Ekim 2026’da ABD İşletmelerini Tehdit Eden 5 Siber Tehdit

Ekim 2026’da ABD İşletmelerini Tehdit Eden 5 Siber Tehdit

Ekim 2026, ABD işletmelerini hedef alan yeni bir siber tehdit dalgasına sahne oldu. Saldırganlar, güvenilir platformları, meşru kimlik doğrulama süreçlerini ve günlük iş akışlarını kötüye kullandı. Bu kampanyalar, işletmeler için bireysel güvenlik olaylarının ötesine geçerek finansal kayıplar, veri ihlalleri ve maliyetli operasyonel kesinti riskini artırıyor.

Aşağıda, beş aktif siber tehdidi gerçek dünya sanal alan incelemeleri aracılığıyla inceliyoruz. Bu tehditlerin nasıl çalıştığını, kuruluşlar için oluşturdukları riskleri ve güvenlik ekiplerinin iş etkisini en aza indirmek için saldırıları daha hızlı nasıl tespit edip kontrol altına alabileceğini açıklıyoruz.

1. SkyW4lker: Microsoft 365 Kimlik Avı, ABD Kurumsal Hesaplarını Riske Atıyor

SkyW4lker, Microsoft’un meşru cihaz kodu kimlik doğrulamasını kullanarak parolaları çalmadan veya MFA’yı atlamadan kurumsal hesapları ele geçiren aktif bir kimlik avı kitidir. ANY.RUN araştırmacıları, Haziran ile 21 Ekim 2026 tarihleri arasında 618 ilgili sanal alan analizi tespit etti ve bunların %46’sı ABD’den geldi.

Saldırı, sözleşmeler, faturalar veya iş teklifleri gibi görünen kimlik avı e-postalarıyla başlar. Kurbanlar, CAPTCHA kontrollerinden ve güvenilir platformlardan geçtikten sonra Microsoft’un meşru kimlik doğrulama sayfasına yönlendirilir. Burada bir cihaz kodu girmek, saldırganlara yetkisiz hesap erişimi sağlayabilir.

İlgili Tehdit Bağlamı ile Tüm Kampanyayı Saniyeler İçinde Ortaya Çıkarma

Tek bir kimlik avı URL’si, tüm bir tehdit operasyonunu ortaya çıkarabilir. ANY.RUN’ın güçlü yeni özelliği olan İlgili Tehdit Bağlamı, şüpheli etkinliği önceki sanal alan incelemelerine ve daha geniş tehdit istihbaratına anında bağlar. SkyW4lker incelemesinde, araştırmacıların ek kötü niyetli altyapıyı ortaya çıkarmasına ve Gabagool adlı başka bir kimlik avı kitiyle teknik bağlantıları izlemesine yardımcı olarak manuel inceleme işini önemli ölçüde azalttı.

Bir SkyW4lker sanal alan oturumu ile başlayarak, araştırmacılar İlgili Tehdit Bağlamı’ndan doğrudan TI Arama’ya geçerek 198.23.223.185 IP adresini inceledi ve ilgili URL’leri ve tehdit etkinliğini ortaya çıkardı.

Sonuçlar, teknoloji, hükümet, eğitim, danışmanlık ve sağlık kuruluşlarında, ABD, Latin Amerika ve Avrupa’dan gelen gönderimlerle ilgili etkinlikleri gösterdi. SOC ekipleri, mevcut tespit sistemlerini zenginleştirmek ve bağlantılı tehditleri avlamak için ilişkili URL’leri kullanabilir. Bu, manuel inceleme işini azaltır, triyajı hızlandırır ve kuruluşların maliyetli olaylara yol açmadan önce potansiyel maruziyeti belirlemesine yardımcı olur.

Kuruluşunuzu korumak için: Microsoft Entra Koşullu Erişim aracılığıyla gereksiz cihaz kodu kimlik doğrulamasını kısıtlayın ve ilk uyarının ötesindeki şüpheli göstergeleri araştırın. ANY.RUN’ın İlgili Tehdit Bağlamı’nı kullanarak bağlantılı altyapıyı belirleyin ve proaktif tespit için ilgili IOC’leri toplayın. Bu, SOC’unuzun tehditleri daha hızlı kontrol altına almasına ve maliyetli olay riskini azaltmasına yardımcı olur.

2. Sahte Yapay Zeka Kampanyaları, Kimlik Bilgisi Hırsızlığı ve Hesap Ele Geçirme ile ABD İşletmelerini Hedefliyor

Siber suçlular, ChatGPT, Claude ve diğer popüler hizmetleri taklit eden sahte uygulamalar ve etkinlik davetiyeleri aracılığıyla yapay zeka benimsemesini kötüye kullanıyor. ANY.RUN araştırmacıları, 1.258 sanal alan analizini sahte yapay zeka kampanyalarına bağladı ve ABD dünya genelinde ikinci sırada yer aldı.

Saldırganlar, kötü amaçlı yazılım yaymak için hileli indirmeler ve Microsoft 365 ile Google hesap erişimini çalmak için sahte etkinlik davetiyeleri kullanıyor. Özellikle aldatıcı bir durumda, gerçek bir Claude yükleyicisi çalışırken gizli süreçler tarayıcı oturum çerezlerini çaldı. Bu durum, saldırganların başka bir MFA istemini tetiklemeden iş hesaplarına erişmesine potansiyel olarak izin verdi.

Claude kötü amaçlı yazılım örneğini inceleyin

Kuruluşunuzu korumak için: Güvenilir yapay zeka uygulamalarını onaylayın, yetkisiz kurulumları kısıtlayın ve beklenmeyen etkinlik davetiyelerini doğrulayın. ANY.RUN’ın Etkileşimli Sanal Alanı’nı kullanarak kötü amaçlı indirmeleri ve kimlik avı yönlendirmelerini ortaya çıkarın. Bu, kimlik bilgisi hırsızlığını önlemeye, inceleme maliyetlerini azaltmaya ve iş kesintisini sınırlamaya yardımcı olur.

3. GeorgeGinx: Cihaz Kodu Kimlik Avı, ABD Hükümeti, Bankacılık ve Sağlık Sektörlerini Hedefliyor

GeorgeGinx, ABD hükümeti, bankacılık, sağlık ve BT kuruluşlarını hedef alan aktif bir Hizmet Olarak Kimlik Avı (PhaaS) operasyonudur. Saldırganlar, kurbanları Microsoft Cihaz Kodu kimlik avı sayfalarına yönlendirmek için meşru Adobe Paylaşılan Bağlantılarını kötüye kullanıyor. Bu durum, parolaları çalmadan kurumsal hesaplara yetkisiz erişim potansiyelini doğuruyor.

Oturumu görüntüleyin ve IOC’leri toplayın

GeorgeGinx’in kimlik avı hedeflerini güvenilir Adobe bağlantılarının arkasına nasıl gizlediğini araştırmak için, araştırmacılar HTML DOM değişikliklerini ve HTTP isteklerini incelemek üzere ANY.RUN’ın Tarayıcı İçi Veri İncelemesi’ni kullandı. İnceleme ayrıca bir saldırı sunucusunda bir yönetim panelini de ortaya çıkardı ve kimlik avı operasyonu hakkında daha fazla bilgi sağladı.

Kuruluşunuzu korumak için: Yalnızca alan adına dayanarak belge paylaşım bağlantılarına güvenmeyin. ANY.RUN’ın Tarayıcı İçi Veri İncelemesi’ni kullanarak gizli yönlendirmeleri, sayfa komut dosyalarını ve HTTP isteklerini inceleyin. Bu, SOC’unuzun meşru hizmetlerin arkasındaki kimlik avı etkinliğini ortaya çıkarmasına ve maliyetli hesap ele geçirmeyi önlemesine yardımcı olur.

4. WKLP: Kötü Amaçlı Yazılım, Kalıcı Uzaktan Erişim Elde Etmek İçin Microsoft Defender’ı Devre Dışı Bırakıyor

WKLP, ABD ve Fransa’daki hükümet kuruluşlarını hedef aldığı gözlemlenen Python tabanlı bir bilgi hırsızı ve uzaktan erişim truva atıdır (RAT). Kimlik bilgilerini, tarayıcı verilerini ve hassas dosyaları çalarken, saldırganların ele geçirilmiş sistemlere erişimini sürdürmesine olanak tanır.

Kötü amaçlı yazılım, kötü amaçlı kodu yürütmek için PowerShell ve meşru bir Python çalışma zamanı kullanır. WKLP, Microsoft Defender dışlamaları ekler, güvenlik süreçlerini sonlandırır ve gizlenmiş güvenlik duvarı kuralları oluşturarak uç nokta korumasını zayıflatır. Bu durum, veri hırsızlığı ve uzun süreli ele geçirme riskini artırır.

Sanal alan oturumunu görüntüleyin

Kuruluşunuzu korumak için: Microsoft Defender Kurcalama Koruması’nı etkinleştirin ve yetkisiz güvenlik dışlamalarını, şüpheli PowerShell etkinliğini ve güvenlik duvarı değişikliklerini izleyin. ANY.RUN’ın Etkileşimli Sanal Alanı’nı kullanarak gizli kötü amaçlı yazılım davranışlarını ortaya çıkarın ve açık kanıtlar ve yanıt önerileri içeren ayrıntılı bir Katman 1 raporu otomatik olarak oluşturun. Bu, ekiplerin tehditleri daha hızlı kontrol altına almasına ve maliyetli olay kurtarma maliyetlerini azaltmasına yardımcı olur.

5. Mir0Auth: Microsoft 365 Token Hırsızlığı, ABD Kurumsal Hesaplarını Riske Atıyor

Mir0Auth, Microsoft 365 kullanıcılarını hedef alan bir kimlik avı kitidir ve ABD kuruluşlarına karşı önemli etkinlik gözlemlenmiştir. Erişim belirteçlerini çalmak ve çalınan parolalara ihtiyaç duymadan kurumsal hesapları ele geçirmek için meşru Cihaz Kodu kimlik doğrulamasını kötüye kullanır.

Tam saldırı zincirini görüntüleyin

Saldırı, kurbanları sahte DocuSign sayfalarına yönlendiren kötü amaçlı PDF ekleri içeren kimlik avı e-postalarıyla başlar. ANY.RUN araştırmacıları, Microsoft 365 belirteçlerini elde etmek için kullanılan gizlenmiş komut dosyalarını ve gizli kimlik doğrulama isteklerini ortaya çıkardı. Bu durum, potansiyel olarak saldırganlara hassas iş iletişimlerine ve verilerine erişim sağladı.

Kuruluşunuzu korumak için: Şüpheli cihaz kodu kimlik doğrulamasını izleyin ve ele geçirilmiş Microsoft 365 oturumlarını iptal edin. ANY.RUN’ın Tehdit İstihbaratı Beslemeleri aracılığıyla gerçek dünya incelemelerinden elde edilen yeni kötü amaçlı URL’ler ve alan adları ile tespit sistemlerini güncel tutun. Bu, ilgili kimlik avı etkinliğini daha erken belirlemenize ve hesap ele geçirme riskini sınırlamanıza yardımcı olur.

ABD İşletmeleri Siber Riski SOC Maliyetlerini Artırmadan Nasıl Azaltabilir?

Ekim ayındaki saldırılar, bir kimlik avı bağlantısının, kötü amaçlı bir indirmenin veya ele geçirilmiş bir hesabın finansal kayıplara, veri hırsızlığına ve operasyonel kesintiye ne kadar hızlı yol açabileceğini gösteriyor. CISO’lar için öncelik, zaten gergin olan güvenlik ekipleri üzerindeki baskıyı artırmadan bu risklere maruz kalmayı azaltmaktır.

ANY.RUN, işletmelerin SOC performansını iyileştirmesine ve mevcut güvenlik yatırımlarından daha fazla değer elde etmesine yardımcı olur:

• %94 daha hızlı tehdit triyajı: Kötü amaçlı etkinliği hızla belirleyin ve bilinçli kontrol kararları vermek için gereken kanıtları toplayın.
• Olay başına 21 dakika daha az MTTR: Saldırıları daha erken kontrol altına alın, veri hırsızlığı, yetkisiz erişim ve operasyonel kesinti fırsatlarını sınırlayın.
• Katman 1’den Katman 2’ye %30 daha az yükseltme: Daha fazla olayı ilk düzeyde çözün, kıdemli güvenlik uzmanlarını karmaşık tehditlere odaklanmaya bırakın.
• %30 benzersiz kötü amaçlı IOC: ANY.RUN müşteri sanal alan incelemelerinde bulunan tehdit göstergelerini doğrudan mevcut güvenlik sistemlerinize getirin. Bu, diğer istihbarat kaynaklarının gözden kaçırabileceği kötü amaçlı altyapıyı tespit etmeye yardımcı olur.

Bu iyileştirmeler, güvenlik liderlerinin mevcut kaynaklarla artan tehdit hacimlerini yönetmesine, inceleme maliyetlerini kontrol etmesine ve başarılı bir saldırının potansiyel etkisini azaltmasına olanak tanır.

İşletmenizi Maliyetli İhlallerden SOC Harcamalarını Artırmadan Koruyun.

SOC’unuza daha hızlı hareket etmesi için davranışsal kanıtlar ve tehdit bağlamı sağlayın.