Mayıs 2026'da görüldü.
- c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 – libcurl adlı şifrelenmiş arşiv, eski sürüm, ilk kez 3 Ekim 2025'te görüldü.
Zararlı DLL'lerle birlikte görülen dosya yolları, ortak program ve program veri klasörleri altında Poedit, libcurl, Vim, TightVNC, Office, Broadcom, Intel ve NVIDIA ile ilgili bileşenleri içermektedir.
Defender, kötü amaçlı yazılımı TrojanDropper:Win64/NeedyMantis ve Behavior:Win64/NeedyMantis olarak algılıyor. Arama sorguları yalnızca yedi gün geriye dönük arama yaptığından, ayarlanmadığı takdirde Ekim 2025 veya Mayıs 2026'dan daha eski olayları bulamazlar. Yalnızca Poedit yolunda bir isabet, kanıt teşkil etmez çünkü WinSparkle.dll aynı zamanda normal bir Poedit bileşenidir.
Microsoft, bulut tabanlı koruma, ilk bakışta engelleme, engelleme modunda EDR, ağ koruması, otomatik saldırı engelleme ve belirli saldırı yüzeyi azaltma kurallarını önermektedir. Ayrıca, Defender olmadan da yapılabilen, C2 etki alanına bağlantılar için giden trafiğin kontrol edilmesini de önermektedir. Etkilenen DAEMON Tools Lite 12.5.1'i yükleyen herkesin bunu kaldırması, tam tarama yapması ve resmi siteden 12.6 sürümünü edinmesi gerekmektedir.
Hollanda'daki tutuklama ShinyHunters'ı baskı altına aldı.
Hollanda yetkilileri , dünya çapında 140'tan fazla kuruluşta veri hırsızlığı ve şantajla suçlanan ShinyHunters adlı gruba yönelik soruşturma kapsamında 24 yaşında bir adamın tutuklandığını doğruladı . Polis, adamın 15 Eylül'de tutuklandığını ve en az 90 gün gözaltında tutulmasına karar verildiğini söyledi.
Çeşitli haberlerde şüphelinin, bir zamanlar Umbreon takma adını kullanan, daha önce siber suçlardan hüküm giymiş Pepijn van der Stap olduğu belirtiliyor . 2023 yılında, savcıların 1.5 milyon ila 2.7 milyon Euro arasında gelir sağladığını söylediği veri hırsızlığı ve gasp suçlarından dört yıl hapis cezasına çarptırılmış, bunun bir yılı ertelenmişti. Aralık 2025'te cezaevinden tahliye edildi.
Tutuklanmadan önce van der Stap, röportajlara ve medya haberlerine göre, ıslah olmuş biri olarak kendini tanıtmış ve Neo Security'de üst düzey bir güvenlik pozisyonunda çalışmıştı. Ayrıca, daha sonra kötü amaçlı yapay zeka kullanımını içeren dahili bir siber güvenlik olayını açıklayan ve bunun ShinyHunters ile bağlantılı görünmediğini söyleyen Hollanda Güvenlik Açığı Açıklama Enstitüsü'nde gönüllü olarak çalışmıştı. Neo Security yorum taleplerine yanıt vermedi.
Hollanda polisi, Şubat 2026'da yapılan ve bir Odido çalışanını sahte bir siteye giriş yapmaya yönlendiren, bu da 6.2 milyondan fazla Hollandalının verilerinin çalınmasına yol açan telefon görüşmesindeki sesin kime ait olduğunu belirlemek için halktan yardım istedi . ShinyHunters, arayan kişinin bir üye olduğunu doğruladı, ancak tutuklanan adamın Odido davasıyla resmi olarak bağlantısı henüz kurulmadı.
RTL'nin haberine göre, soruşturmacılar ayrıca van der Stap'ın tutuklanmasının ardından elde edilen bilgilere dayanarak yurt dışında en az iki cinayet daha düzenlemeye çalıştığından şüpheleniyor . Hollandalı yetkililer bu soruşturma hattını ShinyHunters soruşturmasından ayrı olarak nitelendirdi.
FBI iş ilanları portalının güvenliğinin ihlal edilmesi ve PeopleSoft yazılımının kötüye kullanılması
Tutuklamanın üzerinden günler geçtikten sonra, ShinyHunters adlı grup, FBI'ın iş başvuru sitesi apply.fbijobs.gov adresindeki bir veri ihlalinin sorumluluğunu üstlendi . Haberlere göre, çalınan veriler arasında 5,000'den fazla yetkilinin Sosyal Güvenlik numaraları ve kişisel bilgilerinin yanı sıra özel ajan, tehdit alım uzmanı, büyük siber suçlar birimi ve yabancı devlet destekli siber tehditleri araştıran personel gibi görev unvanları veya ekip bilgileri de yer alıyordu.
Reuters, grubun paylaştığı belgeleri inceledi ve FBI personeliyle ilgili hassas psikiyatrik ve tıbbi dosyalar buldu . Veri ihlali, verilerin niteliği nedeniyle karşı istihbarat endişelerini artırdı. Büro, olayla ilgili ayrıntılı bir kamuoyu açıklaması yapmadı.
ShinyHunters , yaygın olarak kullanılan bir İK ve işe alım platformu olan Oracle PeopleSoft'ta yakın zamanda yamalanmış bir güvenlik açığı olan CVE-2026-35273'ü kullanarak sisteme erişim sağladığını belirtti . Oracle, söz konusu güvenlik açığının Haziran ayından itibaren sıfır gün açığı olarak kullanılması üzerine bir düzeltme yayınlamıştı.
Mandiant, hızlı bir şekilde yama yapamayan kuruluşlar için web uygulama güvenlik duvarı kuralları yayınladı, ancak BleepingComputer, ShinyHunters'ın bu kuralları atlatmak için URL kodlama hilesini kullandığını bildirdi . Mandiant ve Google Tehdit İstihbarat Grubu'nun 25 Eylül tarihli raporu, PeopleSoft güvenlik açığının yükseköğretim, teknoloji, sağlık, tarım, ulaşım ve hükümet sektörlerinde yaygın olarak istismar edildiğini doğruladı.
ShinyHunters, TechCrunch'a yaptığı açıklamada, FBI'ın veri ihlalinin mali bir motivasyonla yapılmadığını ve grubun aleyhindeki iddialara meydan okumayı amaçladığını belirtti. Çalınan FBI verilerini yayınlamayacağını da sözlerine ekledi. FBI siber bölümü başkanı Brett Leatherman, Hollandalı ortaklarına teşekkür ederek, kalan üyelerin teslim olmaları çağrısında bulundu.
ShinyHunters içinde bir liderlik mücadelesi
Soruşturmaya yakın kaynaklar, grubun FBI ve Rus fidye yazılımı çetesi Cl0p'a karşı son zamanlarda yaptığı riskli hamlelerin, eski, daha ölçülü tarzından bir değişime işaret ettiğini söylüyor. Bu değişimin, Ürdün'ün Amman kentinden Rey olarak bilinen ve ScatteredLapsussHunters adlı bir koalisyon içinde faaliyet gösteren genç bir siber suçlunun liderliği ele geçirmesinin ardından gerçekleştiği bildiriliyor.
Bu koalisyon, Scattered Spider, LAPSUS$ ve ShinyHunters'ın bir karışımı olarak tanımlanıyor. Rey'in, ShinyHunters markası ve verilerinin kontrolü konusunda Hollandalı hacker ile bir anlaşmazlığı olduğu iddia ediliyor . FBI'ın tahrif ettiği sayfada bırakılan devasa Umbreon görseli, saldırıyı Hollandalı hacker'ın üzerine yıkma girişimi olarak değerlendiriliyor.
Rey, Twitter/X üzerinden bir meme ile Cl0p ve FBI'ı alaya aldı; daha sonra bir muhabirin röportaj talebi üzerine hesabı silindi. Wired raporuna göre, ShinyHunters ve SLSH, çalıntı kimlik bilgilerinden para kazanmak için kısa bir süre TeamPCP ile ortaklık kurdu , ardından ShinyHunters kendi yoluna giderek elde edilen gelirleri kendine sakladı. Mandiant, TeamPCP'ye sızarak kimlik bilgilerini bulut sağlayıcılarına iletti ve bu da anahtarların geçersiz kılınmasına yol açtı.
Mandiant araştırmacısı Austin Larsen, ShinyHunters'ın bir şantaj çılgınlığı içinde olduğunu ve 2026'da kurbanlardan yaklaşık 100 milyon dolar toplayabileceğini söyledi. Van der Stap ise önceki suçlarının para değil, veri tabanı toplama arzusundan kaynaklandığını iddia etti.
Çin yanlısı TA419, yapay zeka politikası uzmanı kılığına bürünüyor.
Proofpoint'e göre, Çin'le bağlantılı TA419 adlı bir grup , ABD'de yapay zeka uzmanı kılığına girerek faaliyet gösteriyor. Bu uzmanlar arasında Beyaz Saray Bilim ve Teknoloji Politikası Ofisi'nin eski baş müdür yardımcısı Lynne Edwards Parker da bulunuyor. Kampanya Nisan 2025'ten beri aktif durumda.
E-postalar ilk bakışta zararsız görünüyordu ve genellikle alıcıları 'Yapay Zeka Politikası Danışma Komitesi'ne katılmaya davet ediyordu . Hedef kişi yanıt verdikten sonra, saldırganlar kimlik bilgilerini çalmak için tasarlanmış sahte bir giriş sayfası gönderiyordu. Kurbanlar arasında ABD ve Japonya'daki düşünce kuruluşlarında, savunma sanayi şirketlerinde, üniversitelerde ve hukuk firmalarında çalışan politika uzmanları yer alıyordu.
Bu teknik, meşru bir web sayfasının içinde sahte bir tarayıcı açılır penceresi oluşturarak , gerçek bir oturum açma istemini taklit ediyor; böylece kurbanların bilgi verdiklerinin farkına varmaları daha zor oluyor. Proofpoint tüm hedeflerin adını açıklamadı, ancak Reuters, Beyaz Saray'da görev yapmış ve şu anda Penn Medya, Teknoloji ve Demokrasi Merkezi'ni yöneten Alex Engler'in mesajlardan birini aldığını ve bunun bir taklitçi tarafından gönderildiğini doğruladı.
Şubat ayında aynı grup, yapay zeka politikası uzmanlarını hedef alırken önde gelen bir Anthropic çalışanının kimliğine bürünmüştü . Proofpoint, TA419'un düşünce kuruluşlarına ve politika uzmanlarına karşı gerçek dünya uzman kimliklerini kullanmaya devam edeceğini öngörüyor. Parker, Al Jazeera'nın yorum talebine yanıt vermedi.
İnsanların ve savunucuların izlemesi gerekenler
Güvenlik ekipleri için NeedyMantis göstergeleri ve PeopleSoft istismarı, saldırganların güvenilir yazılımları, çalınmış kimlik bilgilerini ve bilinen güvenlik açıklarını nasıl bir araya getirdiğini gösteriyor. Giden trafiği kontrol etmek , olağandışı DLL yüklemelerini incelemek ve açıkta kalan İK veya işe alım platformlarını yamalamak, saldırı süresini kısaltabilir.
TA419 kampanyası, sıradan kullanıcılar için, özenle hazırlanmış e-postaların ve gerçekçi giriş ekranlarının bile kimlik avı olabileceğini hatırlatıyor. Beklenmeyen davetleri ikinci bir kanal üzerinden doğrulamak ve kimlik avına karşı dayanıklı çok faktörlü kimlik doğrulama kullanmak yardımcı olur.
Bu vakaların ortak noktası erişimdir: Devlet bağlantılı ekipler ağların içinde gizli kalmak isterken, suç çeteleri çalıntı verileri ödemelere ve kamuoyu desteğine dönüştürmek istiyor. NeedyMantis analizi, DLL yan yükleme ve WebSocket C2'nin meşru araçları nasıl bir dayanak noktasına dönüştürebileceğini gösteriyor; ShinyHunters tutuklaması ve FBI ihlali, bir hacker markasının içsel karışıklıktan sonra ne kadar hızlı bir şekilde büyüyebileceğini gösteriyor; ve TA419'un yapay zeka temalı kimlik avı, sosyal mühendisliğin hala güvenilir bir isim ödünç aldığında en iyi şekilde çalıştığını gösteriyor. Bu hikayelerin hiçbiri birbirinden bağımsız değil ve savunma dersleri örtüşüyor: hızlıca yama uygulayın, olağandışı trafiğe ve dosya yüklemelerine dikkat edin ve istenmeyen giriş isteklerine şüpheyle yaklaşın.
