186 Sahte Yapay Zeka Alan Adı, Kullanıcıları Kötü Amaçlı Yazılımlara Yönlendiriyor

186 Sahte Yapay Zeka Alan Adı, Kullanıcıları Kötü Amaçlı Yazılımlara Yönlendiriyor

Siber güvenlik araştırmacıları, yapay zeka (YZ) araçları gibi görünen benzer alan adlarının, kullanıcıları kötü amaçlı yazılımlara yönlendirdiğini tespit etti. Bu alan adları, ClickFix benzeri oltalama saldırılarına, tarayıcı ele geçiren kötü amaçlı yazılımlara ve kullanıcı aramalarını ele geçiren bir dizi uzantıya yol açıyor.

TypoPrompting: Yeni Bir Dağıtım Modeli

Island adlı siber güvenlik şirketi, bu dağıtım modelini TypoPrompting olarak adlandırdı. Şirket, The Hacker News ile paylaştığı bir raporda, “Tanıdık bir araca ulaşma girişimini, başka bir şeyi doğrulamaya, kurmaya veya çalıştırmaya yönelik bir komuta dönüştüren YZ uygulaması benzerleri” açıklamasını yaptı.

Kampanya, 27 YZ markasını taklit eden toplam 186 sahte alan adını kapsıyor. Taklit edilen markalar arasında Anthropic Claude, OpenAI ChatGPT, Google Gemini ve Gemini Notebook (eski adıyla NotebookLM), Microsoft Copilot, SpaceXAI Grok, DeepSeek, Mistral, Perplexity, Midjourney, ElevenLabs, Lovable ve Cursor bulunuyor.

Saldırı Kategorileri ve Yöntemleri

Saldırıların bir kategorisi, sahte bir Cloudflare doğrulama sayfası aracılığıyla PowerShell komutu sunan bir ClickFix oltalama saldırısına yol açıyor. İkinci yol, kullanıcıları Net Guard adlı tarayıcı ele geçiren kötü amaçlı yazılımı dağıtan “Güvenlik Kontrolü” sayfalarına yönlendiriyor. Üçüncü yol ise kullanıcıları, 16 aktif Chrome Web Mağazası listesi ve 972.000 beyan edilmiş kullanıcısı olan bir arama ele geçirme uzantısı ailesine gönderiyor.

Örnek YZ Benzeri Alan Adları:

• cloude[.]ai
• cluade[.]ai
• clsude[.]ai
• chatlgpt[.]com
• geimini[.]com
• notebookklm[.]com
• griok[.]com
• preplexity[.]ai
• deepceek[.]com
• elevenlebs[.]io
• copiot[.]com
• midj0urney[.]org

Kayıt analizleri, cloude[.]ai ve cluade[.]ai gibi bazı alan adlarının 13 Temmuz 2023 gibi erken bir tarihte kaydedildiğini gösteriyor.

Park Edilmiş Alan Adlarının Kötüye Kullanımı

Park edilmiş alan adlarının kötü amaçlı yazılım dağıtımı için kullanılması yeni bir durum değil. Aralık 2025’te Infoblox, mevcut bir web sayfası olmayan alan adlarının, ziyaretçileri dolandırıcılık ve kötü amaçlı yazılım sunan sitelere yönlendirmek için nasıl kullanılabileceğini vurgulamıştı. Bu, ziyaretçinin ana bilgisayarı ve cihazı profillendikten sonra gerçekleşiyordu.

DNS tehdit istihbarat firması o dönemde, “Bir alan adı sahibi doğrudan aramayı tercih ettiğinde, alan adına gelen trafik, anahtar kelimeler ve trafik özelliklerine teklif veren reklamcılara satılır” diye belirtmişti. “Uygulamada, site ziyaretçisi genellikle üçüncü taraf reklam platformları tarafından işletilen bir dizi trafik dağıtım sistemi (TDS) aracılığıyla yönlendirilir ve yasal bir iş modelinin kötüye kullanım için silahlandırıldığı karmaşık bir ağ oluşturur.”

ClickFix Rotası ve Oltalama Saldırıları

ClickFix rotasında, park edilmiş sayfa, web tarayıcısını parmak iziyle tanımlayan ve sahte Cloudflare doğrulama sayfasını göstermeden önce genel IP adresini toplayan bir yönlendirme zinciri başlatır.

Island, parmak izi geçidi komut dosyasının, Scotiabank, Charles Schwab, Blue Cross Blue Shield, Verizon, ServiceNow ve Microsoft Azure gibi bankaların, sigorta şirketlerinin ve kurumsal yazılımların benzerleri dahil olmak üzere daha geniş bir 211 giriş alan adı kümesini kapsadığını belirtti.

Bu Alan Adları Üç Tür Oltalama Saldırısı Sunar:

• Panoya komut çalıştırmak için tasarlanmış Windows’taki sahte doğrulama sayfaları.
• Kabuk komutu çalıştırmak için tasarlanmış macOS’taki terminal veya güvenlik güncellemeleri.
• Kullanıcılara bir yürütülebilir dosyayı ayıklamalarını ve çalıştırmalarını söyleyen arşiv indirme sayfaları.

Net Guard Kötü Amaçlı Yazılımı

Claude, DeepSeek, Copilot, ElevenLabs ve Voice AI için sekiz yazım hatası alan adı, sonuçta Net Guard’ı dağıtan sahte “Güvenlik Kontrolü” sayfalarına yol açıyor.

Uygulama, bir Wi-Fi ve DNS güvenlik tarayıcısı olduğunu iddia etse ve aynı ada sahip yasal bir uygulamanın MSIX karmasıyla eşleşse de, saldırgan tarafından kontrol edilen JavaScript’i çalıştırma, kullanıcı boşta kalırken varsayılan arama motorunu değiştirme, tarayıcı profillerini düzenleme ve rastgele Chrome uzantıları yükleme yetenekleri içeriyor.

Island’ın Baş Güvenlik Araştırmacısı Oleg Zaytsev, The Hacker News’e verdiği demeçte, “‘Güvenlik Kontrolü’ sayfalarından indirilen, Microsoft Store uygulamasının kendisi, değiştirilmemiş” dedi. “Microsoft’un dağıttığı Net Guard ile bayt bayt aynı ve Microsoft’un kendi Mağaza imzasını taşıyor.”

“Gizli tarayıcı kontrolü, Mağaza’dan veya bir yazım hatası sitesinden yüklenmiş olsun, her kopyayla birlikte gelir ve sormadan kendini açar. Kullanıcı bilgisayarı kullanmayı bırakana kadar bekler, ardından Chrome’un arama ayarlarını devralır ve operatörün sunucusundan gelen talimatları izleyerek tarayıcı içinde komut dosyaları çalıştırabilir.”

Quick Search Tarayıcı Uzantısı

Üçüncü yol, Perplexity için (“preplexity[.]ai”) benzer bir alan adı etrafında dönüyor ve tarayıcıyı Chrome Web Mağazası’nda bulunan Quick Search adlı bir tarayıcı uzantısına yönlendiriyor.

Island, “Analiz edilen uzantı, ana eylemini gerçekleştirmek için yürütülebilir JavaScript veya beyan edilmiş izinler gerektirmiyor” dedi. “Manifestosu, varsayılan arama sağlayıcısını find.flashysearches[.]com ile geçersiz kılıyor. Bu sağlayıcı aracılığıyla yapılan aramalar üçüncü bir tarafa gönderiliyor. Bir iş yerinde, bu sorgular dahili ana bilgisayar adlarını, müşteri adlarını ve proje ayrıntılarını içerebilir.”

Quick Search, 80.000 kullanıcısı olan GPT for Chrome dahil olmak üzere daha büyük bir 16 uzantı setinin parçasıdır. Toplamda, uzantıların 3 Kasım 2026 itibarıyla 972.000 kullanıcısı bulunuyor.

Island, “Bir YZ aracından bir harf uzaklıktaki bir adres, çok farklı bir isteğe yol açabilir” dedi. “Bu hizmetler günlük işlerin bir parçası haline geldikçe, doğru olana ulaşmak, yazma doğruluğu testi değil, yönetilen bir yol olmalıdır.”