Jscrambler, npm paketinin kötü amaçlı bir versiyonunun yayınlandığını açıkladı ve bu sürüm, yaklaşık 1,500 kez indirildi. Bu olay, yazılımcıların ve organizasyonların bağımlılık yönetimi ve güvenlik önlemleri konusundaki dikkatsizliklerinin sonuçlarını açığa çıkarıyor.

Saldırı Nasıl Çalışıyor?

Kötü amaçlı Jscrambler paketi,  8.14 ,  8.16 ,  8.17  ve  8.20  sürümlerini kapsıyor ve ‘preinstall’ aşamasında çalışan bilgi çalan malware (kötü amaçlı yazılım) barındırıyor. Olayın detaylarına göre, bu paket, 2 saatlik bir zaman diliminde  1,479  kez indirildi.

Etkilenen Sistemler

Kötü amaçlı paket, Jscrambler’ın diğer dört paketinin bağımlılığıydı. Etkilenen sistemlerden bazıları şunlardır:

• Kaynak kodu ve proje dosyaları
• Geliştirici kimlik bilgileri ve sırları (Git, SSH, ortam değişkenleri, CI/CD tokenları)
• Bulut kimlik bilgileri ve gizli yöneticiler (AWS, Azure, GCP, Kubernetes)
• Yapay zeka kodlama araçları ve MCP yapılandırmaları (Claude, Cursor, Windsurf, VS Code, Zed)
• Kripto para cüzdanları ve tohum kelimeleri (MetaMask, Phantom, Coinbase, Exodus, Trust Wallet)
• Tarayıcı verileri (çerezler, kaydedilmiş kimlik bilgileri)
• Mesajlaşma ve iş birliği uygulamaları (Slack, Discord, Telegram)

Çözüm ve Korunma

Jscrambler, kötü amaçlı paketin yalnızca bu paket ile sınırlı olduğunu, diğer ürünleri etkilemediğini vurguladı. Olayın ardından, kötü amaçlı versiyon  2 saat  boyunca aktif kalmış ve daha sonra  8.22  sürümü ile güvenli bir versiyon yayınlanmıştır. Olayı tespit eden uygulama güvenliği şirketi  Socket , zararlı yazılımın  ChaCha20-Poly1305  şifreleme algoritması kullanarak güçlü bir dize obfuscation (saklama) gerçekleştirdiğini bildirdi.

Geliştiriciler, bu kötü amaçlı npm paketlerini kullandıysa, ortamlarını tehlikeye girmiş olarak değerlendirmeli ve şu adımları atmalıdırlar:

• Tüm kimlik bilgilerini döndürün.
• Güvenli yedeklerden geri yükleyin.

Ayrıca, Jscrambler, kullanıcıların ürünlerinin en son sürümünü kullandıklarından emin olmalarını öneriyor.

Sonuç

Bu olay, güvenlik açığı ve kötü amaçlı yazılımlara karşı sürekli bir dikkat ve önlem alınması gerektiğini gösteriyor. Eğer bu paketi kullandıysanız, derhal güncellemeler yapın ve güvenlik önlemlerinizi gözden geçirin. Bağımlılıklarınızı düzenli olarak kontrol edin ve güncel tutun.

Tenda yönlendiricilerinde, cihazın web yönetim paneline yönetici erişimi sağlamak için kullanılabilecek gizli bir kimlik doğrulama arka kapısı tespit edilmiştir. Bu ciddi güvenlik açığı, kullanıcıların cihazlarının güvenliğini tehdit etmekte ve acil olarak çözüm gerektirmektedir.

Saldırı Nasıl Çalışıyor?

Bu güvenlik açığı, CVE-2026-11405 koduyla takip edilmektedir ve Tenda yönlendiricilerinin yazılımındaki ‘login()’ fonksiyonunda yer alan belgelenmemiş bir kimlik doğrulama mekanizmasından kaynaklanmaktadır. Kullanıcı bir oturum açma denemesi yaptığında, yönlendirici standart MD5 tabanlı kimlik doğrulama gerçekleştirir. Eğer bu başarısız olursa, yönlendirici ‘sys.rzadmin.password’ yapılandırma değerinden alternatif bir şifre alır ve bunu uzaktan sağlanan düz metin şifresiyle karşılaştırır.

Eğer şifreler eşleşirse, cihaz yönetici (role=2) erişimi sağlar ve verilen kullanıcı adı ne olursa olsun geçerli bir oturum oluşturur. Bu sebeple, sadece arka kapı şifresi verildiğinde, herhangi bir kullanıcı adı kabul edilmektedir.

Etkilenen Sistemler

CVE-2026-11405 kodu altında tespit edilen güvenlik açığı, aşağıdaki Tenda yazılım sürümlerini ve cihazlarını etkilemektedir:

• US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD – Tenda FH1201 (WiFi yönlendirici)
• US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE – Tenda W15E (WiFi yönlendirici)
• US_AC10V1.0re_V15.03.06.46_multi_TDE01 – Tenda AC10 (WiFi yönlendirici)
• US_AC5V1.0RTL_V15.03.06.48_multi_TDE01 – Tenda AC5 (WiFi yönlendirici)
• US_AC6V2.0RTL_V15.03.06.51_multi_T – Tenda AC6 V2 (WiFi yönlendirici)

Çözüm ve Korunma

CERT/CC, bu güvenlik açığı için mevcut bir yamanın bulunmadığını bildirmektedir. Tenda kullanıcılarının, hasarlı ara yüze internet erişimini önlemek için uzaktan web yönetim panelini devre dışı bırakmaları önerilmektedir. Ayrıca, otomatik tarayıcılar tarafından fırsatçı keşfi azaltmak için varsayılan LAN IP adresinin değiştirilmesi tavsiye edilmektedir.

Aksiyon

Okuyucular, Tenda yönlendiricilerinde bulunan CVE-2026-11405 güvenlik açığını dikkate almalı ve acilen aşağıdaki adımları izlemelidir:

• Uzaktan web yönetim panelini devre dışı bırakın.
• Varsayılan LAN IP adresinizi değiştirin.
• Yönlendirici yazılım güncellemelerini takip edin ve mevcut güncellemeleri uygulayın.

Bu adımlar, ağ güvenliğinizi artıracak ve cihazlarınızı daha güvende tutacaktır.

Giriş

Son zamanlarda, Mistic adı verilen yeni ve gizli bir arka kapının, çok sayıda sektörü hedef alan mali motivasyonlu saldırılarda kullanıldığı görülmektedir. Bu arka kapı, özellikle sigorta, eğitim, IT ve profesyonel hizmetler alanlarında faaliyet gösteren kuruluşlara karşı bir tehdit oluşturuyor.

Saldırı Nasıl Çalışıyor?

Symantec ve Carbon Black’ın Tehdit Avcıları, Mistic arka kapısının, MLTBackdoor olarak da bilindiğini ve KongTuke adlı bir ilk erişim aracı (IAB) ile bağlantılı olduğunu tespit etmiştir. ModeloRAT, saldırılarda kullanılan bir Python uzaktan erişim trojanıdır (RAT) ve KongTuke grubuna atfedilmektedir.

Arka kapı, bellek içinde yüklenmiş yükleri çalıştırmakta ve diske hiçbir dosya yazmamaktadır. Ayrıca, kendisini silme yeteneği bulunan bir “kill switch” içermektedir, bu da operatörlerin uzun dönemli ve düşük görünürlükte bir erişim sağlaması amacıyla geliştirilmiş bir özellik olarak değerlendirilmektedir.

Etkilenen Sistemler

• Sigorta sektorü
• Eğitim kurumları
• Bilgi teknolojileri sektörü
• Profesyonel hizmetler

ModeloRAT, Ocak 2026’da ClickFix kampanyası ile bağlantılı olarak ilk kez fark edildi. Bu kampanyada, KongTuke aktörleri, kötü amaçlı bir Google Chrome eklentisi kullanarak mağdurların web tarayıcılarını çökertmiştir.

Teknik Ayrıntılar

Mistic arka kapısı, DLL side-loading tekniklerine dayanmakta ve güvenilir Microsoft son noktası güvenlik araçlarını (“MpExtMs.exe”) kullanarak dikkat çekmekten kaçınmaktadır. Bu arka kapı, bellek içinde doğrudan çalışarak aşağıdaki yeteneklere sahip olmaktadır:

• Dosya yükleme veya indirme
• Dosya taşıma, yeniden adlandırma veya silme
• Klasör oluşturma
• Uzaktan sunucudan komut almak için bir zaman aralığını değiştirme
• Diskte herhangi bir kalıntı bırakmadan C2’den alınan kodu bellekte yürütme
• Beacon Object Files (BOFs) yükleme ile yeteneklerini dinamik olarak genişletme
• Kendini sonlandırma ve silme

Çözüm ve Korunma

Saldırganların hedefleme stratejisi, sunmuş oldukları erişim hizmetlerini satmak için geniş bir çerçevede fırsatları değerlendirmek olarak tanımlanmaktadır. Bu bağlamda, ModeloRAT gibi yazılımların Qilin fidye yazılımlarını dağıtan saldırılarda görüldüğü belirtilmektedir.

Aksiyon

Bu tehditten korunmak için aşağıdaki adımları uygulamanız önemlidir:

• Güvenlik yazılımlarınızı güncelleyin ve izleyin.
• Ağda gereksiz portları kapatın.
• Bilgisayarınızdaki şüpheli yazılımları tespit etmek için düzenli olarak tarama yapın.
• Phishing e-postalarına karşı dikkatli olun ve bilinmeyen kaynaklardan gelen bağlantıları açmayın.

Güvenliğinizi artırmak için bu önlemleri uygulayarak siber saldırılara karşı daha dirençli hale gelebilirsiniz.

DragonForce fidye yazılımıyla ilişkili tehdit aktörleri, Microsoft Teams altyapısı üzerinden komut ve kontrol (C2) trafiğini gizlemek için özel olarak geliştirilmiş bir Go tabanlı uzaktan erişim trojanı (RAT) olan Backdoor.Turn‘ü kullanıyor. Bu durum, siber güvenlik alanında önemli bir tehdit oluşturmakta ve hedef alınan kuruluşların güvenlik açıklarını artırmaktadır.

Saldırı Nasıl Çalışıyor?

DragonForce’un kullandığı Backdoor.Turn, Microsoft’un Skype destekli kimlik hizmetlerinden anonim bir Teams ziyaretçi token’ı alıyor. Bu süreç şu şekilde işlemektedir:

• Legitim Microsoft TURN iletimi kullanarak bağlantı kurar.
• C2 sunucusuna doğrudan bir QUIC oturumu başlatır.

Tehdit avcıları, bu bağlantının yalnızca dışa doğru giden Microsoft Teams sunucularına olan bağlantılardan ibaret olduğunu gözlemlemiştir.

Etkilenen Sistemler

Yapılan araştırmalara göre, tehdit aktörü başlangıçta ya bir SQL ya da MS-SQL sunucusundaki bir güvenlik açığını istismar ederek sisteme sızmayı başardı. Aynı zamanda, ilk erişim aracısı (IAB) aracılığıyla da bu erişimin sağlanmış olabileceği düşünülmektedir. Bu aktiviteler, Aralık 2025’te başladı ve saldırganlar, kullanıcılara teknik destek görünümü altında bir ZIP arşivinin yüklenmesini sağladı.

UYARI: Teknik Detaylar

Backdoor.Turn uygulaması, DbgView64.exe sürecine enjekte edilerek çalıştırılmaktadır. Bu, daha sonraki saldırılar için uzaktan erişim sağlamaya ve hedef sistemi yeniden satmaya yönelik bir strateji olarak yorumlanabilir.

Çözüm ve Korunma

Siber güvenlik uzmanları, aşağıdaki adımları takip ederek bu tür bir saldırıya karşı önlem alabilir:

• Sistem güncellemelerini düzenli olarak uygulayın.
• Güvenlik duvarları ve ağ izleme araçlarını etkinleştirin.
• Bilgi güvenliği politikalarınızı gözden geçirin ve güçlendirin.
• SQL ve MS-SQL sunucularındaki güvenlik açıklarını titizlikle kontrol edin.

Sonuç

Okuyucular, kullanmakta oldukları sistemlerin güncellemelerini derhal yapmalı, ağlarını güçlendirmeli ve olası tehditlere karşı mevcut güvenlik protokollerini gözden geçirmelidir. Ek olarak, portları dikkatle kapatmak ve izinsiz erişim tespit sistemlerini devreye almak hayati önem taşımaktadır.