arkadaşlar, kuzey koreli saldırganlar jade sleet diye bilinen grup yine bir hint it şirketini hacklemiş. sentinelone’un açıklamasına göre bu sefer de geliştirici hedef alıp oradan daha büyük ağlara sızmışlar. klasik jade sleet taktikleri işte: “sen git git geliştiricileri hackhle, sonra onlar aracılığıyla başka şirketleri hackle” yöntemi.

neler olmuş kısaca

spoiler: bu açık aktif olarak sömürülüyor ve hala da devam ediyor muhtemelen.

jade sleet grubu (aynı lazarus’un akrabaları gibi düşün, kuzey kore’den), bir hint it şirketine saldırmış. bu şirket “çok daha küçük” bir kuruluş olarak tanımlanmış, yani hedef seçilme sebebi muhtemelen bağlantıları. neden? çünkü bu it şirketinin daha büyük müşterileri var ve onlara erişim sağlayabiliyor.

…

arkadaşlar, ciddi bir malware olayı var. threat actor’lar clickfix tarzı sahte güncelleme sayfalarını kullanarak chainscript adında yeni bir uzaktan erişim trojanı (RAT) dağıtıyorlar. bu şey ciddi ciddi kötü, hemen okuyun şunu.

ne olmuş yani?

blackpoint adversary pursuit group (apg) adlı araştırmacılar, clickfix’e benzer sahte güncelleme lures’larının chainscript adlı bilinmeyen bir RAT’ı dağıttığını tespit etmiş. bu malware’in çeşitli build isimleri var: componenttask33, updatedigital, hostshared, orchidviolet66 falan. hepsi de spotify, zoom workplace ve microsoft teams gibi görünüyor, ama aslında kötü niyetli.

…

arkadaşlar, microsoft yine başını belaya soktu. eylül 2026 güvenlik güncellemelerini kurduktan sonra windows’un içinde gömülü file history (dosya geçmişi) yedekleme özelliği bazı sistemlerde çalışmayı durduruyor. spoiler: bu da demek oluyor ki yamanız sonra yedekleriniz tutmayabilir, çok güzel.

neler oluyor?

microsoft uyarısına göre, eylül ayı güvenlik yaması kurulduktan sonra file history özelliği çalışmıyor. yani şu ana kadar “geçen haftaki dosyamı geri getir” diyebildiğiniz şey artık yanıt vermeyebiliyor. klasik microsoft hareketi işte - bir şeyi düzeltmeye çalışırken başka bir şeyi bozuyor.

…

arkadaşlar, crowdsec’in başına bir iş gelmiş. mayıs ayında tanstack’e yapılan supply chain saldırısından dolayı crowdsec’in kaynak kodunun çalındığı ortaya çıktı. yani şöyle ki, saldırganlar zincir boyunca ilerleyerek crowdsec’e de ulaşmışlar. bu da demek oluyor ki, eğer crowdsec kullanıyorsanız dikkat etmeniz lazım.

ne oldu kısacası

crowdsec, kendi kaynak kodunun çalındığını doğruladı. bunun sebebi mayıs 2026’daki tanstack supply chain saldırısı. yani saldırganlar tanstack kütüphanesini ele geçirdikten sonra, bunu kullanan diğer projelere de sızmışlar. crowdsec de bu zincirin bir parçası olmuş maalesef.

…

arkadaşlar, bu sefer biraz tuhaf bir güvenlik haberi var. viral olan o ai sunucu tilly norwood denen şey, piers morgan’ın programında çinceye geçip duran o, işte onun “talking tilly” video call servisi var. bu servis her arayan kişinin yüzünü tarayıp, ciddi ciddi ruh halini analiz ediyor. yani siz konuşurken, yapay zeka sizin “bugün nasılsınız” diye değil, yüzünüzü okuyarak “hmm, bu adamın bugün kötü günü var” diye anlıyor. ve tabii ki 18+ yaş kontrolü yapıyor. spoiler: bu hizmet 27 eylül’de kapanıyor, yani son günler bunlar.

…

arkadaşlar, Forever Security’den Gal Weizman adında bir araştırmacı ortaya çıkardı ki, Chrome, Edge, Opera Neon, Perplexity Comet ve Claude gibi popüler tarayıcılardaki AI asistanlarını ele geçirebiliyorsunuz sadece bir tane kötü niyetli eklenti ile. BragJack diyorlar buna, ve işin en korkutucu tarafı da şu: bu saldırı çok basit, çok etkili, ve şu an ortada.

nedir bu bragjack işi?

kısacası, “prompt forcing” denen teknik kullanılarak AI asistanlarının kafa karıştırılıyor. yani siz ne istiyorsanız söyleyin, bu kötü niyetli eklenti AI’nin kafasını karıştırıp bambaşka şeyler yaptırtabiliyor. CVE-2025-XXXXX ve CVE-2025-YYYYY zafiyetleri bu işin temel nedeni.

…

arkadaşlar, openai’nin codex’inde ciddi bir şey bulunmuş. araştırmacılar sandbox’tan kaçış yolunu bulmuşlar, yani yapay zekanın çalıştığı ortamdan sıyrılıp ana makinede komut çalıştırmayı başarmışlar. openai hemen yamaladı ama şunu bi dinleyin, bu tür açıklar nasıl oluşuyor, ne yapabilirsiniz diye yazıyorum.

neler bulundu?

araştırmacılar iki farklı sandbox kaçış tekniği keşfetmişler:

1. birinci yöntem: codex’in en kilitli modunda bile ana makinede komut çalıştırabilme
2. ikinci yöntem: başka bir sandbox kaçış tekniği (openai detayları açıklamış ama tam tekniği vermemiş, güvenlik sebebiyle)

spoiler: bu açıklar aktif olarak test edilmiş ve openai tarafından doğrulanmış. yani gerçek tehdit, hayali değil.

…

arkadaşlar, npm paketlerinde yeni bir taktik ortaya çıktı ve bu sefer çocuk oyuncağı değil. threat actor’lar artık kurulum sırasında kötülük yapmıyor, paket yüklenip çalışmaya başladığında devreye giriyor. yani sizin güvenlik kontrolleri boş kalıyor, klasik.

ne olmuş yani?

npm ekosisteminde “indexed-btree” adında bir paket bulunmuş ve bu paket malware taşıyor. ama burada önemli olan şey: saldırganlar geleneksel install-script defenses’ini atlatmış. kısacası, paket yüklenirken hiçbir şüpheli şey olmuyor, ama çalışmaya başladığında boom, kötü şeyler başlıyor.

…

arkadaşlar, npm ekosisteminde yeni bir kötü amaçlı kampanya var ve bu sefer işler biraz farklı. ‘indexed-btree’ adlı bir paket üzerinden yürütülen bu saldırıda, kötü niyetli tipler klasik install script yöntemini değil, paketin normal çalışma zamanı davranışını kullanarak güvenlik önlemlerini atlıyorlar. yani artık sadece npm install sırasında değil, paket çalıştığında da dikkatli olmanız gerekiyor.

ne oluyor yani?

şöyle ki agalar, normalde npm’deki kötü amaçlı paketler genelde install scriptleri içinde zararlı kod çalıştırırlardı. siz npm install dediğinizde hop, arka planda bi şeyler dönüyordu. ama artık güvenlik araçları bu install scriptlerine çok dikkat ediyor, o yüzden saldırganlar yeni bir yöntem bulmuş: zararlı kodu paketin normal çalışma zamanına gizlemek.

…

arkadaşlar, bugün biraz farklı bir konuya giriyoruz. saldırı tespit etme, zafiyet yamalama falan değil de daha temelden bir konu: kimlik görünürlüğü (identity visibility). “ya ne alaka” diyebilirsiniz ama beni dinleyin, verizon’un yıllık data breach raporlarına bakarsanız çalınan ve kötüye kullanılan kimlik bilgileri hala en sık kullanılan ilk erişim yöntemi. yani adam sizin sistemlere giriyorsa, büyük ihtimalle çaldığı bir kullanıcı adı-şifre ile giriyor.

nedir bu kimlik görünürlüğü meselesi

şöyle düşünün: elinizde 500 çalışan var, her birinin 10-15 farklı sisteme erişimi var, bir de bulut ortamları var, multicloud falan derken kim neye erişebiliyor, hangi yetkiler var, hangi hesaplar aktif kullanılıyor, hangileri unutulmuş durumda - bunların hepsini görebiliyor musunuz? işte kimlik görünürlüğü tam olarak bu.

…