--- title: "NetamLoader Zararlı Yazılımı Asya'daki Hükümet Windows 10 Sistemlerini .NET Enjeksiyonuyla Hedefliyor" url: "https://teknotayf.com/haber/netamloader-zararli-yazilimi-asya-daki-hukumet-windows-10-sistemlerini-net-enjeksiyonuyla-hedefliyor" markdown_url: "https://teknotayf.com/haber/netamloader-zararli-yazilimi-asya-daki-hukumet-windows-10-sistemlerini-net-enjeksiyonuyla-hedefliyor.md" site: "teknotayf.com" language: "tr" published: "2026-11-01 10:02:58" updated: "2026-11-01 08:42:52" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Tedarik Zinciri Saldırısı","Kaspersky","Malware","NetamLoader"] source: "The Hacker News" --- # NetamLoader Zararlı Yazılımı Asya'daki Hükümet Windows 10 Sistemlerini .NET Enjeksiyonuyla Hedefliyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/netamloader-zararli-yazilimi-asya-daki-hukumet-windows-10-sistemlerini-net-enjeksiyonuyla-hedefliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Kaspersky, Asya'daki hükümet kurumlarını hedef alan ve daha önce görülmemiş NetamLoader yükleme çerçevesini kullanan sofistike bir enfeksiyon zinciri tespit etti. Saldırı özel bir Windows 10 sürümünü hedef aldı ve tedarik zinciri yoluyla dağıtıldığı düşünülüyor. Araştırmacılar kurbanın muhtemelen Çin olduğunu ve C2 sunucusunun openaigpt4v[.]com olduğunu belirtiyor. - **Yayın tarihi:** 2026-11-01 10:02 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Tedarik Zinciri Saldırısı, Kaspersky, Malware, NetamLoader - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/11/netamloader-malware-targets-government.html) ![NetamLoader Zararlı Yazılımı Asya'daki Hükümet Windows 10 Sistemlerini .NET Enjeksiyonuyla Hedefliyor](https://teknotayf.com/assets/uploads/2026/11/21e9d15ed25d10047cae70c61a7cf9d2.jpg) Siber güvenlik araştırmacıları Asya'daki hükümet kuruluşlarını hedef alan "son derece sofistike bir enfeksiyon zinciri" olarak tanımlanan bir saldırının detaylarını açıkladı. Kaspersky'nin bu hafta detaylandırdığı faaliyet, Asya'daki devlet kurumları tarafından münhasıran kullanılan özel bir Windows 10 sürümünü hedef aldı ve daha önce belgelenmemiş .NET derlemesi yükleme çerçevesi **NetamLoader**'ın dağıtımını içeriyor. Saldırı herhangi bir bilinen tehdit aktörüne veya gruba atfedilmedi. İhlalin birden fazla sistemi tehlikeye atıp saldırganların hassas bilgi çalmasına olanak sağlayıp sağlamadığı da net değil. Rus siber güvenlik şirketi, artefaktın 2026 yılının ilk yarısında tespit edildiğini söyledi. Artefakt, Windows işletim sistemi güncelleme paketlerinin saklandığı bir dizine yerleştirilen bir Windows kabin arşivi (CAB) dosyası içinde paketlendi. Operasyonun, kötü aktörlerin hizmetlerine veya yazılımına güvenen alt kullanıcılara erişim sağlamak için güvenilir bir üçüncü taraf satıcıyı tehlikeye atan bir tedarik zinciri saldırısı içerdiği tahmin ediliyor. Söz konusu örnek, AppDomainManager enjeksiyonunu kullanarak keyfi .NET derlemelerini yükleyen bir ".config" dosyası içeriyor. AppDomainManager enjeksiyonu, bir .NET uygulaması başladığında .NET Framework'ün AppDomainManager mekanizmasını ele geçirerek keyfi yüklerin yüklenmesine yarayan saldırgan bir tekniktir. Başka bir deyişle yaklaşım, kod yürütmeyi başarmak için .NET Framework'ün uygulama alanı başlatımını hedefliyor. Sonuç DLL sideloading ile aynı: kötü amaçlı kodu radar altında kalması için meşru bir uygulamanın süreci içinde çalıştırmak. Kaspersky'ye göre .config dosyasını içeren CAB arşivi şu yola yerleştirildi: "C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24," içeriği çıkarılarak "C:\Windows\SoftwareDistribution\Download\Install\." dizinine bırakıldı. ![](https://teknotayf.com/assets/uploads/2026/11/08236c5124f00abfe4d112ad9398322a.webp) Enfeksiyon zinciri: Aşama 1 CAB arşivinin kesin dağıtım aracı bilinmiyor. Arşivde yedi dosya bulunuyor, bunların dördü uç nokta yönetim yazılımı Patch My PC'nin meşru bileşeni - Dosyaların "Resources.resx" dışındakilerin hiçbiri kötü amaçlı kod içermiyor. Enfeksiyon zinciri iki aşamalı bir süreç olarak işliyor - "PatchMyPC-ScriptRunner.exe"nin çalıştırılması birkaç yükün fırlatma rampası görevi görüyor. "PatchMyPC-ScriptRunner.exe.config" dosyasını ayrıştırmak için AppDomainManager enjeksiyonunu kötüye kullanıyor ve bunun sonucunda "Microsoft.HostIntegration.Connectors.dll" çalıştırılıyor. Yüklendikten sonra "Microsoft.HostIntegration.Connectors.dll" aynı dizinde bulunan "fabric.config" dosyasını buluyor ve içeriğini ayrıştırarak "Resources.resx" dosyasını yüklüyor. "Resources.resx", kendisinden önce gelen bileşen tarafından çözümlenip yüklenen XAML dosyaları, .NET derlemeleri ve JSON verisi gibi kodlanmış, sıkıştırılmış veya şifrelenmiş yüklerin "birden fazla katmanını" içeriyor. ![](https://teknotayf.com/assets/uploads/2026/11/271ede95fe25c4d0469739a7e9ad546b.webp) Enfeksiyon zinciri: Aşama 2 Bu yüklerin kısa açıklaması aşağıda listelenmiştir - XAML-1, gömülü yük XAML-2 için bir yükleyici. XAML-2, saldırı zincirinin ikinci aşamasını başlatıyor; iki sıkıştırılmış ve Base64 ile kodlanmış XAML dosyası XAML-2-1 ve XAML-2-2'yi yüklüyor. XAML-2-1 Antimalware Scan Interface (AMSI) atlatmak için kullanılıyor. XAML-2-2 iki bölüm içeriyor, bir .NET modülü (yani .NET 1 Loader) ve bir JSON veri yükü (yani JSON-1). JSON-1, komuta ve kontrol (C2) sunucusu yapılandırmasını saklayan JSON-1-c ve Base64 ile kodlanmış bir dosya (.NET 2 Plugin) ile XAML-3'ü oluşturmak için kullanılan sıkıştırılmış, şifrelenmiş XAML şablonları koleksiyonunu içeren JSON-1-p olmak üzere iki bileşen içeren JSON yükü. XAML-2-2, .NET 1 Loader'ı yüklüyor. Bu bileşen XAML-3'ü şifre çözüyor, birleştiriyor ve yüklüyor, durumu C2 sunucusuna bildiriyor ve CAB arşivinden çıkarılan kötü amaçlı dosyaları, CLR kullanım günlüklerini ve Windows sistem Prefetch önbellek dosyalarını izi gizlemek için siliyor. XAML-3, "dllhost.exe" içinde çalışan ve .NET 2 Plugin'i çözmek, sıkıştırmasını açmak ve yüklemek üzere tasarlanmış XAML yükü. .NET 2 Plugin, C2 yapılandırmasını yükleyen, Windows Kayıt Defteri'nden sistem bilgisi toplayan, mevcut ana bilgisayar sürecinin "dllhost.exe" olup olmadığını kontrol eden, ilk C2 sunucusu isteğini göndermeden önce 20-40 dakika rastgele bir bekleme gecikmesi bekleyen ve ardından XAML dosyasını almak ve izole bir AppDomain'de çalıştırmak için periyodik bir yoklama döngüsüne giren bir .NET derlemesi. C2 sunucusu **openaigpt4v[.]com**. Kaspersky açıkladı: "C2'den geçerli bir yanıt alınırsa döngü bir sonraki istekten önce 5-6 dakika duraklar; aksi halde 22-28 saat duraklar ve ayrılan sürenin dolup dolmadığını belirlemek için her 10 dakikada bir kontrol eder." Kaspersky'nin topladığı telemetri verileri Asya'da tek bir kurban tespit etti. NetamLoader, yalnızca hükümet kullanımı için özelleştirilmiş bir Windows 10 sürümüne saldırmak üzere tasarlandı. Hedeflenen Asya ülkesi açıklanmasa da işaretler bunun muhtemelen Çin olduğunu gösteriyor; çünkü Microsoft Çin hükümeti ve devlet şirketleri için özel olarak **Windows 10 China Government Edition** adlı özel bir sürüm sunuyor. Bu ayın başlarında Bloomberg, Çin Devlet Güvenlik Bakanlığı'nın yabancı teknolojiye bağımlılığını azaltma çabası kapsamında bazı devlet kurumlarının "Government Edition" kullanımını durdurup Çin yapımı Linux dağıtımlarına geçmesini emrettiğini bildirdi. Bloomberg, "Beijing'in talimatı veri güvenliği endişelerinden kaynaklandı" dedi ve "konuyla ilgili kişiler"e atıfta bulundu. O sırada ek ayrıntı açıklanmadı. Kaspersky sonuç olarak şunu kaydetti: "Günümüzün jeopolitik ikliminde giderek daha fazla ülke, işletim sistemleri, veritabanları, ara yazılım ve bulut hizmetleri de dahil olmak üzere kendi temel yazılım platformlarını oluşturuyor ve işletim sistemleri genellikle en öncelikli konu." "Ülkenin avantajı, kendi işletim sistemlerinin geliştirilmesini, işletim ve yükseltmesini kontrol etmesi ve böylece süreç üzerinde tam özerklik sağlamasıdır. Öte yandan bu, her ülkenin bu geniş ekosistemi tek başına koruması gerektiği anlamına da gelir. Böyle bir sistemin olgunlaşması uzun bir süreçtir." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/netamloader-zararli-yazilimi-asya-daki-hukumet-windows-10-sistemlerini-net-enjeksiyonuyla-hedefliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.