Malware etiketinde sahte yapay zeka uygulamalarından npm paketlerine kadar çeşitli kötü amaçlı kampanyalar yer alıyor. Çin bağlantılı tehditler, kimlik avı girişimleri ve WinRAR açığı üzerinden yürütülen saldırılar güncel gelişmeler arasında.
ESET'e göre Çin'e yakın SlippyNunchucks grubu, Windows sürümlerindeki Sogou Input Method'ta DNS ele geçirmesiyle DarkVigil implantını yaydı. Kampanya 1 Temmuz 2026'dan itibaren Hong Kong, Tayland, Japonya, Vietnam, Umman ve Sri Lanka'daki hedeflere ulaştı. Tencent, açığı 29 Ekim 2026'da 16.10 sürümüyle kapattı.
Rusya İçişleri Bakanlığı, 2016’dan beri faaliyet gösteren VasyGrek tehdidi grubundan şüphelenilen üç kişiyi gözaltına aldı ve operasyon altyapısını çökertti. Grup, kimlik avı e-postalarıyla finansal belge kılığına giren ekler göndererek para çalıyor. Kaspersky verilerine göre grup 2026’da Rusya, Belarus ve Kazakistan’da 100’den fazla saldırı girişiminde bulundu.
Siber güvenlik araştırmacıları VOLTA-AUTODOXER adlı yeni bir Windows infostealer'ının çalınan veriyi para kazanma potansiyeline göre derecelendirmek için yapay zekâ kullandığını tespit etti. Kötü yazılım Claude, Kimi ve Gemini modellerine başvurarak kurban hakkında detaylı bir dosya oluşturuyor ve verileri Telegram üzerinden sızdırıyor. Cisco Talos aynı zamanda kurbanın OpenAI API anahtarını çalarak analiz yaptıran NIK C2 çerçevesini de açıkladı.
Kaspersky, Asya'daki hükümet kurumlarını hedef alan ve daha önce görülmemiş NetamLoader yükleme çerçevesini kullanan sofistike bir enfeksiyon zinciri tespit etti. Saldırı özel bir Windows 10 sürümünü hedef aldı ve tedarik zinciri yoluyla dağıtıldığı düşünülüyor. Araştırmacılar kurbanın muhtemelen Çin olduğunu ve C2 sunucusunun openaigpt4v[.]com olduğunu belirtiyor.
Tehdit aktörleri Yoba kampanyası kapsamında sahte GitHub projeleriyle ChatGPT ve Claude masaüstü uygulaması süsü verilmiş zararlı yükleyiciler yayıyor. Check Point Research analizine göre zararlı yazılım imzalı OpenAI ve Anthropic yürütülebilir dosyalarının yanına yerleştirilerek DLL sideloading ile yükleniyor. Zincir sonunda XMRig kripto madencisi çalıştırılıyor.
Siber güvenlik araştırmacıları, 2025 ortasından beri Asya ve Afrika'daki kuruluşları hedefleyen Çin'e bağlı Bronze Sandcastle tehdit kümesini açıkladı. Grup, Sandboxie başta olmak üzere çeşitli uygulamaları DLL sideloading yöntemiyle ele geçirerek şifrelenmiş config.ini yükleri çalıştırıyor. Saldırılar Filipinler, Tayvan, Afganistan ve Namibya'da görüldü, aktivite ağırlıklı olarak UTC+8 saat diliminde gerçekleşti.
GhostAction tedarik zinciri saldırısının arkasındaki tehdit aktörü, kötü amaçlı GitHub Actions iş akışlarının ötesine geçerek açık kaynak geliştiricilerini hedef alan kimlik avı kampanyası başlattı. Sahte bir yazı tipi dosyası içinde gizlenmiş çalıntı yazılım ve my-github.com alan adıyla yürütülen OAuth cihaz akışı saldırısı, 94 deponun tehlikeye girmesine yol açtı.
Siber güvenlik araştırmacıları, MALFEX yazılım tedarik zinciri saldırısının parçası olan kötü amaçlı imgdecode paketini tespit etti. Paket 30 Eylül 2026’da yüklendi, 979 kez indirildi ve Windows sistemlerine shellcode enjekte eden bir DLL barındırıyor. Tehdit aktörü npm kaldırma işlemlerine karşılık yeni ikame paketler yayınlamaya devam ediyor.
Tehdit aktörü Silent Lynx, Bağımsız Devletler Topluluğu'nda hükümet kuruluşlarına yönelik yeni saldırılarla ilişkilendirildi. Haziran 2025'ten Ağustos 2026'ya kadar süren kampanyada makro belgelerden WinRAR açığına kadar dört farklı enfeksiyon zinciri kullanıldı. Cisco Talos ve Recorded Future, saldırıları UAT-6275 ve TAG-193 adlarıyla izliyor.
Microsoft'un teknik analizine göre saldırganlar NeedyMantis kötü amaçlı yazılım ailesiyle daha önce ele geçirdikleri ağlarda kalıcı erişim sağlıyor. Kötü yazılım telekom, üniversite ve sivil toplum kuruluşları gibi hedeflere yönelik sızmalarda Ekim 2025'ten beri görülüyor ve Storm-3069 aktivitesiyle ilişkilendiriliyor. Microsoft, tespit için karmalar, alan adları ve avlama sorguları yayımladı.
Kaspersky GReAT ekibi, popüler filmlerin torrent dosyaları üzerinden dağıtılan yeni çok aşamalı kötü amaçlı yazılım kampanyasını ortaya çıkardı. Rusya, Türkiye, Japonya, Kenya, Uganda, Kolombiya ve Avrupa ülkelerinde birkaç yüz mağdur tespit edildi. Saldırı Solana blok zincirini komuta-kontrol için kullanıyor ve ağustos ortasından beri sürüyor.
Siber güvenlik araştırmacıları TASK#STOMP adını verdikleri yeni bir kampanyayı açıkladı. Kampanya PowerShell tabanlı bir arka kapı ile belgeleri, Wi-Fi şifrelerini ve pano verilerini topluyor. Saldırı zinciri VBScript ile başlıyor ve birden fazla kalıcılık mekanizması kullanıyor.
İran bağlantılı Handala Hack kimliğinin Telegram tabanlı HEAVYGRAM arka kapısı ve CRUDEEXCLUDE yardımcı programıyla ilişkilendirildiği belirlendi. Group-IB’in bulguları FBI ve İngiltere Ulusal Siber Güvenlik Merkezi uyarılarıyla örtüşüyor ve saldırganların sosyal mühendislikle hedefleri ele geçirdiğini gösteriyor. HEAVYGRAM, Telegram üzerinden komuta kontrol sağlayarak şifre çalma, ekran görüntüsü alma ve kalıcılık sağlama gibi geniş yetenekler sunuyor.
Cybersecurity araştırmacıları, WordlistLoader ve SynkLoader adlı iki yeni malware ailesini keşfettiler. Bu malwareler, Windows şifrelerini çalmak için ClearFake ve Teams phishing gibi teknikleri kullanıyor. Araştırmacılar, cybersecurity topluluğunun dikkatli olması gerektiğini vurguluyorlar.
Kuzey Kore'nin casusluk grubu Kimsuky, phishing ve malware geliştirmeyi artırmak için offline AI stack oluşturdu. Grup, Ollama, GPT4All ve Msty gibi araçları kullanarak AI modellerini offline olarak çalıştırıyor.