Phishing ile RMM Araclari: SimpleHelp ve ScreenConnect’in Karanlik Yuzu
Günümüzde RMM tabanli phishing saldırıları, siber suçluların elindeki en güçlü kozlardan biri haline geldi. Bir uzaktan masaüstü yazılımı düşündüğünüzde aklınıza genellikle BT desteği gelir; ama görünüşe göre saldırganlar da bu araçları kendi lehlerine çevirmeyi gayet iyi biliyor. Son dönemde yaşanan bir saldırı dalgası, klasik oltalama yöntemini akıllıca birleştirerek 80’den fazla kurumu hedef aldı.
RMM tabanli phishing neden daha tehlikeli?
Bugünün oltacısı, “şifrenizi sıfırlayın” gibi basit numaralarla yetinmiyor. RMM tabanli phishing saldırıları, zararlı yazılım veya şüpheli dosya yerine, güvenilir ve yasal yazılımları kullanarak sisteme sızıyor. Buradaki anahtar kelime: meşruiyet. SimpleHelp ve ScreenConnect gibi araçlar, çoğu kurumun güvenlik duvarında yasaklı değil; hatta BT ekipleri için hayat kurtarıcı. Ama aynı zamanda, bir saldırganın da altın anahtarı olabilirler.
SimpleHelp ve ScreenConnect nasıl suistimal ediliyor?
Burada işin püf noktası, saldırganın tamamen yasal bir yazılımı, bir tür Truva Atı gibi sisteme sokması. Önce kullanıcıya, ABD Sosyal Güvenlik Kurumu’ndan gelmiş gibi görünen bir e-posta gidiyor. Klasik bir oltalama senaryosu; ama link, zararlı bir siteye değil, gerçek bir işletmenin hacklenmiş web sitesine bağlanıyor. E-postadaki sahte “SSA dokümanı” indirildiğinde ise, arka planda SimpleHelp uzaktan erişim aracı yükleniyor. Bunu açan kurban, aslında bir belge açtığını sanıyor, ama bir anda bilgisayarı arka kapıdan teslim ediyor.
Redundant dual-channel erişim ne demek?
Saldırganlar, yalnızca bir uzaktan erişim aracıyla yetinmiyor. SimpleHelp ve ScreenConnect’i aynı anda kurarak çift kanallı bir erişim mimarisi oluşturuyorlar. Yani, biri yakalanıp engellense bile, diğeri çalışmaya devam ediyor. Bu, evinizin hem ön hem arka kapısını açık bırakmak gibi bir şey. Böylece, güvenlik ekibi bir tehdidi yakalasa bile, siber saldırganlar sistemde kalmaya devam edebiliyor.
Phishing saldırılarında RMM araçlarının kullanımı yeni mi?
Aslında bu yaklaşım çok taze değil. Geçmişte TeamViewer veya AnyDesk gibi yazılımlarla benzer sızıntılar gördük. Fakat son dönem saldırılar, rutin güvenlik denetimlerini aşmak için daha özelleştirilmiş RMM araçlarıyla oynanıyor. Sektörün deneyimli isimlerine göre, burada asıl tehlike, zararlı yazılım tespit sistemlerinin yasal yazılımlara karşı “kör” kalması.
Sistemlere nasıl kalıcı oluyorlar?
Saldırganların kullandığı paketli yazılım, Windows servislerine kendini entegre ediyor. Ayrıca “self-healing watchdog” gibi özelliklerle, bir güvenlik programı tarafından kapansa bile, otomatik yeniden başlıyor. Her 67 saniyede bir, sisteme yüklenen güvenlik yazılımlarını tarayarak, tehdit seviyesini analiz ediyor. Kısacası; sadece içeri sızmakla yetinmiyor, aynı zamanda sistemde kalıcı olmak için her tür önlemi alıyorlar.
Kritik teknik detay: Yetki yükseltme
Buradaki can alıcı parça: Saldırgan, kurban bilgisayarda SYSTEM seviyesine çıkıyor. Basitçe, bilgisayardaki “her şeyi yapabilme” yetkisi. Bunu, SimpleHelp yazılımı içindeki bir bileşen olan ‘elev_win.exe’ ile gerçekleştiriyorlar. Şifreleri görebiliyor, ekranı okuyabiliyor ve tüm kullanıcı kaynaklarına sınırsız erişim sağlıyorlar.
Verilerle: Bu saldırılar ne kadar yaygın?
Securonix’in son raporuna göre, Nisan 2025’ten bu yana 80’den fazla kurum bu RMM tabanli phishing saldırısı ile uğraşmak zorunda kaldı. Red Canary ve Sophos gibi önemli araştırma firmaları, benzer saldırı kümelerini daha önce de analiz etmişti. İlginç olan; bu saldırıların çoğunun ABD merkezli büyük kurumları hedef alması ve arkasında kim olduğu tam olarak bilinmeyen finans odaklı grupların olması.
Uzmanlar ne diyor, neler yapılmalı?
Siber güvenlik uzmanlarına göre, birçok kurum, RMM yazılımlarını bir tehdit olarak görmediği için kolayca avlanabiliyor. Bu açığı kapatmak için, aşağıdaki adımlar kritik önem taşıyor:
- RMM araçlarının kurulumuna ve çalışmasına özel izleme politikaları uygulayın
- Çok faktörlü kimlik doğrulama (MFA) zorunlu kılın
- Kullanıcıları, oltalama e-postalarına karşı düzenli olarak eğitin
- Yetki yükseltme ve servis kurulumlarını anomali olarak izleyin
- Yasal yazılımların beklenmedik şekilde yüklenmesine karşı uyarı sistemleri kurun
- Sunucu ve cPanel şifrelerini düzenli değiştirin, brute force saldırılarına karşı koruyun
Yarının saldırılarına bugünden hazır mıyız?
Phishing saldırılarında RMM tabanli phishing yaklaşımı, tehditlerin “yeni normali” olmaya aday. Saldırganlar, güveninizi kazanan yazılımlar üzerinden sessizce içeri sızıyor; bazen aylarca kimsenin ruhu duymuyor. Teknolojiyi ne kadar yakından takip edersek edelim, sosyal mühendisliğin ve sistem açıklıklarının birleşimi önümüzdeki dönemde de işin rengini değiştirecek. Güvenlik politikalarını güncel tutmak, alışılmışın dışında davranan yazılımları anında tespit edebilmek ve ekibi bu yeni taktiklere karşı sürekli eğitmek, kurumlar için artık lüks değil zorunluluk.
Gelişmiş phishing analizleri: Türk kurumları için uyarılar
Türkiye’de de RMM tabanli phishing saldırılarının etkisini göstermeye başladığı görülüyor. Pek çok KOBİ ve büyük şirket, uzaktan erişim çözümlerini pandemi sonrası yaygınlaştırdığı için, saldırganın hedefi haline gelmek artık çok daha kolay. Özellikle yerli e-dönüşüm servisleri, muhasebe yazılımları ve ERP sistemlerine entegre edilmiş RMM çözümleri, saldırganların radarında. Türk kurumlarının yaşadığı tipik hatalar arasında aşağıdakiler öne çıkıyor:
- RMM erişimlerinin sıklıkla dışarıya açık portlarla sağlanması
- Yetkisiz ve plansız yazılım yükleme izinleri
- Remote desktop bağlantılarını, VPN gibi ek koruma olmadan doğrudan internetten erişime açmak
- Kullanıcı farkındalığının zayıf olması ve oltalama içeriklerinin hızla yayılması
Pratik öneri olarak, çalışanlarınıza RMM tabanlı tehdit senaryolarını içeren gerçek hayattan örneklerle kısa siber güvenlik eğitimleri düzenleyin. Yabancı bir BT desteği adıyla gelen e-postalara karşı, “şirket içinde yazılım güncellemeleri yalnızca BT’den gelir” şeklinde net politikalar belirleyin. Ayrıca, RMM bağlantılarını sadece whitelist IP listeleriyle sınırlandırmak, şirket için vazgeçilmez bir önlem olabilir.
Log izleme ve anomali tespiti: Pratik Türk çözümleri
Türkiye’de çoğu kurum log analizini ya hiç yapmıyor ya da sadece “gözden geçirme” düzeyinde bırakıyor. Halbuki, RMM tabanli phishing saldırılarında küçük bir log satırı, büyük bir krizden kurtarabilir. Özellikle şu tür loglara dikkat edilmeli:
- Beklenmeyen saatlerde (mesai dışı) yapılan RMM bağlantı istekleri
- VPN’siz dış IP’lerden aniden açılan erişim oturumları
- Çift kanal (dual channel) RMM erişimi kuran şüpheli dosya indirme aktiviteleri
- Kısa sürede yüksek yetkiyle yapılan sistem değişiklikleri
- Otomatik olarak indirilen SimpleHelp, ScreenConnect gibi dosya isimleri
Bu tür anomali tespitleri için SIEM (Security Information and Event Management) çözümleri veya ücretsiz açık kaynak log analizörleri kullanılabilir. Küçük ölçekli şirketler ise gün sonunda otomatik mail atan PowerShell betikleriyle de şüpheli RMM aktivitelerini takip edebilir. Özellikle, “yetki yükseltme” olaylarının alarm seviyesini yükseltmek Türk kurumları için hayati olabilir.
RMM tabanli phishing saldırıları erken nasıl fark edilir?
RMM tabanli phishing saldırılarını fark etmek için klasik antivirüs yazılımları yeterli olmayabilir. Pratikte şu yöntemler erken uyarı sağlayabilir:
- BT ekipleri için “beklenmedik yeni uygulama tespiti” bildirimleri aktif hale getirilmeli
- Kullanıcılar bilgisayarda yeni bir ikon, arka planda çalışan bilinmeyen bir işlem fark ederse hemen IT’ye bildirmeli
- Firewall ve IDS/IPS sistemlerinde, RMM yazılımlarının trafiği için özel kurallar oluşturulmalı
- Kurumsal kimlik doğrulama sistemlerinde RMM oturumları ayrı olarak loglanmalı ve sıkı takip edilmeli
Türkiye’de birçok kurumda BT ekibi ile kullanıcılar arasında iletişim kopukluğu yaşandığı için, bu tür “kültürel” önlemler de teknik çözümler kadar önemli.
Sosyal mühendislik ve Türk kullanıcı alışkanlıkları
Sosyal mühendislik, RMM tabanli phishing saldırılarında saldırganların en büyük silahı haline geldi. Türk kullanıcılarının genellikle meraklı ve yardımsever yaklaşımları, beklenmedik durumlarda hızlıca dosya indirme veya bağlantı tıklama eğilimi oluşturuyor. Kurumlar, çalışanlarını özellikle şu konularda bilgilendirmeli:
- Kimden geldiği tam olarak doğrulanamayan her e-posta riskli kabul edilmeli
- “BT’den geliyoruz, bilgisayarınıza uzaktan bağlanmamız gerekiyor” şeklindeki talepler mutlaka ikinci bir kanaldan teyit edilmeli
- Çalışma arkadaşlardan gelen olağan dışı yazılım yükleme isteklerine karşı dikkatli olunmalı
Özetle, sosyal mühendisliğe karşı uyanık kalmak, Türk kurumlarında RMM tabanli phishing riskini ciddi şekilde azaltabilir.
Uzaktan yönetim çözümlerinin güvenliğini artırmak için ileri düzey önlemler
Eğer şirketiniz mutlaka RMM araçları kullanmak zorundaysa, güvenliği artırmak için ileri seviye şu adımlar pratikte çok işe yarayabilir:
- RMM araçlarını sadece şirket içi ağda, VPN arkasında çalıştırmak
- Tüm RMM bağlantıları için IP kısıtlaması yapmak ve yedekli firewall kuralları tanımlamak
- Yazılım yükleme ve yetki arttırma işlemlerini anlık olarak takip eden EDR (Endpoint Detection & Response) çözümleri kullanmak
- Kapsamlı parola yöneticileriyle tüm erişim bilgilerini düzenli olarak yenilemek
- RMM yazılımlarında “audit log” özelliğini aktif şekilde tutmak ve günlük olarak kontrol etmek
Bununla birlikte, USOM ve CyberMavi gibi Türkiye merkezli siber güvenlik otoritelerinin yayınladığı güncel duyuruları takip etmek, olası RMM tabanli phishing saldırılarına karşı hazırlıklı olmanızı kolaylaştıracaktır.
Sonuç: Güvenliğin yeni sınavı RMM tabanlı phishing
RMM tabanli phishing artık sıradan bir oltalama saldırısından çok daha fazlası. Yasal araçların sinsi kullanımı, sosyal mühendislik ve teknik “arka kapı” kombinasyonu, kurumların savunma reflekslerini test ediyor. Türk kurumları ve bireyleri, klasik güvenlik önlemlerinin “yeni nesil” tehditlere karşı yetersiz kalabileceğinin farkında olmalı. Hem teknolojik, hem de insan tabanlı önlemlerle, bu görünmez saldırılara karşı hazırlıklı olmak artık bir tercih değil, bir zorunluluk.
Sıkça Sorulan Sorular
