28 Ekim 2025

Siber Güvenlik Bülteni - Ekim 2025

 

Bültenimizin Ekim Ayı konu başlıkları; 
    • Hacking Team Geri Döndü
    • Oracle EBS’yi Vuran Kritik Sıfırıncı Gün Açığı
    • Windows 10’un Sonu, Siber Tehditlerin Başlangıcı mı?
    • JLR Hack: Tek Bir Saldırı, 5000 Kurumu ve 2.5 Milyar Dolarlık Ekonomiyi Vurdu
    • Fortinet’ten Arka Arkaya Kritik Güvenlik Uyarıları: FortiOS, FortiPAM ve FortiSwitch Manager

    Hacking Team Geri Döndü

    Kaspersky, Mart 2025’te kişiselleştirilmiş oltalama e-postalarıyla (spear phishing) hedeflenen bir kampanya tespit etti. Bulaşmayı başlatmak için başka bir işlem yapılmasına gerek yoktu; Google Chrome veya başka bir Chromium tabanlı web tarayıcısı kullanarak kötü amaçlı web sitesini ziyaret etmek yeterliydi. CVE-2025-2783

    Saldırganlar, hedeflere Primakov Readings forumuna davet ediliyormuş gibi görünen kişiselleştirilmiş e-postalar gönderdiler. Bu sebeple kampanya Operation ForumTroll olarak adlandırıldı. Hedefler arasında Rusya’daki medya kuruluşları, üniversiteler, araştırma merkezleri, devlet kuruluşları, finansal kurumlar ve benzer kuruluşlar bulunuyordu. Kötü amaçlı yazılımların işlevselliği ve hedef seçimi, operasyonun istihbarat / casusluk amaçlı olduğunu gösteriyor.
     
    Saldırı zinciri

    1. Oltalama e-postası (spear phishing):
      • E-postalar gerçekçi ve kişiselleştirilmişti; alıcıların bağlantıya tıklaması hedeflendi.
      • Önemli: Bağlantılar çok kısa ömürlüydü, tespit etmeyi zorlaştırmak için tasarlanmıştı.
    2. Kötü amaçlı web sitesi & Validator:
      • Ziyaretçi, kötü amaçlı siteye yönlendirilince bir doğrulama (validator) betiği çalışıyordu.
      • Validator, WebGPU API kullanarak sunucudan gelen verinin SHA‑256 hashini hesaplıyor ve ortamın gerçek bir kullanıcı / gerçek tarayıcı olduğunu doğruluyordu. Bu, otomatik tarayıcı botlarını ve sandbox/analiz sunucularını atlatmak için kullanılıyordu.
      • Doğrulama başarılı olursa, sunucu ECDH ile paylaşılan anahtar üzerinden AES‑GCM ile şifrelenmiş bir sonraki aşamayı gönderiyordu.
    3. Sandbox kaçış exploit’i (CVE-2025-2783):
      • CVE-2025-2783, Chrome’un sandbox korumasını aşmaya yönelik sofistike bir sıfır gün açığıydı.
      • Exploit, Chrome’un çoklu süreç mimarisi ve süreçler arası iletişim (Mojo / ipcz) mekanizmalarını hedefleyerek renderer (tarayıcı içeriği) süreçlerinden tarayıcı sürecine erişim sağlamayı deniyordu.
      • Önemli: Bu açığın keşfi sonucunda Google’a raporlandı ve Chrome 134.0.6998.177/.178 sürümlerine dahil edilen güvenlik düzeltmeleriyle kapatıldı. (CVE-2025-2783)
    4. Kalıcı yükleyici & sistem entegrasyonu:
      • Başarılı kaçış sonrası saldırganlar, COM hijacking gibi yöntemlerle kötü amaçlı DLL’leri sistem süreçlerine yükleyerek kalıcılık sağladılar.
      • Yükleyici, makineyi benzersiz şekilde tanımlamak için BIOS UUID gibi verilerle ilişkilendirme yapıyordu.
    5. Payload’lar — LeetAgent ve Dante:
      • LeetAgent: ForumTroll kampanyasında görülen, daha “klasik” işlevlere sahip casus yazılım: komut çalıştırma, süreç yönetimi, dosya okuma/yazma, keylogging ve veri sızdırma.
      • Dante: Daha sofistike, Memento Labs (eski Hacking Team) kökenli olduğu tespit edilen ticari seviyede bir spyware. Anti-analiz ve anti-debug teknikleriyle donatılmış, modüler ve şifreli konfigürasyon yönetimi yapabilen bir yazılım. Kod benzerlikleri Dante’nin Hacking Team’in altyapısından türediğini gösteriyor.
     Neden Dante önemli?
    • Dante, Hacking Team’in yeniden yapılanmasından sonra 2022 civarında ortaya çıkan ve uzun süre gizli kalmış bir spyware olarak dikkat çekiyor.
    • Kodu ve altyapısı incelendiğinde, daha önce Memento Labs/Hacking Team ile ilişkilendirilen araç setleriyle anlamlı benzerlikler bulundu. Bu da hem araç sağlayıcısı hem de operasyonel ilişkilendirme açısından kritik bir ipucu sağlıyor.
    • Uzmanlar, Dante ve ForumTroll kampanyasını yıllara yayılan saldırıları takip ederek bağdaştırdı; bu da uzun süreli istihbarat çalışmasının önemini gösteriyor.
     
    Sonuç ve Öneriler
    • Kullanıcı odaklı savunma yetersiz: Kişiselleştirilmiş oltalama mesajları hâlâ en etkili giriş yollarından biri. Eğitim + teknik kontroller birlikte yürütülmeli.
    • Tarayıcı güvenliği kritik: Chromium tabanlı tarayıcılar için hızlı güncelleme, izolasyon politikaları ve sandbox davranışlarını izleyen telemetri hayati.
    • E-posta/URL izleme: Kısa ömürlü linkler ve kişiselleştirilmiş payload’lar için gelişmiş e‑posta analitiği ve URL emülasyonu/izleme çözümleri önemli.
    • Tehdit istihbaratı ve korelasyon: Uzun süreli APT kampanyalarını yakalamak için olayları zaman içinde bağdaştıran merkezi izleme (SIEM/TI) zorunlu.
    • Tedarikçi ve üçüncü taraf denetimi: Ticari casus yazılımların ortaya çıkması, araç sağlayıcıların takibi ve tedarik zinciri güvenliğinin önemini artırıyor.

    Oracle EBS’yi Vuran Kritik Sıfırıncı Gün Açığı

    Son zamanlarda yaması yayınlanan Oracle E-Business Suite (EBS) sıfırıncı gün güvenlik açığı hakkında yeni bilgiler ortaya çıktı. Kanıtlar, tehdit aktörlerinin bu güvenlik açığından yama yayınlanmadan en az iki ay önce haberdar olduğunu gösteriyor.

    Google Threat Intelligence Group (GTIG) ve Mandiant2 Ekim tarihinde Oracle E-Business Suite’i hedef alan saldırılara karşı ilk uyarıyı yaptı. Bu uyarı, birçok kurum yöneticisinin Cl0p siber suç grubundan şantaj e-postaları alması sonrasında geldi.

    Daha sonra, saldırıların Cl0p grubu tarafından gerçekleştirildiği doğrulandı ve siber suçluların muhtemelen Ağustos ayından bu yana hedef alınan kuruluşların EBS sistemlerinden büyük miktarda veri çaldığı ortaya çıktı.

    Oracle, ilk etapta saldırıların Temmuz ayında yamalanan ancak belirtilmemiş bazı güvenlik açıklarının istismarıyla ilişkili olduğunu açıkladı. Ancak şirket, 4 Ekim tarihinde bir sıfırıncı gün (zero-day) açığın da istismar edildiğini doğruladı.

    Bu sıfırıncı gün açığı, CVE-2025-61882 olarak izleniyor ve CVSS puanı 9.8. Açık, Oracle Concurrent Processing’in BI Publisher Integration bileşenini etkiliyor. Kimliği doğrulanmamış bir saldırgan, bu açığı kullanarak uzaktan kod yürütme (remote code execution) gerçekleştirebiliyor.

    Uzmanlartam emin olmamakla beraber Rusya bağlantılı “Graceful Spider” adlı tehdit aktörüne bağlıyor. Graceful Spider, Cl0p fidye yazılımı saldırılarıyla biliniyor. Ancak uzmanlar, birden fazla grubun aynı sıfırıncı gün açığını istismar etmiş olabileceğini belirtiyor.

    Şu ana kadar toplanan veriler sıfırıncı gün açığının ilk kez 9 Ağustos’ta istismar edildiğini gösteriyor.

    ShinyHunters ve Scattered Spider (artık iş birlikleri sonucu “Scattered LAPSUS$ Hunters” adını kullanıyorlar) adlı hacker grupları, CVE-2025-61882 için bir proof-of-concept (PoC) istismar kodu yayımladı.

    Başlangıçta, Scattered LAPSUS$ Hunters grubunun Cl0p hacker’larıyla iş birliği yaptığı düşünülse de, yayınlanan PoC dosyalarından birinde yer alan bir mesaj, tehdit grupları arasında bir anlaşmazlık (çatışma) bulunduğunu gösteriyor.

    Oracle tarafından paylaşılan saldırı göstergeleri (IoC’ler)sızdırılan PoC’un gerçek olduğunu ima ediyordu. Bu durum, siber güvenlik firması tarafından yapılan PoC analizinde kesin olarak doğrulandı.

    Firma:

    “İstismar zinciri, en az beş farklı güvenlik açığının birlikte orkestre edildiği, yüksek düzeyde teknik beceri ve çaba gerektiren bir yapıya sahip. Bu sayede kimlik doğrulaması gerekmeksizin uzaktan kod yürütme elde ediliyor.”

    PoC’un artık halka açık hale gelmesiyle, siber güvenlik endüstrisi diğer tehdit aktörlerinin de CVE-2025-61882’yi silah envanterlerine eklemesini bekliyor. Ayrıca saldırganların hedef seçecek çok sayıda sistem bulma olasılığı hâlâ yüksek.

    İnternete açık durumda bulunan 2.000’den fazla Oracle E-Business Suite örneği tespit edildi. Shadowserver Foundation ise 570’den fazla potansiyel olarak savunmasız örnek belirledi. En fazla EBS örneğinin ABD’de, ardından Çin’de bulunduğu raporlandı.

    Windows 10’un Sonu, Siber Tehditlerin Başlangıcı mı?

    Windows 10’un destek süresi (End of Support - EOS) 14 Ekim 2025 itibarıyla sona erdi. Ancak işletim sistemi hâlâ yüz milyonlarca cihazda çalışmaya devam ediyor.

    Windows 10’un destek süresinin sona ermesiyle birlikte, Microsoft artık bu işletim sistemi için ücretsiz yazılım güncellemeleri, teknik destek veya güvenlik yamaları sağlamayacak.

    Windows 10 çalıştıran bilgisayarlar çalışmaya devam edecek, ancak yeni tehditler ortaya çıktıkça ve güvenlik yamaları yayınlanmadıkça, kötü amaçlı yazılımlar ve diğer siber saldırılar karşısında giderek daha savunmasız hale gelecekler.

    Microsoft, Windows 11’e hemen geçiş yapamayan kullanıcılar için Extended Security Updates (ESU) adlı yeni bir program başlattı.

    Bu programa katılarak 13 Ekim 2026’ya kadar güvenlik güncellemeleri alabilmek için:

    • Bireysel kullanıcılar 30 dolar,
    • Kurumsal kuruluşlar ise cihaz başına 61 dolar ödeyecek.

    Kuruluşlar için bu fiyat, ESU hizmetini üç yıla kadar uzatmak isteyenler için her yıl iki katına çıkacak.

    Ayrıca, Microsoft kısa süre önce Avrupa Ekonomik Alanı (EEA) içindeki kullanıcılar için ESU’nun ücretsiz olacağını da duyurdu.

    Kaç kullanıcının ESU programına dahil olacağı belirsiz, ancak önümüzdeki aylarda çok sayıda cihazın savunmasız hale gelmesi bekleniyor. Çünkü Windows 10 hâlâ en az %40 pazar payına sahip görünüyor.

    Microsoft’un son yıllarda paylaştığı verilere göre, Windows kullanıcı sayısı bir milyarın üzerinde. Bu da yüz milyonlarca bilgisayarın hâlâ Windows 10 çalıştırdığı anlamına geliyor.

    JLR Hack: Tek Bir Saldırı, 5000 Kurumu ve 2.5 Milyar Dolarlık Ekonomiyi Vurdu

    Ağustos 2025’te Jaguar Land Rover’a (JLR) yönelik gerçekleştirilen siber saldırı, bağımsız bir kuruluşa göre, Birleşik Krallık’ta şimdiye kadar yaşanan ekonomik açıdan en yıkıcı siber olay oldu.

    Cyber Monitoring Centre (CMC) adlı, siber olayların etkisini ölçmek amacıyla Şubat 2025’te kurulan Birleşik Krallık merkezli bağımsız kuruluş22 Ekim tarihli raporunda otomobil üreticisine yönelik siber saldırıyla ilgili bulgularını paylaştı.

    Kuruluş, siber saldırının Birleşik Krallık ekonomisinde 1,9 milyar sterlin (2,55 milyar dolar) düzeyinde bir mali etki yarattığını ve 5000’den fazla İngiltere merkezli kuruluşu etkilediğini tahmin ediyor.

    CMC, bu maliyetin “operasyonel teknolojinin ciddi şekilde etkilenmesi veya üretimin olay öncesi seviyelere dönmesinde beklenmedik gecikmeler yaşanması durumunda daha da artabileceğini” belirtti.

    Bu maliyet tahminini yapmak için CMC, JLR’nin üretim süreçlerinde yaşanan büyük aksaklıklarıçok katmanlı tedarik zinciri etkilerini ve otomobil bayileri gibi alt düzey kuruluşlarda yaşanan kesintileri dikkate aldı.

    CMC’ye göre, mali etkinin büyük çoğunluğu, JLR ve tedarikçilerindeki üretim kayıplarından kaynaklandı.

    Raporda şöyle denildi:

    “Olay, JLR’nin iç BT ortamını etkileyerek bir BT kapatmasına ve küresel üretim operasyonlarının durmasına neden oldu; buna İngiltere’deki büyük tesisler; Solihull, Halewood ve Wolverhampton fabrikalarıda dahil. Üretim hatları haftalarca durduruldu, bayii sistemleri aralıklı olarak devre dışı kaldı ve tedarikçiler, iptal edilen veya ertelenen siparişlerle karşı karşıya kaldı; gelecekteki sipariş hacimleriyle ilgili belirsizlik oluştu.”

    CMC analistleri, bir siber olayın toplam maliyetini değerlendirmek için altı farklı metriği kullanıyor:

    • İş kesintisi kayıpları,
    • Olay müdahalesi,
    • BT yeniden inşa ve kurtarma maliyetleri,
    • Tedarik zinciri iş kesintisi maliyetleri gibi göstergeler.


    Daha sonra, olaydan etkilenen kişi sayısını tahmin ediyor ve her olayı, toplam maliyet ve etkilenen kişi sayısına göre kategorize ediyorlar. 

    JLR saldırısının muazzam mali kaybı ve bağlantılı işletmelerdeki geniş çaplı kesintiler, tek bir olayın nasıl küresel ölçekte birbiriyle bağlantılı sistemleri zincirleme etkileyebileceğini ve ilk hedefin çok ötesinde büyük zararlar yaratabileceğini açıkça gösteriyor.

    Uzmanlar ise CMC tarafından tahmin edilen toplam finansal kaybın, JLR’ye yönelik saldırının gerçek maliyetinden çok uzak olabileceğini belirtti ve ekledi.

    1,9 milyar sterlinlik tahmin edilen kayıp, toplam zararın yalnızca küçük bir kısmını temsil ediyor olabilir; sadece halihazırda ortaya çıkmış ve ölçülebilir kayıpları yansıtıyor.” dedi.

    “Örneğin, JLR’nin değerli ticari sırlarının çalınması ve bunların düşman devletlerdeki rakip şirketler tarafından kullanılması, uzun vadede çok daha büyük mali kayıplara neden olabilir. Hatta bu durum, ekonomik belirsizlik ve yaklaşan mali kriz ortamında JLR’nin iflasıyla sonuçlanabilir.

    “Buradaki asıl endişe verici senaryo; düşman bir devletin, JLR büyüklüğünde ve ulusal öneme sahip 20-30 İngiliz şirketine, kritik altyapı sağlayıcıları da dahil, aynı anda saldırması. Bu durumda, ülke bir süreliğine internetsiz, hatta su ve elektriksiz kalabilir; bunun ötesinde, ekonominin çökmesi ve İngiliz borsasının yıkılması bile mümkündür.”

    Fortinet’ten Arka Arkaya Kritik Güvenlik Uyarıları: FortiOS, FortiPAM ve FortiSwitch Manager

    Fortinet, Ekim 2025 itibarıyla iki farklı ürün grubunda yüksek önem dereceli güvenlik açıkları tespit edildiğini duyurdu.
    Bu açıklar, FortiOS işletim sistemiFortiPAM ayrıcalıklı erişim yönetimi çözümü ve FortiSwitch Manager ağ yönetim aracı üzerinde ciddi güvenlik riskleri oluşturuyor.
     

    FortiOS CLI Komut Atlama (Command Bypass) Açığı - CVE-2025-58325

    14 Ekim 2025 tarihinde açıklanan bu açık, yerel kimliği doğrulanmış saldırganların sistem üzerinde rastgele komutlar çalıştırabilmesine neden olabiliyor.

    CVE-2025-58325 olarak izlenen zafiyet, CLI bileşenindeki hatalı işlev uygulamasından (CWE-684) kaynaklanıyor ve yetki yükseltmeye (privilege escalation) yol açabiliyor.
    • CVSS v3.1 Puanı: 7.8 (Yüksek Öncelikli)
    • Etki: Rastgele sistem komutu çalıştırma, cihaz kontrolünün ele geçirilmesi
    • Saldırı Türü: Yalnızca yerel erişim gerektiriyor, kullanıcı etkileşimi yok
    Bu açık, yüksek ayrıcalıklara sahip yerel kullanıcıların kötü amaçlı CLI komutları yazarak sistem kısıtlamalarını atlatmasına olanak tanıyor.

    Sonuç olarak, saldırgan cihaz üzerinde tam kontrol sağlayabilir, veri sızdırabilir veya ağı ele geçirebilir.

    Fortinet PSIRT ekibinden François Ropert tarafından keşfedilen bu açık, 100E/101E serisinden 7000F modeline kadar birçok üst düzey cihazı etkiliyor.

    Etkilenen Sürümler ve Çözümler
     
    FortiOS Sürümü    Etkilenen Yapılar    Önerilen Çözüm
    7.67.6.07.6.1 veya üzeri sürüme yükseltin
    7.47.4.0 – 7.4.57.4.6 veya üzeri sürüme yükseltin
    7.27.2.0 – 7.2.107.2.11 veya üzeri sürüme yükseltin
    7.07.0.0 – 7.0.157.0.16 veya üzeri sürüme yükseltin
    6.4Tüm sürümlerYamalı bir sürüme geçiş yapın

    Fortinet, müşterilere derhal sistem güncellemelerini uygulamalarını ve CLI günlüklerini (logs) anormal aktiviteler açısından izlemelerini tavsiye ediyor. Bu zafiyet FG-IR-24-361 referans numarasıyla takip ediliyor ve CLI yönetiminde “en az ayrıcalık ilkesi”nin uygulanması gerektiğini vurguluyor.
     


    FortiPAM ve FortiSwitch Manager Kimlik Doğrulama Zafiyeti - CVE-2025-49201

    Aynı gün, Fortinet, ikinci bir kritik güvenlik açığını daha duyurdu. Bu açık, saldırganların brute-force (kaba kuvvet) yöntemleriyle kimlik doğrulama mekanizmasını tamamen atlatmasına izin veriyor.

    CVE-2025-49201 olarak izlenen zafiyet, Web Application Delivery (WAD) ve Graphical User Interface (GUI) bileşenlerindeki zayıf kimlik doğrulama yapısından (CWE-1390) kaynaklanıyor.
    • CVSS v3.1 Puanı: 7.4 (Yüksek Öncelikli)
    • Etki: Yetkisiz kod yürütme veya komut enjeksiyonu (command injection)
    • Sonuç: Uzak saldırganların etkilenen sistemler üzerinde tam kontrol elde etmesi
    Bu açık, FortiPAM (Privileged Access Management) ürününün birden fazla sürümünü ve FortiSwitch Manager 7.2 serisini etkiliyor.

    Etkilenen Sürümler ve Çözüm Yolu
     
    ÜrünEtkilenen Sürüm(ler)Çözüm / Öneri
    FortiPAM 1.7Etkilenmiyor
    FortiPAM 1.6Etkilenmiyor
    FortiPAM 1.51.5.01.5.1 veya üzeri sürüme yükseltin
    FortiPAM 1.41.4.0 – 1.4.21.4.3 veya üzeri sürüme yükseltin
    FortiPAM 1.3 / 1.2 / 1.1 / 1.0Tüm sürümlerYamalı sürüme geçiş yapın
    FortiSwitch Manager 7.27.2.0 – 7.2.47.2.5 veya üzeri sürüme yükseltin
    FortiSwitch Manager 7.0Etkilenmiyor

    Fortinet, bu açığın ağ erişimi gerektirdiğini ancak ısrarlı brute-force denemeleriyle zaman içinde istismar edilebileceğini belirtti.

    Şu ana kadar herhangi bir kamuya açık exploit yayımlanmadı, ancak çok faktörlü kimlik doğrulamanın (MFA) geçici önlem olarak uygulanması tavsiye ediliyor.

    Açık, Fortinet Ürün Güvenliği ekibinden (PSIRT) Gwendal Guégniaud tarafından iç araştırmalar sonucunda keşfedildi ve 14 Ekim 2025’te FG-IR-25-010 referans numarasıyla yayımlandı.

    Ve Tüm Bu Siber Saldırılara Karşı
    TINA Çözümlerimiz;

    Bültenimizde yer alan haberlerdeki problemlerin temel çözümü olarak geliştirdiğimiz son teknolojimizle tanıştınız mı?


    Uzaktan erişim gereksinimlerinizin sonucunda ortaya çıkan risklerinizi sıfıra kadar indiren, ek bir güvenlik katmanı olarak esnek erişim kontrolünü sağlayan son ZTNA teknolojimizi tanımanızı isteriz.

    Bizi arayın: 0216 450 25 94
    [email protected]

    En son TINA teknolojimiz ile sunucularınızı, hatta firewall'unuzu dahi korumaya alan, en çok korktuğunuz tehditlere kökünden çözüm sunan çalışmalarımızı ve mevcut Advanced Threat Protection ürünlerimizi sizinle paylaşmamız için ONLINE TANITIM talebinizi buradan da başlatabilirsiniz.

    Popüler Yayınlar