Ekim 2026'da ABD Şirketlerini Hedef Alan 5 Aktif Siber Tehdit

Ekim 2026, ABD'deki kurumsal yapıları hedef alan yoğun bir siber saldırı dalgasıyla kapandı. Saldırganlar bu süreçte güvenilir platformları, meşru kimlik doğrulama süreçlerini ve günlük iş akışlarını araç olarak kullandı. ANY.RUN araştırmacılarının gerçek zamanlı sandbox incelemeleriyle ortaya koyduğu beş aktif tehdit kampanyası; finansal kayıp, veri ihlali ve operasyonel aksama risklerini kurumlar için ciddi biçimde artırdı.

SkyW4lker: Microsoft 365 Kimlik Avı Kurumsal Hesapları Tehdit Ediyor​

SkyW4lker, Microsoft'un meşru cihaz kodu kimlik doğrulama sürecini istismar eden aktif bir kimlik avı kitidir. Parola çalmadan veya çok faktörlü kimlik doğrulamayı (MFA) devre dışı bırakmadan kurumsal hesapları ele geçirebilmesi, bu kiti özellikle tehlikeli kılıyor. ANY.RUN araştırmacıları, Haziran ile 21 Ekim 2026 tarihleri arasında 618 ilgili sandbox analizini tespit etti; bu analizlerin yüzde 46'sı ABD kaynaklıydı.
Saldırı, sözleşme, fatura veya iş teklifi görünümünde gönderilen kimlik avı e-postalarıyla başlıyor. Kurbanlar CAPTCHA doğrulamasından ve güvenilir platformlardan geçirilerek Microsoft'un gerçek kimlik doğrulama sayfasına yönlendiriliyor. Bu sayfada girilen cihaz kodu, saldırganlara hesaba yetkisiz erişim imkânı tanıyabiliyor. Araştırmacılar ayrıca SkyW4lker'ın altyapısının başka bir kimlik avı kiti olan Gabagool ile teknik bağlantılar taşıdığını da ortaya koydu. İlgili tehdit bağlamı incelemesi; teknoloji, kamu, eğitim, danışmanlık ve sağlık sektörlerindeki kuruluşları etkileyen faaliyetleri ABD, Latin Amerika ve Avrupa'ya uzanan bir coğrafyada gün yüzüne çıkardı.

Sahte Yapay Zeka Uygulamaları Kimlik Bilgisi Hırsızlığına Zemin Hazırlıyor​

Siber suçlular, yapay zeka benimseme sürecini de fırsata çevirdi. ChatGPT, Claude ve benzeri popüler hizmetleri taklit eden sahte uygulamalar ve etkinlik davetleri aracılığıyla kullanıcıları tuzağa düşürüyorlar. ANY.RUN araştırmacıları, sahte yapay zeka kampanyalarıyla ilişkili 1.258 sandbox analizini kayıt altına aldı; ABD bu analizlerde dünya genelinde ikinci sıraya yerleşirken iki büyük kampanya grubunda birinci konuma yükseldi.
Saldırganlar hem zararlı indirmeler yoluyla kötü amaçlı yazılım yayıyor hem de sahte etkinlik davetleriyle Microsoft 365 ve Google hesap erişimlerini çalıyor. Özellikle dikkat çeken bir vakada, gerçek bir Claude yükleyicisi çalışırken arka planda gizlenen süreçler tarayıcı oturum çerezlerini ele geçirdi. Bu yöntem, saldırganlara ek bir MFA doğrulaması tetiklemeden kurumsal hesaplara erişme imkânı sunabilir.

GeorgeGinx: Kamu, Bankacılık ve Sağlık Sektörü Hedefte​

GeorgeGinx, Hizmet Olarak Kimlik Avı (PhaaS) modeliyle çalışan ve ABD'deki kamu kurumları, bankacılık, sağlık ve bilişim kuruluşlarını hedef alan aktif bir operasyondur. Saldırganlar, meşru Adobe Paylaşımlı Bağlantılarını kullanarak kurbanları Microsoft Cihaz Kodu kimlik avı sayfalarına yönlendiriyor; bu sayede parola çalmadan kurumsal hesaplara yetkisiz erişim elde edebiliyorlar.
ANY.RUN araştırmacıları, HTML DOM değişikliklerini ve HTTP isteklerini inceleyerek GeorgeGinx'in kimlik avı hedeflerini güvenilir Adobe bağlantılarının arkasına nasıl gizlediğini ortaya koydu. İnceleme aynı zamanda saldırı sunucusundaki bir yönetim panelini de tespit ederek operasyona ilişkin daha kapsamlı bir tablo sundu.

WKLP Zararlı Yazılımı Microsoft Defender'ı Devre Dışı Bırakıyor​

WKLP, ABD ve Fransa'daki devlet kurumlarını hedef aldığı gözlemlenen Python tabanlı bir bilgi çalıcı ve uzaktan erişim trojanıdır (RAT). Zararlı yazılım; kimlik bilgilerini, tarayıcı verilerini ve hassas dosyaları çalarken saldırganlara ele geçirilen sistemler üzerinde kalıcı erişim imkânı da tanıyor.
WKLP, PowerShell ve meşru bir Python çalışma ortamı kullanarak kötü amaçlı kodları yürütüyor. Microsoft Defender dışlama listeleri ekliyor, güvenlik süreçlerini sonlandırıyor ve gizlenmiş güvenlik duvarı kuralları oluşturuyor. Bu yöntemlerle uç nokta korumasını zayıflatarak veri hırsızlığı ve uzun süreli sistem ele geçirme riskini önemli ölçüde artırıyor. ANY.RUN'ın sandbox ortamında zararlı Python etkinliği, MoUsoCoreWorker.exe olarak gizlenmiş biçimde tespit edildi.

Mir0Auth: Microsoft 365 Erişim Tokeni Hırsızlığı​

Mir0Auth, Microsoft 365 kullanıcılarını hedef alan ve ABD kuruluşlarına yönelik kayda değer faaliyet düzeyi gözlemlenen bir kimlik avı kitidir. Meşru Cihaz Kodu kimlik doğrulamasını istismar ederek erişim tokenlarını çalıyor ve çalınan parola gerektirmeden kurumsal hesapları ele geçiriyor.
Saldırı, sahte DocuSign sayfalarına yönlendiren kötü amaçlı PDF ekleri içeren kimlik avı e-postalarıyla başlıyor. ANY.RUN araştırmacıları, Microsoft 365 tokenlarını elde etmek için kullanılan gizlenmiş betikleri ve gizli kimlik doğrulama isteklerini tespit etti. Bu yöntemin başarıya ulaşması durumunda saldırganlar, hassas iş yazışmalarına ve kurumsal verilere erişim kazanabiliyor.

Sıkça Sorulan Sorular​

SkyW4lker kimlik avı kiti nasıl çalışıyor ve neden MFA'yı atlatabiliyorsa tehlikeli kabul ediliyor?​

SkyW4lker, Microsoft'un meşru cihaz kodu kimlik doğrulama akışını istismar ediyor. Kurbanlar gerçek Microsoft kimlik doğrulama sayfasına yönlendirilerek bir cihaz kodu girmeleri sağlanıyor; bu kod saldırganlara parola çalmadan veya MFA'yı devre dışı bırakmadan hesaba yetkisiz erişim imkânı tanıyabiliyor. Haziran - 21 Ekim 2026 tarihleri arasında 618 ilgili sandbox analizi tespit edildi ve bunların yüzde 46'sı ABD kaynaklıydı.

Sahte yapay zeka kampanyalarında hangi platformlar taklit ediliyor ve saldırılar nasıl gerçekleştiriliyor?​

Saldırganlar ChatGPT, Claude ve diğer popüler yapay zeka hizmetlerini taklit eden sahte uygulamalar ve etkinlik davetleri kullanıyor. Zararlı indirmeler kötü amaçlı yazılım yaymak için, sahte etkinlik davetleri ise Microsoft 365 ve Google hesap erişimlerini çalmak için kullanılıyor. Öne çıkan bir vakada gerçek bir Claude yükleyicisi çalışırken gizli süreçler tarayıcı oturum çerezlerini ele geçirdi.

GeorgeGinx operasyonu hangi sektörleri hedef alıyor ve Adobe bağlantılarını nasıl kullanıyor?​

GeorgeGinx, ABD'deki kamu kurumları, bankacılık, sağlık ve bilişim sektörlerini hedef alıyor. Saldırganlar meşru Adobe Paylaşımlı Bağlantılarının arkasına kimlik avı sayfalarını gizliyor; bu bağlantılara tıklayan kurbanlar Microsoft Cihaz Kodu kimlik avı sayfalarına yönlendiriliyor. Araştırmacılar ayrıca saldırı sunucusunda bir yönetim paneli de tespit etti.

WKLP zararlı yazılımı uç nokta güvenliğini nasıl zayıflatıyor?​

WKLP, Microsoft Defender dışlama listeleri ekliyor, güvenlik süreçlerini sonlandırıyor ve gizlenmiş güvenlik duvarı kuralları oluşturuyor. PowerShell ve meşru bir Python çalışma ortamı kullanarak kötü amaçlı kodları yürüten zararlı yazılım, sandbox ortamında MoUsoCoreWorker.exe olarak gizlenmiş biçimde tespit edildi. ABD ve Fransa'daki devlet kurumlarını hedef aldığı gözlemlendi.

Mir0Auth saldırısında kurbanlar nasıl tuzağa düşürülüyor ve hangi veriler risk altında?​

Mir0Auth saldırısı, sahte DocuSign sayfalarına yönlendiren kötü amaçlı PDF ekleri içeren kimlik avı e-postalarıyla başlıyor. Gizlenmiş betikler ve gizli kimlik doğrulama istekleri aracılığıyla Microsoft 365 erişim tokenları çalınıyor. Saldırı başarıya ulaştığında hassas iş yazışmaları ve kurumsal veriler tehlikeye girebiliyor.