Sahte Zillow daire yorum sayfaları ClickFix ile NetSupport RAT kuruyor; hedefte kiralık ev arayanlar var
EfficientIP Research Labs, Zillow'un daire yorum sayfalarını taklit eden ve sahte bir doğrulama adımıyla ziyaretçiye PowerShell komutu çalıştırtan bir ClickFix kampanyasını ortaya çıkardı. Komut, Windows bilgisayara gizli çalışan ve her oturumda yeniden başlayan NetSupport RAT kuruyor. İlk domainler Ağustos 2026'da görüldü.
DNS güvenliği şirketi EfficientIP'nin araştırma ekibi, ABD'li emlak platformu Zillow'un daire yorum sayfalarını taklit eden bir ClickFix kampanyasını belgeledi. Help Net Security'nin 13 Kasım'da aktardığı araştırmaya göre sahte sayfalar ziyaretçiye sıradan bir "doğrulama" adımı gösteriyor; arka planda panoya bir PowerShell komutu kopyalıyor ve kullanıcıyı bu komutu kendi eliyle çalıştırmaya yönlendiriyor. Sonuç, Windows bilgisayara NetSupport RAT kurulması.
ClickFix, kullanıcıya sahte bir kontrolü "geçmesi" için komut çalıştırtan sosyal mühendislik yöntemi. Bu sayfalarda "Continue" düğmesine basmak panoyu dolduruyor, ardından ekrandaki yönerge Çalıştır penceresini açıp yapıştırmayı ve Enter'a basmayı tarif ediyor. Araştırmacılar ilk domainleri Ağustos 2026'da tespit etti.
Zararlı ne yapıyor?
Araştırmaya göre komut, adresi ondalık sayı biçiminde yazılarak gizlenmiş bir sunucudan betik indiriyor. Betik PowerShell penceresini gizliyor, indirdiği bir Python çalışma ortamıyla aynı sunucudan bir ZIP arşivi çekiyor, NetSupport'u kullanıcının AppData klasörüne açıyor ve Windows Başlangıç klasörüne bir kısayol bırakıyor. Böylece yazılım penceresiz çalışıyor ve her oturum açılışında yeniden başlıyor.
NetSupport Manager meşru bir uzaktan yönetim yazılımı; saldırganlar onu tasarlandığı iş için, ama sahibinin haberi olmayan bilgisayarlarda kullanıyor. Yazılım çalıştığında saldırgan, oturum açmış kullanıcının erişebildiği her dosyaya ulaşabiliyor. Risk yalnızca ev arayanlarla sınırlı değil: ilanlara iş bilgisayarından bakan çalışanlar kurum ağına da kapı açmış oluyor.
Altyapı ve dağıtım
- Sahte sayfalar
apartments-review+ rastgele rakamlardan oluşan, .sbs uzantılı, yeni kayıtlı ve birkaç gün yaşayan domainlerde barındırıldı; Cloudflare arkasında durdukları için barındırma gizlendi. - Araştırmacılar passive DNS verisinde göremedikleri domainleri Certificate Transparency kayıtlarından buldu; sayfaların hepsi aynı sahte Zillow şablonunu ve aynı kurulum zincirini kullanıyordu.
- Kurulan NetSupport istemcisi iki gateway domainine bağlanıyor:
asgomd[.]comveasgrsv[.]com. Bunların IP adresleri üzerinden aynı adlandırma kalıbını izleyen yedi domain daha bulundu. - Kurbanların sayfalara nasıl ulaştığı gözlenmedi. EfficientIP CISO'su Karim Hossen'in değerlendirmesine göre en olası yol, sahte ev sahibi ya da emlakçı kılığında e-posta, SMS veya mesajlaşma uygulamasıyla gönderilen "gelmeden önce yorumlara bakın / doğrulayın" bağlantıları. Wildcard alt alan adları da hedefe özel bağlantı kullanıldığına işaret ediyor.
Kampanya bilinen bir gruba bağlanmadı. Hossen, NetSupport RAT'in kırılmış ya da yeniden kullanılan lisanslarla birbirinden bağımsız pek çok aktör tarafından kötüye kullanıldığını, etkinliği "daha geniş ClickFix/NetSupport ekosisteminin parçası" saydıklarını belirtti. Aynı yöntem bu hafta sitede yer alan sahte AI domainleri kampanyasında da görülmüştü.
Ne yapılmalı?
- Kullanıcılara tek bir kural öğretilmeli: hiçbir web sitesi, doğrulama için Çalıştır penceresine ya da terminale komut yapıştırmanızı istemez. İsteyen sayfa kapatılmalı.
- Kurumlar, standart kullanıcılar için Çalıştır penceresini ve PowerShell'in betik çalıştırmasını grup ilkesiyle kısıtlamayı değerlendirmeli; değişiklik change management sürecinden geçirilmeli.
- EDR ve envanter araçlarında, kurumun kullanmadığı uzaktan yönetim yazılımları (NetSupport dahil) için uyarı tanımlanmalı; kullanıcı profili altındaki AppData'dan çalışan uzaktan erişim istemcileri ve Başlangıç klasörüne yeni eklenen kısayollar incelenmeli.
- DNS ve proxy kayıtlarında yukarıdaki gateway domainlerine ve
apartments-reviewkalıbındaki .sbs adreslerine yapılan sorgular aranmalı; eşleşme varsa ilgili cihaz ağdan ayrılıp incelenmeli. - Ev arayanlar, tanımadıkları bir ilan sahibinden gelen "önce şu bağlantıdan doğrulayın" mesajlarına karşı dikkatli olmalı; ilan platformuna bağlantıya tıklayarak değil, adresi kendileri yazarak girmeli.
