Kaspersky: Asya'da yalnızca devlet kurumlarına özel Windows 10 sürümünü hedefleyen NetamLoader saldırısı, meşru Patch My PC bileşenleri üzerinden çalıştı
Kaspersky GReAT, bir Asya ülkesinde yalnızca kamu kurumlarının kullandığı özelleştirilmiş Windows 10 sürümüne yönelik saldırıda daha önce bilinmeyen NetamLoader çerçevesini tespit etti. Zararlı, Windows güncelleme klasörüne bırakılan bir arşivdeki meşru yazılımlar üzerinden yükleniyor; şirket olası bir tedarik zinciri saldırısından söz ediyor.
Kaspersky'nin Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca devlet kurumlarının kullandığı özelleştirilmiş bir Windows 10 sürümünü hedef alan bir saldırıyı ortaya çıkardı. Şirketin 29 Ekim tarihli duyurusuna göre saldırganlar, daha önce bilinmeyen ve NetamLoader adı verilen bir zararlı çerçevesini meşru yazılım bileşenleri üzerinden çalıştırdı. Araştırma Bali'deki Security Analyst Summit 2026'da sunuldu; ayrıntılar bu hafta The Hacker News ve Security Affairs'in haftalık zararlı yazılım bülteninde de yer aldı.
Kaspersky şimdiye kadar tek bir kurban tespit ettiğini ve saldırıyı bilinen hiçbir threat actor ile ilişkilendiremediğini belirtiyor.
Saldırı nasıl işliyor?
Soruşturma 2026'nın ilk yarısında, Windows'un indirilen güncellemeleri tuttuğu klasördeki bir arşivde şüpheli bir yapılandırma dosyası bulunmasıyla başladı. Arşivdeki programların çoğu meşruydu: üçüncü taraf patch yönetim aracı Patch My PC bileşenleri ve Microsoft imzalı bir modül. Saldırganlar, değiştirilmiş yardımcı dosyalarla bu gerçek yazılımın zararlı talimatları yüklemesini sağladı.
Kaspersky'nin aktardığına göre NetamLoader:
- içeriğini birkaç katman kodlama, sıkıştırma ve şifrelemeden geçirerek açıyor, ardından çalışmayı meşru bir Windows sürecine taşıyor;
- zararlı yazılım tarama arayüzüne (AMSI) müdahale ediyor ve inceleme için işe yarayacak dosyaları siliyor;
- bu işletim sistemine özgü güncelleme bileşeninin kayıtlarından seçili girdileri temizliyor;
- komuta sunucusuna ilk bağlantıdan önce 20–40 dakika bekliyor; geçerli yanıt alamazsa 22–28 saat sonra yeniden deniyor. Bu gecikmeler kısa süreli izleme oturumlarında çok az ağ etkinliği bırakıyor.
Şirket arşivin kurbana nasıl ulaştığını gözlemleyemediğini ve bulguların Patch My PC'nin ya da dağıtım sistemlerinin ele geçirildiğine işaret etmediğini özellikle vurguluyor.
Neden önemli?
Kaspersky'ye göre olay, "teknolojik egemenlik" için kendi işletim sistemi sürümünü kullanan kurumların güncelleme kanalları ve bakım araçlarıyla birlikte bütün bir ekosistemi korumak zorunda olduğunu gösteriyor. Tek tek her bileşenin meşru olması, bileşenlerin birlikte nasıl davrandığı izlenmediğinde yeterli değil.
Ne yapılmalı?
- Windows güncelleme ve patch yönetim aracı klasörlerinde beklenmeyen çalıştırılabilir dosya ve yapılandırma dosyalarını izleyin; üçüncü taraf yönetim araçlarının yalnızca onaylı konumlardan çalışmasına izin verin.
- İmzalı bir programın değiştirilmiş bir yapılandırma dosyasıyla kod yüklemesi, bir sistem sürecinin dış sunuculara bağlanması ve AMSI'ye müdahale gibi davranışları EDR'da birlikte korelasyona sokun.
- Uç noktalardaki logları merkezi bir SIEM'de saklayın; yerel loglardaki açıklanamayan boşlukları alarm olarak ele alın.
- Saatler hatta günler arayla yapılan seyrek, şifreli bağlantıları ağ izlemesinde ayrıca inceleyin.
- IOC listesi için Kaspersky'nin Securelist'teki teknik raporuna bakın.
