Sahte yazılım yükleyicileri Windows güncellemelerini devre dışı bırakıyor.

8 Eylül 2026 | Blog

Yazar : Katie Boquetti | Editör : Craig Taylor

Craig Taylor'ın başyazısı:

Arama motorlarının ilk günlerini hatırlıyorum. Dogpile , Ask Jeeves , AltaVista ve sonra Google geldi ve her şeyi değiştirdi. Yıllarca arama yapmak çok kolaydı. Bir soru yazardınız ve en üstteki cevaba güvenirdiniz.

Son zamanlarda bu güven azaldı. Google artık gerçek sonuçların üstüne üç, dört, hatta beş tane satıcı reklamı yığıyor ve ben de tüm bu karmaşayı atlayıp en sevdiğim yapay zekâya sormayı tercih ediyorum. Buna nostalji deyin ama Google arama sayfasının en üst kısmının güvenebileceğiniz bir yer olduğu günleri özlüyorum.

Aşağıdaki makale, Google arama sonuçlarının en üstünde bekleyen en kötü şeyin gereksiz bilgiler olmadığını hatırlatıyor. Suçlular artık, bilgisayarlarınıza kötü amaçlı yazılım bulaştırmak için logo ve indirme düğmesine kadar kopyalanmış sahte satıcı sayfaları oluşturuyorlar. Bunun çözümü iki kısımdan oluşuyor: biri eski usul, diğeri teknik. Eski usul kısım basit. Arama sonuçlarına güvenmeyi bırakın, yazılımınızı doğrudan resmi satıcı sayfasından indirin ve yüklemeden önce sormak için duraklayan ekip üyenize teşekkür edin. Teknik kısım ise bir alışkanlıktan ödün verildiğinde sizi korur. Çalışanlarınızın hesaplarından günlük yönetici haklarını kaldırın. Standart bir kullanıcı hesabı, bu kötü amaçlı yazılımların çoğunu engeller, çünkü saldırının savunmanızı devre dışı bırakmak ve güncellemelerinizi kapatmak için yönetici haklarına ihtiyacı vardır. İyi alışkanlıklar riskli tıklamaları nadir tutar ve en az ayrıcalık ilkesi, tek bir hatanın tüm makineyi ele vermemesini sağlar.

Bu haberi, arama çubuğuna marka adı yazıp ilk çıkan sonuca tıklayan kişilerle paylaşın. Size teşekkür edeceklerdir.

Ve unutmayın: Gülün. Öğrenin. Ve coşun!
Craig

Kötü Amaçlı Yazılım Bağlantıları Arama Sonuçlarının En Üst Sıralarına Çıktı

Microsoft, basit bir kurulumla gerçekleştirilen aktif bir kötü amaçlı yazılım kampanyası hakkında araştırma yayınladı. Birisi popüler yazılımları arıyor, sayfanın üst kısmına yakın bir sonuca tıklıyor, gerçek satıcı sitesine tıpatıp benzeyen bir sayfaya yönlendiriliyor ve bir yükleyici indiriyor. Dosya çalışıyor. Ekranda hiçbir sorun görünmüyor. Ancak, yükleyici Windows Update'i kapatıyor, Microsoft Defender dışlamalarını ekliyor ve saldırgana geri bağlantı kuruyor. Tüm bunlar kötü sonuçlar doğuruyor.

İyi haberler de var. Çoğu güvenlik aracı, bu yükleyicileri çalışmadan önce yakalayacaktır. Bir tanesi aradan sıyrılırsa, yönetici haklarına sahip olmayan standart bir kullanıcı, yükleyicinin yapmaya çalıştığı şeylerin çoğunu engelleyebilir. Ve ekibiniz meşru yazılımları nereden edineceğini biliyorsa, bu tehdit masaüstlerinize hiç ulaşmaz.

Sahte indirme siteleri nasıl çalışır?

Saldırganlar, .com.cn ve .hl.cn gibi ülke kodu uzantıları kullanarak gerçek marka isimlerine yakın alan adları kaydettiler. Satıcı sayfalarını, düzeninden logosuna ve büyük yeşil indirme düğmesine kadar kopyaladılar. Taklit edilen markalar arasında web tarayıcıları, PDF düzenleyiciler, e-kitap okuyucular, zihin haritalama uygulamaları, ekran kaydediciler, disk yardımcı programları, çeviri araçları ve oyun donanımları yer alıyordu.

Engelleme işlemini normalden daha zor hale getiren bir ayrıntı var. İndirilen ZIP dosyası her seferinde aynı adı korurken, içeriği her istekte değişiyor. Her ziyaretçi biraz farklı bir dosya alıyor, bu nedenle bilinen kötü amaçlı dosya parmak izini arayan güvenlik araçlarının eşleştirebileceği bir şey yok. Tespit, bunun yerine kurulumdan sonraki davranışa odaklanmak zorunda kalıyor.

Doğrulanan mağdurlar sağlık, üretim, oyun, teknoloji, lojistik, devlet ve eğitim sektörlerinde çalışıyor. Microsoft, bu faaliyeti orta derecede güvenle, yıllardır sahte satıcı indirme sayfalarıyla bilinen Silver Fox adlı bir grupla ilişkilendiriyor.

Birisi "çalıştır" düğmesine tıkladıktan sonra ne olur?

Kurulum programı bilgisayarda bir dizi sessiz değişiklik yapar.

Bu program, rutin BT bakım işlerini taklit eden isimlerle zamanlanmış görevler oluşturur; bu nedenle Görev Zamanlayıcı'ya hızlı bir bakış, olağandışı bir şey göstermez.
Bu, SYSTEM yetkileriyle kısa süreli bir görev çalıştırır ve PowerShell kullanarak kendi klasörleri için Microsoft Defender dışlama kuralları ekler.
Bu işlem, disk biriminin gölge kopyalarını silerek, çalışan duruma geri dönmenin kolay yollarından birini ortadan kaldırır.
Bu zararlı yazılım, icacls komutuyla klasör izinlerini yeniden yazarak sıradan kullanıcıların zararlı dosyaları silmesini engeller.
Windows Update hizmetlerini durdurur ve devre dışı bırakır, güncelleme dosyalarını yeniden adlandırır ve güncelleme önbelleğini temizler.
Ardından, alışılmadık ağ portları üzerinden saldırgan sunucularla bağlantı kurar.

Microsoft Defender, söz konusu etkinliği tespit ederek otomatik önleme işlemine başladı; bu nedenle kampanyanın nihai amacı bilinmiyor.

Dikkatinizi hak eden adım

Windows Update'i kapatmak, bu listedeki en uzun vadeli zararı verir. Güncellemeleri devre dışı bırakılmış bir bilgisayar çalışmaya devam eder, e-postaları açmaya devam eder ve kullanan kişi için sağlıklı görünür. Her yeni güvenlik yaması bu makineyi atlar. Haftalar sonra, aynı bilgisayar, ofisinizdeki diğer tüm masaüstü bilgisayarlarda zaten düzeltilmiş olan güvenlik açıklarına maruz kalır.

Yama raporlamasını bir güvenlik sinyali olarak ele alın, BT bakım işi olarak değil. Güncelleme raporlarınızda sessiz kalan bir makine daha yakından incelenmeyi hak ediyor.

Savunma İçin Beş Hızlı Adım

Aşağıdaki her adım size üç seviye sunar. İyi seviye, bugün neredeyse hiç maliyet olmadan harekete geçmenizi sağlar. Daha iyi seviye, mütevazı bir çabayla daha güçlü koruma sağlar. En iyi seviye ise size en fazla korumayı sunar ve ayakta kalıp çalışmaya devam etmek daha fazla zaman ve para gerektirir.

Yerel yönetici haklarını kaldırın.
- İyi: Kullanıcıların tüm gün kullandığı hesaplardan yerel yönetici yetkisini kaldırın ve BT personeline yalnızca kurulumlar için ayrı bir yönetici hesabı verin. Bu, politika değişikliğinden başka bir maliyet gerektirmez ve bu makaledeki zararların çoğunu ortadan kaldırır, çünkü kötü amaçlı yazılımın Defender ve Windows Update'i devre dışı bırakmak için yönetici veya SYSTEM haklarına ihtiyacı vardır.
- Daha iyiRMM veya uç nokta aracınız aracılığıyla onay tabanlı yetkilendirme ekleyin; böylece bir kullanıcı geçerli bir kurulum için tek seferlik yetkilendirme talebinde bulunur ve siz de bunu saniyeler içinde onaylarsınız.
- En iyi: Her cihazda tam yetki yönetimi uygulayın, hiçbir yerde kalıcı yönetici hakları olmasın. Bu en güçlü sürümdür ve düzgün çalışması için planlama ve ücretli bir araç gerektirir.
Yazılımınızın nereden geldiğini kontrol edin.
- İyi: İnsanları her bir araç için resmi satıcı sayfasına yönlendirin ve sahte sitelerin en iyi işlerini yaptığı arama motorunu atlayarak yazılımı doğrudan kaynağından edinin.
- Daha iyi: Intune Şirket Portalı, bir RMM yazılım kataloğu veya Mac'te Jamf gibi kendi kendine hizmet veren bir katalog oluşturun. Kullanıcılar onaylanmış araçları tek tıklamayla kurar ve arama sonuçlarına asla dokunmazlar.
- En iyiTamamen yönetilen bir dağıtıma geçin; burada personel kendi başına hiçbir şey yüklemez ve her uygulama BT departmanı aracılığıyla gelir. Bu en temiz kontrol yöntemidir ve kurulum ve personel açısından en yüksek maliyeti gerektirir.
Bilgisayarlarınızda nelerin çalışacağını kontrol edin.
- İyiWindows 11'de Akıllı Uygulama Denetimi'ni açın ve Mac'te Gatekeeper'ı yalnızca App Store ve tanımlanmış geliştiricilere izin verecek şekilde ayarlayın. Her ikisi de işletim sistemiyle birlikte ücretsiz olarak gelir ve birçok bilinmeyen yükleyicinin açılmasını engeller.
- Daha iyiBu özellik, programların indirme klasörlerinden ve geçici klasörlerden çalışmasını engeller; bu klasörler, bu tür yükleyiciler için sıkça kullanılan başlatma noktalarıdır.
- En iyi: WDAC veya AppLocker gibi araçlarla tam uygulama izin listesi oluşturun; böylece yalnızca onayladığınız yazılımlar çalışır. Bu, sahte yükleyicilere karşı en yüksek korumadır ve güvenilir çalışmaların asla aksamaması için oluşturulması ve ayarlanması gerçek zaman alır.
Web'i ağ düzeyinde filtreleyin.
- İyiCihazlarınızı, indirme işlemi başlamadan önce bilinen kötü amaçlı ve benzer alan adlarını engelleyen Quad9 gibi ücretsiz bir koruyucu DNS hizmetine yönlendirin.
- Daha iyi: Yeni kayıtlı alan adı engelleme ve raporlama özelliğine sahip bir filtreleme hizmetine geçin; bu hizmet, saldırganların yüzlerce oluşturduğu yeni .com.cn tarzı siteleri yakalar.
- En iyiOfis ve uzaktan erişim cihazlarında grup bazlı politikalar ve günlük kaydı ile tam DNS ve web filtrelemesi uygulayın. Bu, en geniş kapsamı sağlar ve kullanıcı başına maliyet ve sürekli ayarlama gerektirir.
Savunmanızı koruyun ve gözetin.
- İyiMicrosoft Defender'da kurcalama korumasını açın. Bu ücretsiz ayar, bu kötü amaçlı yazılımın eklemeye çalıştığı dışlama klasörleri de dahil olmak üzere, korumanızda istenmeyen değişiklikleri engeller.
- Daha iyi: Her ay ücretsiz veya düşük maliyetli bir araç kullanarak yama raporlamasını inceleyin ve sessiz kalan makineleri takip edin, çünkü sessiz bir makine genellikle güncellemelerin devre dışı bırakıldığını gösterir.
- En iyi: Dosya parmak izleri yerine davranışları izleyen bir EDR veya yönetilen MDR hizmeti ekleyin; bu, her indirme işleminin benzersiz bir dosya olduğu durumlarda güvenilir bir tespit yöntemidir. Bu en güçlü tespit yöntemidir ve aylık maliyet ve kurulum çalışması gerektirir.

Bu hafta her satırda "İyi" ile başlayın. Günü başladığınızdan daha güvende bitireceksiniz ve kendi zaman çizelgenize göre "Daha İyi" ve "En İyi"ye doğru ilerleyeceksiniz.

Şüpheli bir makinede kontrol edilmesi gereken işaretler

Yeni zamanlanmış görevler, SYSTEM hakları ve genel bakım adlarıyla çalıştırılıyor.
Defender dışlama yollarını ekleyen PowerShell komutları.
Windows Update hizmetleri, değişiklik talebi olmaksızın durduruldu veya devre dışı bırakıldı.
Cihazlar yama raporlarınızdan kayboluyor.
Alışılmadık derecede yüksek numaralı limanlardan giden trafik.

Eğer bir makine bu belirtileri gösteriyorsa, yeniden kurmak temizlemekten daha iyidir. Kötü amaçlı yazılım gölge kopyalarını kaldırır, kendi klasörlerini kilitler ve güncellemeleri bozar; bu nedenle kısmi bir temizlik geride sorunlar bırakır. Cihazı yeniden imajlayın, kullanılan şifreleri değiştirin ve güvenle devam edin.

Bir sonraki küçük adımınız

Yukarıdaki her adımdan iyi bir eylem seçin ve bugün uygulayın. Ekibinize bu saldırıdan bahsedin ve onlar adına eklediğiniz koruma önlemlerini onlara anlatın. Herkesten güvenilir tek ipucu olan web adresini öğrenmelerini ve yeni bir şey yüklemeden önce sizinle iletişime geçmelerini isteyin. İyi adımlar öğleden sonraları değil, dakikalar sürer ve her biri kuruluşunuzu bu sabah olduğundan daha güvenli hale getirir. Bu alışkanlığı oluşturun, yüklemeden önce soru soranları ödüllendirin ve sürekli olarak teşvik edin.

Sıkça Sorulan Sorular (SSS)

Bir indirme sitesinin sahte olduğunu tıklamadan önce nasıl anlarım?

Sayfa tasarımına değil, web adresine bakın, çünkü tasarım neredeyse mükemmel bir kopyadır. Garip ülke kodu sonları, tireli marka adları ve alışılmadık alt alan adları yaygın işaretlerdir. Daha güçlü çözüm, gözlere güvenmeyi bırakmaktır. Yazılımı, kendi kendine hizmet veren bir katalog veya resmi satıcı sayfası gibi yönetilen bir kaynaktan edinin, böylece sahte bir sonuç asla ortaya çıkmaz.

Değişen dosya parmak izi neden önemlidir?

Birçok güvenlik aracı, kötü amaçlı dosyaları benzersiz bir karma değeriyle tanımlar. Bir sunucu her indirme için kötü amaçlı yazılımın yeni bir kopyasını oluşturduğunda, her kurban benzersiz bir dosya alır; bu nedenle karma tabanlı engelleme hiçbir zaman etkili olmaz. Bunun yerine davranış tabanlı tespit devreye girer.

Windows Update hizmetinin devre dışı bırakılması ne kadar risklidir?

Tek bir taviz, ucu açık bir güvenlik açığına dönüşür. Bilgisayar normal görünür ve çalışır, ancak o andan itibaren yayınlanan tüm yamalar eksiktir. Bu durumdaki makineler, saldırganlara aylar sonra tekrar sisteme girmenin güvenilir bir yolunu sunar.

Microsoft Defender beni burada korur mu?

Kısmen. Defender bu saldırıyı tespit etti ve Microsoft'un incelediği vakalarda yayılmasını engelledi. Kötü amaçlı yazılım hala SYSTEM haklarını kullanarak kendi dışlama klasörlerini eklemeye çalışıyor, bu nedenle koruma, kurcalama korumasının etkinleştirilmesine, dışlama değişikliklerinin incelenmesine ve personelin gereksiz yönetici hakları olmadan çalışmasına bağlıdır.

Bu durum sadece Çin'de faaliyet gösteren şirketler için mi bir endişe kaynağı?

Bildirilen etkiler, sahte sayfaların Çince içerik kullanması nedeniyle Çin merkezli operasyonları ve Çince konuşan kullanıcıları etkiliyor. Bu teknik kolayca yayılıyor. İngilizce markaları hedef alan sahte yükleyici kampanyaları düzenli olarak ortaya çıkıyor ve kurulum sonrası davranış herhangi bir Windows bilgisayarında aynı şekilde çalışıyor.

Peki ya evde çalışanların iş dizüstü bilgisayarlarına yazılım yüklemesi?

Aynı tavsiye, daha sıcak bir üslupla. İnsanlar kişisel araçlarını iş cihazlarına kuruyorlar çünkü bir şeyler yapmaya çalışıyorlar. Onlara onaylanmış araçları tek tıklamayla kurabilecekleri bir self servis kataloğu, ekleme talebinde bulunmanın basit bir yolu ve yönetici hakları olmayan standart bir hesap verin. Riskli arama motoru dolambaçlı yolu ortadan kalkar ve tek bir yanlış tıklama çok daha az hasara yol açar.