arkadaşlar, yapay zeka asistanları (ai agents denen şeyler) son zamanlarda çok popüler olmaya başladı, özellikle developer ve sistem yöneticisi arkadaşlar arasında. ama şunu söylemek lazım: bu yeni oyuncaklar güvenlik önceliklerimizi tamamen değiştiriyor ve işler biraz karışık.

ne oluyor peki?

şöyle ki, bu ai asistanları artık sadece sohbet eden botlar değil. bilgisayarınıza erişebiliyorlar, dosyalarınızı okuyabiliyorlar, online servislerinize bağlanabiliyorlar ve neredeyse her işi otomatikleştirebiliyorlar. kulağa harika geliyor değil mi? ama işin içinde ciddi güvenlik riskleri var.

…

arkadaşlar, github’da yeni bir malware kampanyası tespit edilmiş. boryptgrab diye bir stealer var, 100’den fazla sahte repository üzerinden dağıtılıyor. klasik sosyal mühendislik hareketi, open source proje gibi görünüyorlar ama içinde malware var.

ne var ne yok bu işte

boryptgrab isimli bu stealer şunların peşinde:

• tarayıcı verileri (şifreler, çerezler, otomatik doldurma bilgileri)
• kripto para cüzdanları (metamask, trust wallet falan)
• sistem bilgileri
• kullanıcı dosyaları

yani kısacası elinizde ne varsa almaya çalışıyor. özellikle kripto para cüzdanlarına göz dikmiş, o yüzden kripto işi yapanlar dikkat.

…

arkadaşlar, velvet tempest denen fidye yazılımı grubu yine iş başında. bu sefer clickfix tekniğini kullanarak termite ransomware’i dağıtıyorlar. işin ilginç yanı, windows’un kendi araçlarını kullanarak donutloader ve castlerat denen arka kapıyı sisteme yerleştiriyorlar. klasik “meşru araçlarla kötü iş” hikayesi yani.

olay nasıl gelişiyor

velvet tempest grubu (microsoft’un storm-0875 dediği tipler), clickfix denen sosyal mühendislik tekniğini kullanıyor. şöyle ki:

• kullanıcıya sahte bir hata mesajı gösteriyorlar
• “sorunu çözmek için” bir düğmeye tıklamasını istiyorlar
• tıklayınca aslında kötü niyetli powershell komutları çalışıyor
• bu komutlar donutloader’ı indirip çalıştırıyor
• sonra castlerat arka kapısı sisteme yerleşiyor
• en sonunda termite fidye yazılımı devreye giriyor

spoiler: bütün bunlar windows’un meşru araçları (powershell, mshta, rundll32) kullanılarak yapılıyor, yani antivirüs atlatma şansları yüksek.

…

arkadaşlar, amerika’nın yeni siber güvenlik stratejisi yayınlandı. trump yönetimi bu sefer işi ciddiye almış görünüyor. deterrence (caydırıcılık) diyorlar, yani “bize saldırırsanız size de saldırırız” modeli. ayrıca federal ağların modernizasyonu, kritik altyapı koruması ve yapay zeka + kuantum sonrası kriptografi gibi konulara yatırım yapılacakmış.

şimdi “biz türkiye’deyiz, bizi niye ilgilendiriyor?” demeyin. abd’nin siber güvenlik politikaları global standartları belirliyor. yani bugün orada alınan kararlar, yarın bizim kullandığımız microsoft, cisco, amazon gibi firmaların ürünlerini etkiliyor.

…

arkadaşlar, pakistan merkezli transparent tribe diye bilinen hacker grubu artık yapay zeka kullanarak malware üretmeye başlamış. yani chatgpt benzeri araçlarla kod yazdırıp hindistan’a saldırıyorlar. bu işin kötü tarafı, artık “kitlesel orta kalite” implant üretimi yapıyorlar. kalite değil, kantite peşindeler.

spoiler: bu grup özellikle nim, zig ve crystal gibi az bilinen programlama dilleri kullanıyor. neden mi? çünkü antivirüsler bu dillerde yazılmış malware’lere pek alışık değil. üstüne üstlük discord, telegram gibi güvenilir servisleri command & control (c2) kanalı olarak kullanıyorlar. akıllıca hareket yani.

…

arkadaşlar, cisa yine iş başında. perşembe günü hikvision ve rockwell automation ürünlerinde bulunan iki kritik açığı kev (known exploited vulnerabilities) kataloğuna eklemiş. sebep basit: bu açıklar aktif olarak sömürülüyor.

şimdi gelelim detaylara. iki tane 9.8 cvss skorlu, yani kritik seviye açıktan bahsediyoruz:

açıkların detayları

hikvision’daki bela

CVE-2017-7921 - cvss skoru 9.8, yani tam anlamıyla kritik 🔴

hikvision ip kameralarında kimlik doğrulama açığı var. “improper authentication” diyorlar teknik dilde, yani kimlik kontrolü제대로 yapılmamış. 2017’den beri bilinen bir açık bu arada, ama hala sömürülüyor demek ki yamalamayan çok sistem var ortada.

…

arkadaşlar, ec-council (biliyorsunuzdur, ceh sertifikasını çıkaran şirket) yeni bir hamle yapmış. yapay zeka üzerine 4 tane yeni sertifika programı başlatmış. ayrıca certified ciso sertifikasının 4. versiyonunu da yayınlamışlar.

ne var ne yok bu sertifikalarda

ec-council’ın yeni “enterprise ai credential suite” dediği paket, yapay zeka güvenliği ve kullanımı üzerine odaklanmış rol bazlı sertifikalar içeriyor. şöyle ki:

• yapay zeka güvenliği uzmanı sertifikaları
• ai implementasyon ve yönetim sertifikaları
• executive seviye ai liderlik programları
• certified ciso v4 (yenilenmiş versiyon)

spoiler: amerika’daki ai iş gücü boşluğunu doldurmak için tasarlanmış bu programlar. yani hem güvenlik hem de ai yeteneklerini birleştirmeye çalışıyorlar.

…

arkadaşlar, ransomware dünyasından güzel bir haber geldi. phobos ransomware operasyonunu yöneten rus vatandaşı evgenii ptitsyn, abd’de suçunu kabul etti. adam elektronik dolandırıcılık komplosu suçlamasını kabul etmiş, şimdi cezasını bekliyorken oturuyor.

olay ne?

ptitsyn, 2020-2024 yılları arasında phobos ransomware operasyonunu yönetmiş. bu operasyon dünya çapında yüzlerce kurbanı etkilemiş. klasik ransomware hikayesi: sisteme giriyorlar, dosyaları şifreliyorlar, sonra fidye istiyorlar.

spoiler: phobos grubu 16 milyon dolardan fazla fidye talep etmiş kurbanlarından.

adam kasım 2024’te güney kore’de yakalanmış ve abd’ye teslim edilmiş. şubat 2025’te de suçunu kabul etmiş. ceza duruşması 14 mayıs 2025’te yapılacak.

…

arkadaşlar, wordpress kullanan agalar dikkat. “user registration & membership” diye bir eklentide kritik seviye açık bulunmuş ve aktif olarak sömürülüyor. 60 binden fazla sitede kurulu bu eklenti, saldırganlar da boş durmuyor tabi.

ne oluyor peki

CVE-2025-1895 numaralı bu açık, eklentinin 4.5.2 ve önceki versiyonlarını etkiliyor. zafiyet şöyle ki: authentication bypass (yetkilendirme atlama) var, yani saldırgan hiçbir şifre bilmeden direkt admin hesabı açabiliyor sitenizde. CVSS skoru 9.8, yani kritik seviye 🔴

spoiler: saldırganlar bu açığı bulmuş bile, aktif sömürü kampanyaları var. wordfence’in dediklerine göre binlerce siteye saldırı denemeleri yapılmış.

…

arkadaşlar, google’ın threat intelligence ekibi (gtig) 2025 yılı raporunu yayınladı ve durum pek iç açıcı değil. geçen sene toplam 90 tane sıfır-gün açığı aktif olarak sömürülmüş. yani bunlar yamadan önce kullanılmış, kötü niyetli tipler keyfine bakmış.

en ilginç kısım şu: bu açıkların neredeyse yarısı kurumsal yazılımlarda ve cihazlarda bulunmuş. yani sizin vpn’leriniz, firewall’larınız, network cihazlarınız falan. spoiler: bunların çoğu internete açık sistemlerde sömürülmüş.

rakamlar ve dağılım

google’ın verilerine göre:

• 90 sıfır-gün açığı toplam sömürülmüş
• bunların %47’si (yani 42 tanesi) kurumsal yazılım ve appliance’larda
• %31’i tarayıcılarda
• %22’si mobil ve masaüstü işletim sistemlerinde

geçen seneye göre %10 artış var bu arada. 2024’te 81 tane sömürülmüştü.

…