---
title: "Sahte ScreenConnect İstemcileri, Yeni Bağlanan Sunuculara Dört Aşamalı VBScript Zinciri Yayıyor"
url: "https://teknotayf.com/haber/sahte-screenconnect-istemcileri-yeni-baglanan-sunuculara-dort-asamali-vbscript-zinciri-yayiyor"
markdown_url: "https://teknotayf.com/haber/sahte-screenconnect-istemcileri-yeni-baglanan-sunuculara-dort-asamali-vbscript-zinciri-yayiyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-09-07 16:14:33"
updated: "2026-09-07 13:14:33"
category: "Siber Güvenlik"
tags: ["Siber Güvenlik","Oltalama Saldırısı","ScreenConnect Saldırısı","VBScript Zararlı Yazılım","ConnectWise"]
source: "The Hacker News"
---

# Sahte ScreenConnect İstemcileri, Yeni Bağlanan Sunuculara Dört Aşamalı VBScript Zinciri Yayıyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/sahte-screenconnect-istemcileri-yeni-baglanan-sunuculara-dort-asamali-vbscript-zinciri-yayiyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Siber güvenlik araştırmacıları, ConnectWise ScreenConnect altyapısını kötüye kullanan ve yeni bağlanan sistemlere kötü amaçlı VBScript dosyaları bulaştıran solucan benzeri bir siber saldırının detaylarını paylaştı. Saldırganlar, teknik destek dolandırıcılığı ve oltalama gibi yöntemlerle dört aşamalı bir zararlı yazılım zincirini tetikliyor.

- **Yayın tarihi:** 2026-09-07 16:14
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Güvenlik, Oltalama Saldırısı, ScreenConnect Saldırısı, VBScript Zararlı Yazılım, ConnectWise
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/09/rogue-screenconnect-clients-spread-four.html)

![Sahte ScreenConnect İstemcileri, Yeni Bağlanan Sunuculara Dört Aşamalı VBScript Zinciri Yayıyor](https://teknotayf.com/assets/uploads/2026/09/639a4d6e1d831d05a01531d3bb1b38a2.jpg)

Siber güvenlik araştırmacıları, ConnectWise ScreenConnect altyapısını kötüye kullanan ve yeni bağlanan sistemlere kötü amaçlı Visual Basic Script (VBScript) dosyaları bulaştıran solucan benzeri bir siber saldırının detaylarını paylaştı.

Güvenlik firması Huntress'ın tespitlerine göre, birbirinden bağımsız üç farklı siber saldırıda farklı ilk erişim yöntemleri kullanıldı. Saldırganlar; Quick Assist teknik destek dolandırıcılığı, oltalama yoluyla dağıtılan bir MSI yükleyici ve sahte bir Geek Squad iade formu tuzağından faydalandı. Bu yöntemler, sahte ScreenConnect kurulumlarına zemin hazırlayan dört aşamalı bir VBScript zincirini tetikledi.

ScreenConnect istemcileri sisteme sızdıktan sonra güvenlik şirketi, bu istemcilerin sürekli olarak "wscript.exe" dosyasını çalıştırdığını ve 1.vbs, 2.vbs, 3.vbs ile 4.vbs adlı VBScript dosyalarını tetiklediğini gözlemledi. Söz konusu siber saldırılar **Ağustos 2026** ayında tespit edildi.

Üç saldırının detayları şu şekilde:

- **Sosyal mühendislik ve teknik destek dolandırıcılığı:** Saldırganlar, bir kullanıcıyı teknik destek bahanesiyle Quick Assist'i çalıştırmaya ikna etti. Ardından, "45.13.237[.]190" ("tele-sync.opik[.]net") adresindeki komuta ve kontrol (C2) sunucusuyla haberleşmek üzere sahte bir ScreenConnect uzaktan erişim istemcisi sisteme sızdırıldı. İlgili IP adresinde, dört VBS dosyasını barındıran bir RAR arşivi yer alıyor.
- **Oltalama saldırısı ve MSI yükleyici:** Muhtemelen oltalama saldırısı yoluyla dağıtılan "ScreenConnect.ClientSetup.msi" adlı bir yükleyici, sisteme sızdı. Bu yükleyici, "131.123.40[.]98" IP adresiyle 8041 portu üzerinden haberleşecek şekilde ayarlanmış bir ScreenConnect istemcisi kurdu. Sahte ScreenConnect istemcisi, hemen ardından geçici dizindeki dört VBScript dosyasını çalıştırmaya başladı.
- **Sahte iade formu tuzağı:** Kullanıcıların sahte bir Geek Squad iade formu araması, "ScreenConnect.Client.exe" adlı sahte bir ScreenConnect istemcisinin sisteme bulaşmasına neden oldu. Bu istemci daha sonra "borertors92.anondns[.]net" adresine bağlandı. Açılan oturum, Temp klasöründeki dört VBS betiğini çalıştırmak için "wscript.exe" dosyasını tetikledi.

Güvenlik uzmanları, bu saldırıların tamamında dört adımlı bir sürecin işlediğini belirtiyor. Zincirleme yapıdaki her bir VBScript dosyası, bir sonraki dosyayı tetikleyerek saldırının daha derinlere ilerlemesini sağlıyor.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/sahte-screenconnect-istemcileri-yeni-baglanan-sunuculara-dort-asamali-vbscript-zinciri-yayiyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.