Saldırı Nasıl Çalışıyor? EtherHiding Tekniği

Bu kampanyanın en önemli yeniliği—ve geleneksel yöntemlerle durdurulmasını neredeyse imkansız kılan şey—EtherHiding tekniğidir. Saldırganlar, kapatılabilecek geleneksel bir komuta ve kontrol (C2) sunucusu kullanmak yerine, kötü amaçlı yük talimatlarını doğrudan BNB Smart Chain üzerindeki akıllı sözleşmelerin içine gömmektedir . Sözleşmeyi oluşturan cüzdan adresinden başkası bu içeriği değiştiremediği için, kötü amaçlı talimatları geleneksel kaldırma veya engelleme yöntemleriyle ortadan kaldırmak neredeyse imkansızdır . Bu kampanya, daha önce sahte tarayıcı güncelleme bildirimleri kullanarak kötü amaçlı yazılım dağıtan ClearFake operasyonuyla da benzerlikler taşımaktadır .

Enfeksiyon Zinciri: Ele Geçirilmiş Web Sitesinden Kötü Amaçlı Yazılıma

Saldırı, kullanıcının güvenini ve Windows'un yerleşik araçlarını istismar eden kısa bir adım dizisiyle gerçekleşiyor:

1. Web Sitesinin Ele Geçirilmesi: Saldırganlar, genellikle WordPress tabanlı olmak üzere meşru web sitelerini ele geçiriyor ve sayfaya Base64 kodlu JavaScript enjekte ediyor .
2. Blockchain Sorgusu: Enjekte edilen kod, bir BNB Smart Chain RPC ağ geçidine bağlanarak belirli bir akıllı sözleşmeyi sorguluyor ve bir sonraki aşamadaki kötü amaçlı talimatları alıyor .
3. Sahte CAPTCHA: Tarayıcı, alınan talimatları çözerek kullanıcıya sahte bir CAPTCHA doğrulama ekranı gösteriyor .
4. Sosyal Mühendislik (ClickFix/TerminalFix): Kullanıcı, Windows+R tuşlarına basarak Çalıştır penceresini (veya Windows Terminal ya da PowerShell'i) açmaya, panosundaki komutu yapıştırmaya ve çalıştırmaya yönlendiriliyor . Bu, saldırının en kritik sosyal mühendislik taktiğidir: Kurbanı, enfeksiyonun bir parçası haline getiriyor.
5. Kötü Amaçlı Yazılımın Çalıştırılması: Yapıştırılan komut, nihai kötü amaçlı yazılım yükünü indiriyor ve çalıştırıyor .

İstismar Edilen Windows Araçları (Living-off-the-Land)

Tespit edilmekten kaçınmak için saldırganlar, Windows'un meşru ve yerleşik bileşenlerini yoğun bir şekilde kötüye kullanıyor. Bu tekniğe "living-off-the-land" (LOLBins) adı veriliyor . Bu kampanyada kullanılan araçlar şunlardır:

• conhost – Komut yürütme için kullanılan konsol ana bilgisayarı
• PowerShell – Betik çalıştırma ve yük indirme
• cmd (Komut İstemi) – Doğrudan komut yürütme
• mshta – Kötü amaçlı HTA dosyalarını çalıştırma
• rundll32 – Komut satırı üzerinden DLL yükleme
• curl – Sonraki aşama yüklerini indirme
• WMI (Windows Yönetim Araçları) – Yanal hareket veya kalıcılık için
• Windows Çalıştır (Run) penceresi – ClickFix tuzağının ilk yürütme noktası

Saldırganlar bu güvenilir Microsoft bileşenlerini kullanarak birçok geleneksel uç nokta savunmasını atlatabiliyor .

Dağıtılan Kötü Amaçlı Yazılım Aileleri

Bu kampanya tek bir kötü amaçlı yazılımla sınırlı değil. Çeşitli bilgi hırsızlama ve uzaktan erişim truva atları (RAT) için bir dağıtım mekanizması olarak hizmet veriyor :

• Lumma Stealer – Birçok vakada gözlemlenen birincil yük . Tarayıcı şifrelerini, kripto para cüzdanı kimlik bilgilerini, oturum çerezlerini ve diğer hassas verileri toplar.
• XWorm (Xworm) – Veri hırsızlığı ve ek yük indirme yeteneğine sahip bir uzaktan erişim truva atı (RAT).
• AsyncRAT – Gözetleme, tuş kaydı ve kimlik bilgisi hırsızlığı için kullanılan açık kaynaklı bir RAT.
• MintsLoader – Sistemdeki diğer kötü amaçlı yazılımları indiren ve yükleyen bir indirici/yükleyici.
• Uzaktan Yönetim Araçları – Kalıcılık ve yanal hareket için istismar edilebilecek meşru araçlar (örn. AnyDesk, ekran paylaşım yazılımları).

Başarılı bir enfeksiyon, kimlik bilgilerinin ifşa olmasına, kalıcı erişim sağlanmasına, ağ içinde yanal harekete ve nihayetinde fidye yazılımı saldırılarına yol açabilir . macOS sistemlerinde ise kampanyanın MacSync ve Atomic Stealer yazılımlarını da dağıttığı gözlemlenmiştir .

Microsoft'un Önerdiği Savunma Önlemleri

Microsoft, bu kampanyaya karşı korunmak için bir dizi pratik öneride bulundu :

1. Microsoft Defender'da çok katmanlı korumayı etkinleştirin – Gerçek zamanlı koruma, bulut tabanlı koruma ve müdahale korumasının (tamper protection) tümünün aktif olduğundan emin olun.
2. Komut satırı araçlarını kısıtlayın – PowerShell, mshta ve rundll32 gibi araçların güvenilmeyen şekilde çalıştırılmasını engellemek için AppLocker veya Windows Defender Application Control (WDAC) kullanın.
3. PowerShell betik günlük kaydını etkinleştirin – Gizlenmiş komut yürütme girişimlerini tespit etmek için betik blok günlüğe kaydını ve transkripsiyonunu açın.
4. Kullanıcı farkındalığı (en kritik adım) – Kaynağı bilinmeyen veya doğrulanmamış komutları asla Çalıştır penceresine, Terminal'e veya PowerShell'e yapıştırıp çalıştırmayın. Meşru bir CAPTCHA, kullanıcıdan asla bu tür işlemleri yapmasını istemez.
5. Akıllı sözleşme RPC uç noktalarını engelleyin – Mümkün olduğunda, blockchain erişimi gerektirmeyen uç noktalardan genel BNB Smart Chain RPC ağ geçitlerine giden çıkış trafiğini kısıtlayın.
6. Microsoft Defender for SmartScreen kullanın – Bu araç, ilk erişim aşamasında kötü amaçlı web sayfalarını engelleyerek kullanıcının sahte CAPTCHA'yı görmesini önlemeye yardımcı olur .

Tespit ve Kapsam

Microsoft'un kamuya açık uyarısı, bu kampanya için belirli Microsoft Defender Antivirüs tespit adlarının kapsamlı bir listesini sağlamamış olsa da , Temmuz ve Ağustos 2026'ya ait ilgili güvenlik araştırmaları, Microsoft Defender for Endpoint'in aşağıdaki davranışsal kapsamayı sağladığını göstermektedir :

• Living-off-the-land yürütme modelleri
• Şüpheli WebDAV ve MSHTA etkinliği
• Gizlenmiş PowerShell yürütmeleri
• Zamanlanmış görev kalıcılığı
• Bellek içi yük yürütmeleri
• Tarayıcı kimlik bilgisi hırsızlığı

Microsoft'un 5 Ağustos 2026'da yayınladığı macOS ClickFix blogunda, Microsoft Defender for SmartScreen'in kötü amaçlı web sayfasını engellediği ve Defender XDR'nin belirli taktik ve teknik eşlemeleri altında yüzey kapsamı sağladığı belgelenmiştir . Microsoft Defender Antivirüs'ün daha geniş ClickFix tehdit ailesi için tespit adları arasında Behavior:Win32/ClickFix, Trojan:Win32/ClickFix ve Trojan:HTML/FakeCaptcha gibi isimler bulunmaktadır . Bununla birlikte, bu kampanyanın BNB Chain ile ilgili JavaScript enjeksiyonlarına özgü imzalar dağıtılmış olmakla birlikte, kamuya açık uyarıda ayrı ayrı adlandırılmamıştır .

Saldırı Nasıl Çalışıyor? EtherHiding Tekniği

Bu kampanyanın en önemli yeniliği—ve geleneksel yöntemlerle durdurulmasını neredeyse imkansız kılan şey—EtherHiding tekniğidir. Saldırganlar, kapatılabilecek geleneksel bir komuta ve kontrol (C2) sunucusu kullanmak yerine, kötü amaçlı yük talimatlarını doğrudan BNB Smart Chain üzerindeki akıllı sözleşmelerin içine gömmektedir . Sözleşmeyi oluşturan cüzdan adresinden başkası bu içeriği değiştiremediği için, kötü amaçlı talimatları geleneksel kaldırma veya engelleme yöntemleriyle ortadan kaldırmak neredeyse imkansızdır . Bu kampanya, daha önce sahte tarayıcı güncelleme bildirimleri kullanarak kötü amaçlı yazılım dağıtan ClearFake operasyonuyla da benzerlikler taşımaktadır .

Enfeksiyon Zinciri: Ele Geçirilmiş Web Sitesinden Kötü Amaçlı Yazılıma

Saldırı, kullanıcının güvenini ve Windows'un yerleşik araçlarını istismar eden kısa bir adım dizisiyle gerçekleşiyor:

1. Web Sitesinin Ele Geçirilmesi: Saldırganlar, genellikle WordPress tabanlı olmak üzere meşru web sitelerini ele geçiriyor ve sayfaya Base64 kodlu JavaScript enjekte ediyor .
2. Blockchain Sorgusu: Enjekte edilen kod, bir BNB Smart Chain RPC ağ geçidine bağlanarak belirli bir akıllı sözleşmeyi sorguluyor ve bir sonraki aşamadaki kötü amaçlı talimatları alıyor .
3. Sahte CAPTCHA: Tarayıcı, alınan talimatları çözerek kullanıcıya sahte bir CAPTCHA doğrulama ekranı gösteriyor .
4. Sosyal Mühendislik (ClickFix/TerminalFix): Kullanıcı, Windows+R tuşlarına basarak Çalıştır penceresini (veya Windows Terminal ya da PowerShell'i) açmaya, panosundaki komutu yapıştırmaya ve çalıştırmaya yönlendiriliyor . Bu, saldırının en kritik sosyal mühendislik taktiğidir: Kurbanı, enfeksiyonun bir parçası haline getiriyor.
5. Kötü Amaçlı Yazılımın Çalıştırılması: Yapıştırılan komut, nihai kötü amaçlı yazılım yükünü indiriyor ve çalıştırıyor .

İstismar Edilen Windows Araçları (Living-off-the-Land)

Tespit edilmekten kaçınmak için saldırganlar, Windows'un meşru ve yerleşik bileşenlerini yoğun bir şekilde kötüye kullanıyor. Bu tekniğe "living-off-the-land" (LOLBins) adı veriliyor . Bu kampanyada kullanılan araçlar şunlardır:

• conhost – Komut yürütme için kullanılan konsol ana bilgisayarı
• PowerShell – Betik çalıştırma ve yük indirme
• cmd (Komut İstemi) – Doğrudan komut yürütme
• mshta – Kötü amaçlı HTA dosyalarını çalıştırma
• rundll32 – Komut satırı üzerinden DLL yükleme
• curl – Sonraki aşama yüklerini indirme
• WMI (Windows Yönetim Araçları) – Yanal hareket veya kalıcılık için
• Windows Çalıştır (Run) penceresi – ClickFix tuzağının ilk yürütme noktası

Saldırganlar bu güvenilir Microsoft bileşenlerini kullanarak birçok geleneksel uç nokta savunmasını atlatabiliyor .

Dağıtılan Kötü Amaçlı Yazılım Aileleri

Bu kampanya tek bir kötü amaçlı yazılımla sınırlı değil. Çeşitli bilgi hırsızlama ve uzaktan erişim truva atları (RAT) için bir dağıtım mekanizması olarak hizmet veriyor :

• Lumma Stealer – Birçok vakada gözlemlenen birincil yük . Tarayıcı şifrelerini, kripto para cüzdanı kimlik bilgilerini, oturum çerezlerini ve diğer hassas verileri toplar.
• XWorm (Xworm) – Veri hırsızlığı ve ek yük indirme yeteneğine sahip bir uzaktan erişim truva atı (RAT).
• AsyncRAT – Gözetleme, tuş kaydı ve kimlik bilgisi hırsızlığı için kullanılan açık kaynaklı bir RAT.
• MintsLoader – Sistemdeki diğer kötü amaçlı yazılımları indiren ve yükleyen bir indirici/yükleyici.
• Uzaktan Yönetim Araçları – Kalıcılık ve yanal hareket için istismar edilebilecek meşru araçlar (örn. AnyDesk, ekran paylaşım yazılımları).

Başarılı bir enfeksiyon, kimlik bilgilerinin ifşa olmasına, kalıcı erişim sağlanmasına, ağ içinde yanal harekete ve nihayetinde fidye yazılımı saldırılarına yol açabilir . macOS sistemlerinde ise kampanyanın MacSync ve Atomic Stealer yazılımlarını da dağıttığı gözlemlenmiştir .

Microsoft'un Önerdiği Savunma Önlemleri

Microsoft, bu kampanyaya karşı korunmak için bir dizi pratik öneride bulundu :

1. Microsoft Defender'da çok katmanlı korumayı etkinleştirin – Gerçek zamanlı koruma, bulut tabanlı koruma ve müdahale korumasının (tamper protection) tümünün aktif olduğundan emin olun.
2. Komut satırı araçlarını kısıtlayın – PowerShell, mshta ve rundll32 gibi araçların güvenilmeyen şekilde çalıştırılmasını engellemek için AppLocker veya Windows Defender Application Control (WDAC) kullanın.
3. PowerShell betik günlük kaydını etkinleştirin – Gizlenmiş komut yürütme girişimlerini tespit etmek için betik blok günlüğe kaydını ve transkripsiyonunu açın.
4. Kullanıcı farkındalığı (en kritik adım) – Kaynağı bilinmeyen veya doğrulanmamış komutları asla Çalıştır penceresine, Terminal'e veya PowerShell'e yapıştırıp çalıştırmayın. Meşru bir CAPTCHA, kullanıcıdan asla bu tür işlemleri yapmasını istemez.
5. Akıllı sözleşme RPC uç noktalarını engelleyin – Mümkün olduğunda, blockchain erişimi gerektirmeyen uç noktalardan genel BNB Smart Chain RPC ağ geçitlerine giden çıkış trafiğini kısıtlayın.
6. Microsoft Defender for SmartScreen kullanın – Bu araç, ilk erişim aşamasında kötü amaçlı web sayfalarını engelleyerek kullanıcının sahte CAPTCHA'yı görmesini önlemeye yardımcı olur .

Tespit ve Kapsam

Microsoft'un kamuya açık uyarısı, bu kampanya için belirli Microsoft Defender Antivirüs tespit adlarının kapsamlı bir listesini sağlamamış olsa da , Temmuz ve Ağustos 2026'ya ait ilgili güvenlik araştırmaları, Microsoft Defender for Endpoint'in aşağıdaki davranışsal kapsamayı sağladığını göstermektedir :

• Living-off-the-land yürütme modelleri
• Şüpheli WebDAV ve MSHTA etkinliği
• Gizlenmiş PowerShell yürütmeleri
• Zamanlanmış görev kalıcılığı
• Bellek içi yük yürütmeleri
• Tarayıcı kimlik bilgisi hırsızlığı

Microsoft'un 5 Ağustos 2026'da yayınladığı macOS ClickFix blogunda, Microsoft Defender for SmartScreen'in kötü amaçlı web sayfasını engellediği ve Defender XDR'nin belirli taktik ve teknik eşlemeleri altında yüzey kapsamı sağladığı belgelenmiştir . Microsoft Defender Antivirüs'ün daha geniş ClickFix tehdit ailesi için tespit adları arasında Behavior:Win32/ClickFix, Trojan:Win32/ClickFix ve Trojan:HTML/FakeCaptcha gibi isimler bulunmaktadır . Bununla birlikte, bu kampanyanın BNB Chain ile ilgili JavaScript enjeksiyonlarına özgü imzalar dağıtılmış olmakla birlikte, kamuya açık uyarıda ayrı ayrı adlandırılmamıştır .