Google'da Üst Sıralara Çıkan Sahte Açık Kaynak Araç Sitelerine Dikkat: Tıklamanız Yetiyor, Bilgisayarınız Ele Geçiriliyor
Check Point araştırmacıları, Ghidra, dnSpy ve SpiderFoot gibi popüler açık kaynak güvenlik araçlarını birebir taklit eden sahte web siteleri üzerinden yürütülen büyük bir kötü amaçlı yazılım kampanyasını ortaya çıkardı. Saldırganlar, kullanıcıların 'İndir' butonuna tıklamasıyla devreye giren CloudFront tabanlı bir J...
YayımlayanDeepSeek-V4-Pro ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
Check Point araştırmacıları, Ghidra, dnSpy ve SpiderFoot gibi popüler açık kaynak güvenlik araçlarını birebir taklit eden sahte web siteleri üzerinden yürütülen büyük bir kötü amaçlı yazılım kampanyasını ortaya çıkardı.
Saldırganlar, kullanıcıların 'İndir' butonuna tıklamasıyla devreye giren CloudFront tabanlı bir JavaScript katmanı kullanarak tıklamaları ele geçiriyor ve hedefi çok katmanlı bir Trafik Dağıtım Sistemi'ne (TDS) yönlen...
Kampanya 2025 sonlarından beri aktif ve en çok Türkiye, Polonya, Brezilya, Almanya, Fransa, Rusya ve Birleşik Krallık'taki kullanıcıları hedef alıyor; 5.000'den fazla VirusTotal bildirimi bulunuyor.
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Güvendiğiniz bir açık kaynak güvenlik aracını (Ghidra, SpiderFoot gibi) arama motorundan indirmek artık yüksek riskli bir eylem haline geldi. Check Point siber güvenlik araştırmacıları, tam da bu güveni sömüren, son derece karmaşık ve geniş çaplı bir kötü amaçlı yazılım dağıtım kampanyasını belgeledi. 3 Haziran 2026'da yayınlanan rapora göre bu operasyon, profesyonelce tasarlanmış bir dizi sahte web sitesi aracılığıyla kullanıcı trafiğini ele geçiriyor ve seçici olarak kötü amaçlı yazılımlar bulaştırmak için katmanlı bir sisteme yönlendiriyor .
Bu basit bir oltalama (phishing) saldırısı değil. Kampanya, arama motoru manipülasyonunu, Amazon CloudFront üzerinden barındırılan JavaScript ile tıklama hırsızlığını ve çok katmanlı, analiz karşıtı (anti-analysis) bir Trafik Dağıtım Sistemi'ni (TDS) birleştiriyor. Bu sistemin temel amacı, tespit edilmekten kaçınmak ve yalnızca en değerli kurbanları hedeflemek. Check Point, operasyonun öncelikle bir trafik satın alma ve para kazanma (monetizasyon) düzeneği olduğunu ve aynı zamanda diğer kötü amaçlı yazılım dağıtıcıları için bir boru hattı görevi gördüğünü değerlendiriyor .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Google'da Üst Sıralara Çıkan Sahte Açık Kaynak Araç Sitelerine Dikkat: Tıklamanız Yetiyor, Bilgisayarınız Ele Geçiriliyor"?
Check Point araştırmacıları, Ghidra, dnSpy ve SpiderFoot gibi popüler açık kaynak güvenlik araçlarını birebir taklit eden sahte web siteleri üzerinden yürütülen büyük bir kötü amaçlı yazılım kampanyasını ortaya çıkardı.
What are the key points to validate first?
Check Point araştırmacıları, Ghidra, dnSpy ve SpiderFoot gibi popüler açık kaynak güvenlik araçlarını birebir taklit eden sahte web siteleri üzerinden yürütülen büyük bir kötü amaçlı yazılım kampanyasını ortaya çıkardı. Saldırganlar, kullanıcıların 'İndir' butonuna tıklamasıyla devreye giren CloudFront tabanlı bir JavaScript katmanı kullanarak tıklamaları ele geçiriyor ve hedefi çok katmanlı bir Trafik Dağıtım Sistemi'ne (TDS) yönlen...
What should I do next in practice?
Kampanya 2025 sonlarından beri aktif ve en çok Türkiye, Polonya, Brezilya, Almanya, Fransa, Rusya ve Birleşik Krallık'taki kullanıcıları hedef alıyor; 5.000'den fazla VirusTotal bildirimi bulunuyor.
Google'da Üst Sıralara Çıkan Sahte Açık Kaynak Araç Sitelerine Dikkat: Tıklamanız Yetiyor, Bilgisayarınız Ele Geçiriliyor
Check Point araştırmacıları, Ghidra, dnSpy ve SpiderFoot gibi popüler açık kaynak güvenlik araçlarını birebir taklit eden sahte web siteleri üzerinden yürütülen büyük bir kötü amaçlı yazılım kampanyasını ortaya çıkardı. Saldırganlar, kullanıcıların 'İndir' butonuna tıklamasıyla devreye giren CloudFront tabanlı bir J...
YayımlayanDeepSeek-V4-Pro ile düzenlendiGörseller GPT Image 1.5 ile oluşturuldu
Check Point araştırmacıları, Ghidra, dnSpy ve SpiderFoot gibi popüler açık kaynak güvenlik araçlarını birebir taklit eden sahte web siteleri üzerinden yürütülen büyük bir kötü amaçlı yazılım kampanyasını ortaya çıkardı.
Saldırganlar, kullanıcıların 'İndir' butonuna tıklamasıyla devreye giren CloudFront tabanlı bir JavaScript katmanı kullanarak tıklamaları ele geçiriyor ve hedefi çok katmanlı bir Trafik Dağıtım Sistemi'ne (TDS) yönlen...
Kampanya 2025 sonlarından beri aktif ve en çok Türkiye, Polonya, Brezilya, Almanya, Fransa, Rusya ve Birleşik Krallık'taki kullanıcıları hedef alıyor; 5.000'den fazla VirusTotal bildirimi bulunuyor.
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Güvendiğiniz bir açık kaynak güvenlik aracını (Ghidra, SpiderFoot gibi) arama motorundan indirmek artık yüksek riskli bir eylem haline geldi. Check Point siber güvenlik araştırmacıları, tam da bu güveni sömüren, son derece karmaşık ve geniş çaplı bir kötü amaçlı yazılım dağıtım kampanyasını belgeledi. 3 Haziran 2026'da yayınlanan rapora göre bu operasyon, profesyonelce tasarlanmış bir dizi sahte web sitesi aracılığıyla kullanıcı trafiğini ele geçiriyor ve seçici olarak kötü amaçlı yazılımlar bulaştırmak için katmanlı bir sisteme yönlendiriyor .
Bu basit bir oltalama (phishing) saldırısı değil. Kampanya, arama motoru manipülasyonunu, Amazon CloudFront üzerinden barındırılan JavaScript ile tıklama hırsızlığını ve çok katmanlı, analiz karşıtı (anti-analysis) bir Trafik Dağıtım Sistemi'ni (TDS) birleştiriyor. Bu sistemin temel amacı, tespit edilmekten kaçınmak ve yalnızca en değerli kurbanları hedeflemek. Check Point, operasyonun öncelikle bir trafik satın alma ve para kazanma (monetizasyon) düzeneği olduğunu ve aynı zamanda diğer kötü amaçlı yazılım dağıtıcıları için bir boru hattı görevi gördüğünü değerlendiriyor .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Google'da Üst Sıralara Çıkan Sahte Açık Kaynak Araç Sitelerine Dikkat: Tıklamanız Yetiyor, Bilgisayarınız Ele Geçiriliyor"?
Check Point araştırmacıları, Ghidra, dnSpy ve SpiderFoot gibi popüler açık kaynak güvenlik araçlarını birebir taklit eden sahte web siteleri üzerinden yürütülen büyük bir kötü amaçlı yazılım kampanyasını ortaya çıkardı.
What are the key points to validate first?
Check Point araştırmacıları, Ghidra, dnSpy ve SpiderFoot gibi popüler açık kaynak güvenlik araçlarını birebir taklit eden sahte web siteleri üzerinden yürütülen büyük bir kötü amaçlı yazılım kampanyasını ortaya çıkardı. Saldırganlar, kullanıcıların 'İndir' butonuna tıklamasıyla devreye giren CloudFront tabanlı bir JavaScript katmanı kullanarak tıklamaları ele geçiriyor ve hedefi çok katmanlı bir Trafik Dağıtım Sistemi'ne (TDS) yönlen...
What should I do next in practice?
Kampanya 2025 sonlarından beri aktif ve en çok Türkiye, Polonya, Brezilya, Almanya, Fransa, Rusya ve Birleşik Krallık'taki kullanıcıları hedef alıyor; 5.000'den fazla VirusTotal bildirimi bulunuyor.
Saldırı Zinciri: Arama Tıklamasından Kötü Amaçlı Yazılıma Giden Yol
Enfeksiyon, bir kullanıcının popüler bir açık kaynak aracı için arama yapmasıyla başlıyor. Saldırganlar, Ghidra, dnSpy ve SpiderFoot gibi yazılımların meşru proje sayfalarını birebir taklit eden bir dizi sahte web sitesi oluşturmuş durumda. Bu siteler profesyonelce tasarlanmış, genellikle gerçek kaynaklara atıfta bulunuyor ve arama sonuçlarında üst sıralarda yer alarak ilk bakışta meşru proje portalları gibi görünüyor .
Teknik aldatmaca, kullanıcı etkileşimiyle tetikleniyor. Kurban bu sitelerden birindeki "indir" butonuna tıkladığında, CloudFront üzerinde barındırılan bir JavaScript katmanı devreye giriyor ve bu ilk tıklamayı bir yönlendirmeye dönüştürüyor. Bu yönlendirme, kullanıcıyı kampanyanın TDS altyapısına aktarıyor .
Katmanlı Trafik Dağıtım Sistemi (TDS): Sadece Yüksek Değerli Hedeflere Odaklanmak
TDS, basit bir yönlendirici değil, sofistike bir geçit bekçisi (gatekeeper) olarak çalışıyor. Check Point'in analizine göre sistem, gerçek kurbanları güvenlik araştırmacılarından, sanal makinelerden (sandbox) ve otomatik tarayıcılardan ayırmak için çok katmanlı analiz karşıtı filtreleme uyguluyor. Bu kontrolleri geçen kullanıcılar ancak nihai kötü amaçlı yazılım yüklerine yönlendiriliyor . Bu seçici dağıtım, kampanyanın haritalanmasını zorlaştırıyor ve her başarılı enfeksiyonun operatörler için değerini artırıyor. Sistemi daha da gizlemek için oturum başına anahtar (per-session key) ve tek kullanımlık anahtar (one-time key) gibi teknikler kullanılıyor .
Hedefteki Üç Kötü Amaçlı Yazılım: RemusStealer, AnimateClipper ve SessionGate
Kampanyanın her biri farklı bir para kazanma amacına hizmet eden üç farklı kötü amaçlı yazılım ailesini dağıttığı gözlemlendi.
RemusStealer: Abonelik tabanlı bir bilgi çalıcı (infostealer) olan bu araç, bir Hizmet Olarak Kötü Amaçlı Yazılım (MaaS) olarak 250-500 dolar arasında pazarlanıyor. 20'den fazla tarayıcıdan kimlik bilgileri, 220'den fazla kripto para cüzdanı eklentisinden veri, parola yöneticileri ve iki faktörlü kimlik doğrulama (2FA) araçlarını hedef alıyor .
AnimateClipper: Gerçek zamanlı olarak kripto para işlemlerini ele geçirmek için tasarlanmış bir kripto kırpıcı (cryptocurrency clipper). Kullanıcının kopyaladığı cüzdan adresini, saldırganın kontrolündeki bir adresle değiştirerek işlemleri yönlendiriyor. 20'den fazla farklı blok zinciri ekosistemindeki işlemleri izleyip ele geçirebiliyor .
SessionGate: Daha önce belgelenmemiş bu çerçeve, ağır obfuscation (kod gizleme) ve kapsamlı analiz karşıtı önlemler kullanan çok aşamalı bir yükleyici (multi-stage loader). Gözlemlenen saldırı zincirlerinde ilk erişim noktası ve yükleyici olarak görev yaparak potansiyel olarak istenmeyen uygulamaları (PUA) veya diğer yükleri dağıtıyor .
Küresel ve Uzun Süreli Bir Operasyon
Kampanyanın ölçeği oldukça büyük. Check Point, ekosistemin 2025 sonlarından beri aktif olduğunu ve geniş bir kurban havuzuna işaret eden 5.000'den fazla VirusTotal bildirimi oluşturduğunu raporluyor. Başlıca coğrafi hedefler arasında Türkiye, Polonya, Brezilya, Almanya, Fransa, Rusya ve Birleşik Krallık bulunuyor .
Geliştiriciler ve güvenlik profesyonelleri için çıkarılacak ders açık ve acil. Bir arama sonucuna dayanarak gelişigüzel bir araç indirme devri sona ermiştir. Kullanıcılar resmi bir proje deposunda (örneğin GitHub, GitLab) olduklarından emin olmalı, doğrudan bilinen bir sayfayı ziyaret etmeli ve beklenen dosyayı hemen teslim etmeyen herhangi bir indirme işlemine karşı şüpheci yaklaşmalıdır. Bu sahte sitelerin profesyonelliği, görsel incelemeyi tek başına yeterli bir savunma olmaktan çıkarmaktadır.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
Saldırı Zinciri: Arama Tıklamasından Kötü Amaçlı Yazılıma Giden Yol
Enfeksiyon, bir kullanıcının popüler bir açık kaynak aracı için arama yapmasıyla başlıyor. Saldırganlar, Ghidra, dnSpy ve SpiderFoot gibi yazılımların meşru proje sayfalarını birebir taklit eden bir dizi sahte web sitesi oluşturmuş durumda. Bu siteler profesyonelce tasarlanmış, genellikle gerçek kaynaklara atıfta bulunuyor ve arama sonuçlarında üst sıralarda yer alarak ilk bakışta meşru proje portalları gibi görünüyor .
Teknik aldatmaca, kullanıcı etkileşimiyle tetikleniyor. Kurban bu sitelerden birindeki "indir" butonuna tıkladığında, CloudFront üzerinde barındırılan bir JavaScript katmanı devreye giriyor ve bu ilk tıklamayı bir yönlendirmeye dönüştürüyor. Bu yönlendirme, kullanıcıyı kampanyanın TDS altyapısına aktarıyor .
Katmanlı Trafik Dağıtım Sistemi (TDS): Sadece Yüksek Değerli Hedeflere Odaklanmak
TDS, basit bir yönlendirici değil, sofistike bir geçit bekçisi (gatekeeper) olarak çalışıyor. Check Point'in analizine göre sistem, gerçek kurbanları güvenlik araştırmacılarından, sanal makinelerden (sandbox) ve otomatik tarayıcılardan ayırmak için çok katmanlı analiz karşıtı filtreleme uyguluyor. Bu kontrolleri geçen kullanıcılar ancak nihai kötü amaçlı yazılım yüklerine yönlendiriliyor . Bu seçici dağıtım, kampanyanın haritalanmasını zorlaştırıyor ve her başarılı enfeksiyonun operatörler için değerini artırıyor. Sistemi daha da gizlemek için oturum başına anahtar (per-session key) ve tek kullanımlık anahtar (one-time key) gibi teknikler kullanılıyor .
Hedefteki Üç Kötü Amaçlı Yazılım: RemusStealer, AnimateClipper ve SessionGate
Kampanyanın her biri farklı bir para kazanma amacına hizmet eden üç farklı kötü amaçlı yazılım ailesini dağıttığı gözlemlendi.
RemusStealer: Abonelik tabanlı bir bilgi çalıcı (infostealer) olan bu araç, bir Hizmet Olarak Kötü Amaçlı Yazılım (MaaS) olarak 250-500 dolar arasında pazarlanıyor. 20'den fazla tarayıcıdan kimlik bilgileri, 220'den fazla kripto para cüzdanı eklentisinden veri, parola yöneticileri ve iki faktörlü kimlik doğrulama (2FA) araçlarını hedef alıyor .
AnimateClipper: Gerçek zamanlı olarak kripto para işlemlerini ele geçirmek için tasarlanmış bir kripto kırpıcı (cryptocurrency clipper). Kullanıcının kopyaladığı cüzdan adresini, saldırganın kontrolündeki bir adresle değiştirerek işlemleri yönlendiriyor. 20'den fazla farklı blok zinciri ekosistemindeki işlemleri izleyip ele geçirebiliyor .
SessionGate: Daha önce belgelenmemiş bu çerçeve, ağır obfuscation (kod gizleme) ve kapsamlı analiz karşıtı önlemler kullanan çok aşamalı bir yükleyici (multi-stage loader). Gözlemlenen saldırı zincirlerinde ilk erişim noktası ve yükleyici olarak görev yaparak potansiyel olarak istenmeyen uygulamaları (PUA) veya diğer yükleri dağıtıyor .
Küresel ve Uzun Süreli Bir Operasyon
Kampanyanın ölçeği oldukça büyük. Check Point, ekosistemin 2025 sonlarından beri aktif olduğunu ve geniş bir kurban havuzuna işaret eden 5.000'den fazla VirusTotal bildirimi oluşturduğunu raporluyor. Başlıca coğrafi hedefler arasında Türkiye, Polonya, Brezilya, Almanya, Fransa, Rusya ve Birleşik Krallık bulunuyor .
Geliştiriciler ve güvenlik profesyonelleri için çıkarılacak ders açık ve acil. Bir arama sonucuna dayanarak gelişigüzel bir araç indirme devri sona ermiştir. Kullanıcılar resmi bir proje deposunda (örneğin GitHub, GitLab) olduklarından emin olmalı, doğrudan bilinen bir sayfayı ziyaret etmeli ve beklenen dosyayı hemen teslim etmeyen herhangi bir indirme işlemine karşı şüpheci yaklaşmalıdır. Bu sahte sitelerin profesyonelliği, görsel incelemeyi tek başına yeterli bir savunma olmaktan çıkarmaktadır.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
