NetamLoader: Asya’daki Hükümet Sistemlerini Hedef Alan Gelişmiş Bir Siber Saldırı

NetamLoader: Asya’daki Hükümet Sistemlerini Hedef Alan Gelişmiş Bir Siber Saldırı

Kaspersky araştırmacıları, Asya’da bir hükümet kurumuna ait özel bir Windows 10 sürümünü hedef alan NetamLoader adlı gelişmiş bir zararlı yazılım yükleyicisini ortaya çıkardı. Bu saldırıda, Windows güncelleme paketlerinin saklandığı dizine yerleştirilen bir CAB arşivi ve meşru yazılım bileşenleri kötüye kullanıldı. Uzmanlar, bu durumun olası bir tedarik zinciri saldırısına işaret ettiğini belirtti. Ancak, Patch My PC sistemlerinin ihlal edildiğine dair herhangi bir kanıt bulunamadı.

Saldırı Windows Güncelleme Dizininde Ortaya Çıktı

Kaspersky’nin GReAT ekibi, 2026 yılının ilk yarısında gerçekleştirdiği tehdit avcılığı çalışmaları sırasında şüpheli bir .config dosyası tespit etti. Bu dosya, Windows’un güncelleme paketlerini depoladığı SoftwareDistribution\Download dizinindeki bir CAB arşivinde bulundu.

Arşivden çıkarılan yedi dosyanın büyük bir kısmı, Patch My PC adlı yama yönetimi aracına ait meşru bileşenlerden oluşuyordu. Enjeksiyon zincirinde kullanılan bazı .NET dosyalarının Microsoft tarafından imzalanmış olması dikkat çekiciydi. Zararlı kod ise arşivdeki Resources.resx dosyasına gizlenmişti.

Meşru Bileşenler Zararlı Kodu Çalıştırmak İçin Kullanıldı

NetamLoader’ın ilk aşamasında AppDomainManager Injection tekniği kullanıldı. Saldırganlar, PatchMyPC-ScriptRunner.exe dosyasını ana süreç olarak kullandı. Aynı dizindeki yapılandırma dosyası aracılığıyla zararlı .NET bileşenlerinin yüklenmesini sağladı.

Kaspersky’nin analizine göre, yükleme zinciri birden fazla XAML dosyası ve .NET bileşeninden oluşan katmanlı bir yapıya sahipti. Bu yapı, zararlı kodun farklı aşamalarda belleğe yüklenmesini ve yürütme sürecinin meşru sistem bileşenlerinin arkasına gizlenmesini mümkün kıldı.

AMSI Devre Dışı Bırakıldı ve İzler Silindi

NetamLoader’ın önemli yeteneklerinden biri, Windows’un kötü amaçlı yazılım tarama arayüzü AMSI’yi (Antimalware Scan Interface) devre dışı bırakmasıydı. Zararlı yazılım, AMSI’nin tarama işleviyle ilişkili bellek yapılarını değiştirerek tarama sonuçlarının temiz olarak dönmesini sağladı.

İlk yükleyici aynı zamanda saldırıyla ilişkili Windows güncelleme kayıtlarını, zararlı dosyaları ve önbellek verilerini siliyordu. Kayıt defterindeki belirli anahtarların temizlenmesiyle, zararlının kendi hata ve istisna izleme mekanizmasına ait veriler de kaldırılıyordu.

Saldırının sonraki aşamasında, zararlı kod RPC üzerinden oluşturulan bir COM nesnesinden yararlanarak dllhost.exe sürecine taşındı. Bu sayede yürütme, ilk aşamada kullanılan Patch My PC sürecinden ayrıldı. Kaspersky, bu yöntemin güvenlik ürünlerinin süreç davranışlarını izlemesini zorlaştırmayı amaçladığını belirtiyor.

Komuta-Kontrol Bağlantısı İçin Gecikme Uygulandı

Zararlı yazılımın .NET tabanlı ikinci aşama bileşeni, sistem bilgilerini topladıktan sonra komuta-kontrol (C2) sunucusuyla iletişim kuruyordu. Ancak ilk bağlantı hemen gerçekleştirilmiyordu. NetamLoader, analiz ortamlarında tespit edilme olasılığını azaltmak amacıyla 20 ila 40 dakika arasında rastgele bir gecikme uyguladı.

Araştırmacılar, zararlının openaigpt4v[.]com alan adını C2 iletişimi için kullandığını belirledi. Sunucu trafiği AES-128-CBC ile şifreleniyor ve HMAC kullanılarak doğrulanıyordu. Sunucudan alınan yanıtlar, ayrı bir .NET uygulama alanında (AppDomain) çalıştırılabiliyordu.

Tek Kurban Tespit Edildi, Saldırganın Kimliği Bilinmiyor

Kaspersky’nin telemetri verilerine göre, bu saldırıda Asya’da yalnızca bir kurban tespit edildi. Zararlının, sadece hükümet kurumlarının kullanımına yönelik özelleştirilmiş bir Windows sürümünü hedefleyecek şekilde tasarlandığı belirtildi. Bu bulgular doğrultusunda araştırmacılar, hedefin Asya’daki bir devlet kurumu olduğunu değerlendiriyor.

Ancak Kaspersky, hedef ülkenin adını açıklamadı. Saldırının bilinen herhangi bir APT grubuyla ilişkilendirilmesini sağlayacak yeterli teknik benzerlik, kod ortaklığı veya altyapı bağlantısı da tespit edilemedi. Ayrıca, saldırganların hassas verileri ele geçirip geçirmediği konusunda doğrulanmış bir bulgu paylaşılmadı.

Kaspersky’nin araştırması, devletlerin kendi işletim sistemlerini ve yazılım altyapılarını geliştirmesinin beraberinde yeni güvenlik sorumlulukları getirdiğine dikkat çekiyor. Bu olay, yalnızca işletim sisteminin değil, güncelleme mekanizmalarının ve bakım süreçlerinde kullanılan üçüncü taraf araçların da saldırı yüzeyinin bir parçası olabileceğini gösteriyor.