---
title: "SCMBANKER Kötü Amaçlı Yazılımı, ClickFix Tuzaklarıyla Meksikalı Bankacılık Kullanıcılarını Hedef Alıyor"
url: "https://teknotayf.com/haber/scmbanker-kotu-amacli-yazilimi-clickfix-tuzaklariyla-meksikali-bankacilik-kullanicilarini-hedef-aliyor"
markdown_url: "https://teknotayf.com/haber/scmbanker-kotu-amacli-yazilimi-clickfix-tuzaklariyla-meksikali-bankacilik-kullanicilarini-hedef-aliyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-07-09 12:47:07"
updated: "2026-07-09 09:47:07"
category: "Siber Güvenlik"
tags: ["ClickFix Tuzakları","SCMBANKER","Meksika Bankacılık Dolandırıcılığı"]
source: "The Hacker News"
---

# SCMBANKER Kötü Amaçlı Yazılımı, ClickFix Tuzaklarıyla Meksikalı Bankacılık Kullanıcılarını Hedef Alıyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/scmbanker-kotu-amacli-yazilimi-clickfix-tuzaklariyla-meksikali-bankacilik-kullanicilarini-hedef-aliyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Elastic Security Labs, Meksika bankaları, fintech firmaları, ödeme işlemcileri ve kripto para borsalarını hedef alan yeni bir bankacılık dolandırıcılığı operasyonunu ortaya çıkardı. REF6045 adı verilen bu faaliyet kümesi, sahte CAPTCHA sayfaları aracılığıyla kullanıcılara SCMBANKER adlı bir PowerShell aracını yükletiyor. Kötü amaçlı yazılım, bankacılık oturumlarını izleyebiliyor, ekran görüntüleri alabiliyor, CLABE ve kart numaralarını ele geçirebiliyor ve uzaktan erişim aracı kurabiliyor.

- **Yayın tarihi:** 2026-07-09 12:47
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** ClickFix Tuzakları, SCMBANKER, Meksika Bankacılık Dolandırıcılığı
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/07/scmbanker-malware-uses-clickfix-lures.html)

![SCMBANKER Kötü Amaçlı Yazılımı, ClickFix Tuzaklarıyla Meksikalı Bankacılık Kullanıcılarını Hedef Alıyor](https://teknotayf.com/assets/uploads/2026/07/1370f40f0c2003eba11538b9869ec0f2.jpg)

Yeni bir bankacılık dolandırıcılığı operasyonu, Meksika bankaları, fintech firmaları, ödeme işlemcileri ve kripto para borsalarının müşterilerini [ClickFix](https://thehackernews.com/2026/07/threatsday-ai-compute-hijacking-apple.html#clipboard-attack-defense) tuzakları kullanarak hedef alıyor.

Elastic Security Labs tarafından **REF6045** adıyla izlenen bu faaliyet kümesi, kurbanları sahte CAPTCHA doğrulama sayfaları aracılığıyla enfekte ediyor. Bu sayfalar, kullanıcıları **SCMBANKER** adlı bir PowerShell aracını yükleyen kötü amaçlı bir komutu çalıştırmaya kandırıyor. Kötü amaçlı yazılımın bazı bileşenlerinin geçmişi Ekim 2025'e kadar uzanıyor.

Güvenlik araştırmacıları Jia Yu Chan ve Salim Bitam, "Kurulduktan sonra operatör, bir kurbanın bankacılık oturumu açtığını görebiliyor, ekranı sahte bir banka uyarısıyla kilitleyebiliyor, kullanıcıları canlı telefon görüşmesine yönlendirebiliyor, tarayıcıyı yönlendirebiliyor veya panoya kopyalanan hesap numaralarını değiştirebiliyor" dedi. "Tam bir ele geçirme için ticari bir uzaktan erişim aracı da kurabiliyorlar."

SCMBANKER, özellikle Meksika'nın finansal ekosistemini hedef alacak şekilde tasarlanmış durumda. Araç setinin büyük bir kısmının geliştirilmesinde büyük dil modeli (LLM) kullanıldığına dair kanıtlar bulunuyor. Araç seti; bankacılık oturumu izleme, ekran görüntüsü yakalama, vishing katmanları, kimlik avı yönlendirmeleri, pano manipülasyonu ve Remote Utilities kurulumu gibi çok çeşitli yetenekleri destekliyor.

Elastic'in bulguları, REF6045 altyapısındaki bir operasyonel güvenlik açığından kaynaklanıyor. Bu açık sayesinde "68.211.161[.]46" adresindeki açık bir dizinden, operasyonun tam web kök dizinini içeren bir ZIP arşivinin alınması mümkün oldu.

Saldırının başlangıç noktası, kendini bir güvenlik doğrulama sayfası olarak gizleyen sahte bir CAPTCHA kontrolü. Bu sayfa, potansiyel kurbanları yangın musluğu içeren görselleri tanımlamak için Google reCAPTCHA benzeri bir bulmacayı çözmeye zorluyor. Bu adım tamamlandıktan sonra kullanıcılara, Windows Run iletişim kutusuna kötü amaçlı bir komutu kopyalayıp yapıştırmaları için talimatlar gösteriliyor.

Bu komut, çok aşamalı bir süreçle kötü amaçlı yazılımı yüklemekten sorumlu bir batch script'in çalıştırılmasını tetikliyor. Süreç, sahte bir Windows güncelleme ekranıyla başlıyor.

Elastic, "Batch script, Microsoft Edge'i kiosk modunda başlatarak fakeupdate[.]net adresini açar; bu, sahte bir Windows Güncelleme ekranı gösteren bilinen bir pentesting/red team sitesidir. Bu dikkat dağıtma, scriptin tam olarak yürütülmesi için zaman kazandırır" açıklamasını yaptı.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/scmbanker-kotu-amacli-yazilimi-clickfix-tuzaklariyla-meksikali-bankacilik-kullanicilarini-hedef-aliyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.