HTTPSpy ile Kimsuky’nin Yeni Sosyal Mühendislik Saldırıları

Güvenlik dünyasında bazen bir oltaya takılıp gittiğinizi fark etmezsiniz. İşte HTTPSpy saldırıları tam da böyle sinsice çalışıyor: Görünürde masum, arkasında ise Kuzey Kore merkezli Kimsuky’nin zekice kurgulanmış tuzakları var.

HTTPSpy saldırıları neden bu kadar tehlikeli?

Kimsuky’nin son kampanyalarında kullandığı HTTPSpy saldırıları sıradan bir zararlı yazılımdan çok daha fazlası. Geçmişte bu tür araçların daha çok doğrudan dosya indirme veya phishing e-postalarıyla dağıtıldığını gördük. Ancak Kimsuky’nin elindeki yeni arsenal, sosyal mühendislik becerilerini bir üst seviyeye taşıyor. Özellikle kurumsal mesajlaşma yöneticileri ile şirket çalışanlarını hedefleyen bu saldırılar, teknik korumaları değil, insanın dikkatsiz anını yakalıyor.

HTTPSpy saldırılarında kullanılan sosyal mühendislik taktikleri

Klasik zararlı yazılımlar genellikle teknik açıklardan faydalanırken, HTTPSpy saldırıları insan faktörüne odaklanıyor. Buradaki kritik taktiklerden biri, kullanıcının güven ortamını manipüle etmek. Gerçek kurum içi mesajlara birebir benzeyen sahte e-postalar, şirketin sıkça kullandığı yazılımların adını ve logosunu taklit eden sahte internet siteleri öne çıkıyor. Özellikle Türk şirketlerinde, güvenlik biriminden geliyor gibi gösterilen e-postalar son dönemde sıkça karşılaşılan bir vektör haline geldi.

Bir diğer yöntem ise, gerçek zamanlı destek talebine benzetilen pop-up mesajlar. Örneğin, kullanıcının iş akışını bozan küçük bir problem varmış gibi sunulup, acil bir çözüm önerisiyle zararlı scriptlerin çalıştırılması sağlanıyor. Türkçede yazım hatası bile yapılmayan bu mesajlar, çoğu zaman IT departmanı veya güvenlik biriminden gelmiş gibi inandırıcı bir izlenim yaratıyor.

Sahte güvenlik yazılımı kurulumları nasıl kandırıyor?

Gelin, bir sabah ofiste bilgisayar başına oturduğunuzu düşünün. Güvenlik departmanından geldiğine inandığınız bir sayfada, “yeni bir güvenlik yazılımı kurmanız lazım” mesajı görüyorsunuz. Kimsuky’nin geliştirdiği sahte sayfalar tam da bu psikolojiye oynuyor. Özellikle nProtect veya AhnLab ASTx gibi yerel, güvenilir programların adını kullanan installer’lar, farkına bile varmadan bilgisayarınıza zararlı yüklemenize yol açıyor. Bu yöntem ilk bakışta klasik gibi dursa da, saldırganların hedeflediği kişi profili ve ikna kabiliyeti işin rengini değiştiriyor.

HTTPSpy saldırılarında hedef seçimi ve kişiselleştirme stratejileri

HTTPSpy saldırıları klasik “herkese aynı dosyayı at, biri mutlaka tıklar” mantığından çok daha incelikli. Saldırganlar, hedefledikleri kurumun yapısını önceden araştırıyor, bazen sosyal medya, LinkedIn veya şirket web sitesi gibi açık kaynaklardan bilgi topluyor. Örneğin, bir şirkette hangi güvenlik yazılımlarının yaygın olarak kullanıldığını anlamak için eski iş ilanlarını veya teknik blogları bile tarayabiliyorlar.

Bununla birlikte, e-posta adresleriyle birebir eşleşen isim ve departmanlara göre kişiselleştirilmiş mesajlar hazırlanıyor. E-posta eklerinde görülen zararlı dosyaların isimleri bile hedefin sık kullandığı yazılımlara uygun olacak şekilde seçiliyor. Hatta, saldırganlar şirketin iç dosya şablonlarını taklit etmeye kadar ileri gidebiliyor.

Teknik detaylar: Zararlı yazılım sistemde nasıl çalışıyor?

İndirilen dosya – adı nProtect veya ASTx olsa da – arka planda aynı zararlı süreci başlatıyor. Klasik .exe dosyası, “regsvr32.exe” üzerinden “MemLoader.dll” adlı ikinci aşama yükleyiciyi tetikliyor. Bu işlem bittikten sonra zararlı kendi izini siliyor, hani evde izinsiz girenin ayak izini silmesi gibi. Sonraki aşamada kurulan DLL, sisteme görev zamanlayıcı (scheduled task) ile yerleşiyor ve uzaktaki komut sunucusu ile iletişim kuruyor. Bu sunucudan gelecek talimatlara göre, istenilen farklı bir yük indirilip çalıştırılabiliyor. Yani, ilk zararlı sadece kapıyı açıyor; içeri kimin gireceğini saldırgan belirliyor.

HTTPSpy saldırılarında kullanılan LSI anahtar terimler

Siber güvenlik literatüründe HTTPSpy saldırıları ile birlikte sıkça duyabileceğiniz birkaç LSI (Latent Semantic Indexing) kavramından bahsetmekte fayda var:

• Remote Access Trojan (RAT): HTTPSpy’ın ana kod tabanı, kurban bilgisayarı tamamen uzaktan kontrol etmeye odaklı.
• Command and Control (C2) Sunucusu: Zararlı, kurulan sistemden Kimsuky’nin merkezine komut almak ve veri göndermek için C2 altyapısını kullanıyor.
• Fileless Malware: HTTPSpy genellikle dosya tabanlı değil, hafızada çalışan tekniklerle izini gizlemeye çalışıyor.
• Spear Phishing: Saldırıların çoğu, kişiselleştirilmiş oltalama e-postaları yoluyla başlatılıyor.
• Payload ve Downloader: İlk aşama indirici (downloader), ikincil zararlıyı sisteme aktarıyor ve farklı payload’lar yüklenebiliyor.

Bu terimleri anladığınızda, olayın teknik boyutunu da daha iyi kavrayabilirsiniz.

Webex görünümü altında yeni saldırı dalgası

2026 Nisan ayında Kimsuky’nin bir başka numarası daha gündeme geldi. Bu kez Cisco Webex’i taklit eden bir sayfada, “kameranızda sorun var, şu scripti indirip çalıştırın” diyorlar. Çoğu kurumsal çalışan için sıradan bir sorun ve pratik çözüm gibi gözüküyor. İndirilen script ise şifrelenmiş bir JSE dosyası; çalıştırıldığında PowerShell üzerinden yeni bir downloader çekiyor ve sistem üzerinde anti-analiz kontrolleri yapıyor. Son aşamada ise, yine HTTPSpy saldırıları için platform kurmuş oluyorlar.

HTTPSpy zararlısı aslında neler yapabiliyor?

Siber güvenlik uzmanlarına göre HTTPSpy ailesi, klasik bir uzaktan erişim truva atı gibi davranmıyor. Sistem üzerinde kabuk komutu çalıştırma, dosya yükleme/indirme, ekran görüntüsü alma gibi pek çok imkana sahipler. Bu yetenekler, Kimsuky’nin sadece bilgi çalmakla kalmayıp, düşük profilli ama etkili sabotajlar da yapabileceğini gösteriyor. Son zamanlarda benzer bir saldırı zincirini Evilnum grubunda da görmüştük; onlar da legal yazılım görünümlü sahte installer’larla benzer bir sızma süreci izlemişti.

Türk şirketlerinde HTTPSpy saldırılarına karşı özel riskler

Türkiye’de, kurumsal kimlik doğrulama sistemlerinin henüz yaygınlaşmamış olması, HTTPSpy saldırıları için ekstra bir fırsat sunuyor. Özellikle küçük ve orta ölçekli işletmelerde, e-posta güvenliği ve personel bilinçlendirmesi zayıf kalabiliyor. Ayrıca, yerel destek ekibi e-posta adreslerinin sıkça değiştirilmesi veya açıkça paylaşılması, oltalama riskini artırıyor.

Bir başka risk ise, çoğu Türk şirketinin, yazılım güncellemelerini merkezi olarak zorunlu hale getirmemesi. Saldırganlar, “acil güncelleme” başlıklı sahte e-postalarla kolayca hedefleri kandırabiliyor. Bu nedenle, şirketler güncellemelerin sadece resmi kanallardan yapılmasını sağlayacak politikalar geliştirmeli.

Kurumsal hedefler ve seçici saldırı taktikleri

Burada dikkat çeken bir nokta, saldırganların “herkese aynı zararlıyı yaymak yerine” belirli hedeflere göre ikinci aşama yük indirmesi. Yani, oltaya takılan herkes aynı şekilde etkilenmiyor. Saldırgan sunucuya gelen bağlantılar analiz edilip, sadece istediği sisteme özel payload bırakabiliyor. Böylece güvenlik ekibi olası bir bulaşma tespit ettiğinde, diğer sistemlerde farklı izlerle karşılaşıyor. Bu taktiği geçmişte Rusya destekli APT gruplarından da görmüştük; örneğin APT28’in spear phishing saldırıları buna benzer şekilde hedef bazlı ilerlerdi.

HTTPSpy saldırılarının tespiti neden zor?

Birçok HTTPSpy saldırıları geleneksel antivirüs veya güvenlik yazılımı tarafından otomatik olarak yakalanmıyor. Bunun sebeplerinden biri, zararlının bellekte (RAM) çalışması ve kalıcı dosya bırakmaması. Bir diğeri ise, iletişimde kullandığı C2 trafiğinin genellikle HTTPS üzerinden şifreli gerçekleşmesi. Ayrıca, zararlı scriptler veya dosyalar genellikle sıkıştırılmış, şifrelenmiş veya zararsız gibi görünen dosyaların içine gömülmüş oluyor.

Birçok Türk şirketinde, network trafiği tam olarak izlenmediği için şüpheli bağlantılar fark edilmiyor. Ayrıca, olay günlüğü (log) analizleri elle yapılmadığı için, saldırganın sistemde olduğu süre boyunca hiçbir alarm oluşmuyor.

Veriler ne söylüyor? Somut örnekler ve istatistikler

ENKI’nin analizine göre, Mart-Nisan 2026 arasında en az 10 farklı Güney Koreli kurumsal hedef bu yöntemle sızmaya uğramış. Sadece bir tehdit zincirinde, Webex taklidi sayfadan günde ortalama 100’den fazla bağlantı izlenmiş. Son yıllarda zararlı yazılımların sosyal mühendislik aracılığıyla dağıtımında %30’a yakın artış gözlemleniyor. Güvenlik uzmanlarına göre, saldırganların insan psikolojisine oynaması, teknik zafiyet aramaktan daha sonuç verici ve sessiz oluyor.

Kapsamlı koruma için pratik öneriler

• Kullanıcı farkındalığı eğitimi: Türkçe içerikli sosyal mühendislik saldırılarına karşı çalışanlara düzenli eğitim verin. Senaryo tabanlı tatbikatlarla, şüpheli e-posta ve linklerin tespiti için pratik kazandırın.
• Yazılım dağıtım politikası oluşturun: Güncellemelerin sadece merkezi yönetim sistemleri üzerinden yapılmasını zorunlu tutun. Çalışanların kendi başına yazılım kurmasını önlemek için teknik kısıtlamalar getirin.
• Gelişmiş tehdit tespit araçlarını kullanın: Sadece antivirüs değil, davranış analizi yapan ve bellek içi (fileless) zararlıları yakalayabilen EDR veya XDR çözümlerine yatırım yapın.
• Kimlik doğrulama ve MFA: Hem e-posta hem de uzak bağlantılar için çok faktörlü kimlik doğrulama (MFA) kullanın. Saldırganlar, hesap ele geçirse bile ek doğrulama adımına takılacaktır.
• Log ve network trafiği takibi: Özellikle outbound (dışa giden) HTTP ve HTTPS trafiği sürekli analiz edin. Bilinmeyen IP veya alan adlarına yapılan bağlantılar otomatik olarak uyarı oluştursun.
• İzolasyon protokolleri: Şüpheli dosyalar tespit edildiğinde, bilgisayarı hızlıca ağdan ayıracak ve zararlının yayılımını engelleyecek izolasyon adımlarını tanımlayın.

Bu saldırılardan korunmak için neler yapılmalı?

• Her kurulum dosyasının kaynağını iki kez kontrol edin; özellikle e-posta veya web linkleriyle gelen yazılımlara karşı ekstra dikkatli olun.
• Çalışanlarınızı sosyal mühendislik saldırılarına karşı düzenli olarak eğitin; şüpheli web sayfalarını nasıl ayırt edeceklerini gösterin.
• İşletim sistemi ve tüm güvenlik yazılımlarınızı güncel tutun, çünkü bu tür zararlılar eski açıkları hedefler.
• Yönetici haklarıyla işlem yapmadan önce mutlaka iç kaynaklarınızla doğrulama alın.
• Kurumsal ağlarda, bilinmeyen dış bağlantı ve indirme hareketlerini merkezi olarak izleyecek çözümler kurun.
• Şüpheli dosyaları izole edin ve analiz için ilgili ekiplere iletin.

Sonuç: Kimsuky’nin yeni nesil saldırılarına karşı nasıl bir yol izlemeliyiz?

Kimsuky’nin HTTPSpy saldırıları ile gösterdiği inovatif taktikler, klasik antivirüs ve güvenlik anlayışından fazlasını gerektiriyor. Sektörün deneyimli isimlerine göre, yeni nesil sosyal mühendislik tuzakları artık sadece teknik bilgiye değil, çalışan farkındalığına ve proaktif savunmalara da meydan okuyor. Her şüpheli hareketi sorgulamak, güncel analiz raporlarını takip etmek ve kurum içinde ortak bir güvenlik refleksi geliştirmek bugün her zamankinden daha kritik. Unutmayın, dijital dünyada bazen bir tık geride kalmak, tüm kapıları saldırgana açabilir.

Ek kaynaklar ve güncel gelişmeleri takip edebileceğiniz platformlar

Konu hakkında daha derin bilgi almak ve son saldırı örneklerini incelemek için şu kaynakları takip edebilirsiniz:

• USOM (Ulusal Siber Olaylara Müdahale Merkezi)
• Cybermag Online
• Bilgi Güvenliği Derneği
• Kaspersky Kimsuky HTTPSpy Analizi

Şirketinizin ve kişisel dijital yaşamınızın güvenliği için, HTTPSpy saldırıları ve benzeri siber tehditlere karşı hem teknik hem insani reflekslerinizi geliştirin. Unutmayın, güvenlik bir teknoloji değil alışkanlık meselesidir.

Sıkça Sorulan Sorular