Son dönemde ABD hükümeti, internet üzerinden erişilebilen otomatik tank izleme (ATG) sistemlerine yönelik siber saldırıların arttığını bildiriyor. Bu sistemler, enerji, kimya, gıda ve tarım, ve ulaşım sektörlerinde yakıt ve sıvı depolarını uzaktan izlemek için yaygın olarak kullanılıyor.

Saldırı Nasıl Çalışıyor?

CISA, FBI, NSA ve Enerji Bakanlığı’nın uyarısına göre, saldırganlar ATG sistemlerine, oturum açma atlama açıkları, sabit kodlanmış kimlik bilgileri, işletim sistemi komut yürütme hataları, SQL enjeksiyonu zafiyetleri ve yetki yükseltme zayıflıkları aracılığıyla erişim sağlıyor. Sistem başarılı bir şekilde ele geçirildiğinde, saldırganlar şunları yapabilir:

• Ağ ayarlarını değiştirmek
• Ürün tanımlayıcılarını manipüle etmek
• Tank hacimlerini ayarlamak
• Pompaların kontrolünü değiştirmek
• Alarm sistemlerini devre dışı bırakmak

Bu değişiklikler, operatörlerin tank dolum seviyelerini doğru bir şekilde izlemelerini engelleyebilir ve sızıntı veya ekipman arızası riskini artırabilir.

Etkilenen Sistemler

ATG sistemleri, aşağıdaki sektörlerde yaygın olarak kullanılmaktadır:

• Enerji
• Kimya
• Gıda ve Tarım
• Ulaşım Sistemleri

Saldırılar, özellikle internetle bağlı, zayıf veya hiç şifre koruması bulunmayan ATG sistemlerini hedef alıyor. Önceki raporlar, İranlı hackerların benzer sistemlerde siber saldırılar gerçekleştirdiğini öne sürüyor.

Çözüm ve Korunma

ABD hükümeti ve ilgili kuruluşlar, ATG sistemlerini korumak için önerilerde bulunuyor. Bunlar:

• ATG sistemlerini internetten izole edin
• Uzak erişimi kısıtlamak için güvenlik duvarları, VPN’ler veya erişim kontrol listeleri kullanın
• Varsayılan şifreleri değiştirin
• Güçlü kimlik bilgileri ve çok faktörlü kimlik doğrulama kullanın
• Güvenlik güncellemelerini uygulayın
• Sistemleri yetkisiz değişiklikler için aktif olarak izleyin

Sonuç olarak, ATG sistemleri bulunan kuruluşların, hemen önerilen önlemleri uygulayarak siber saldırı riskini azaltmaları gerekmektedir.

Siber güvenlik araştırmacıları, İsrail’in su arıtma ve tuzdan arındırma sistemlerini hedef alan yeni bir zararlı yazılım olan ZionSiphon‘ı ortaya çıkardı. Bu tür saldırılar, kritik altyapılara yönelik artan siyasi motivasyonlu tehditlerin bir yansımasıdır.

Saldırı Nasıl Çalışıyor?

ZionSiphon, yerel yapılandırma dosyalarını değiştirebilen, kalıcılık sağlayan ve yerel alt ağda operasyonel teknoloji (OT) ile ilgili hizmetleri tarayan bir zararlı yazılımdır. İlk olarak, 2025 yılı 29 Haziran tarihinde fark edilen yazılım, İran ve İsrail arasındaki On İki Gün Savaşı’ndan hemen sonra ortaya çıktı.

Zararlı yazılım aşağıdaki IP aralıklarını hedef alıyor:

• 2.52.0[.]0 – 2.55.255[.]255
• 79.176.0[.]0 – 79.191.255[.]255
• 212.150.0[.]0 – 212.150.255[.]255

ZionSiphon, belirlediği coğrafi ve ortam koşullarını karşılamadıkça kendini imha eden bir özelliğe sahiptir. Hedef sistemlerde yerel yapılandırma dosyalarını değiştirerek klor dozları ve basınçla ilgili parametreleri değiştirmeye çalışır.

Etkilenen Sistemler

Zararlı yazılım, hedef aldığı sistemlerin çevresel koşullarını kontrol ederek yalnızca belirli koşullar sağlandığında etkisini gösterir. Modbus, DNP3 ve S7comm gibi protokollerle iletişim kurarak cihazları tanımlar ve inceler.

Analizler, Modbus tabanlı saldırı yolunun daha gelişmiş olduğunu gösteriyor. Yazılımın diğer iki protokolde ise yalnızca kısmen işlevsel kodlar barındırdığı görülüyor. Bu durum, yazılımın hala geliştirilme aşamasında olduğunu akıllara getiriyor.

Çözüm ve Korunma

ZionSiphon’un mevcut sürümü, belirli koşulları karşılayamadığından dolayı sabotaj fonksiyonlarını tam olarak gerçekleştiremiyor gibi görünüyor. Ancak bu durum, zararlı yazılımın potansiyel tehlikesinin küçümsenmemesi gerektiğini gösteriyor.

Okuyuculara öneriler:

• İlgili sistemlerde güncellemeleri yapın ve en son güvenlik yamanızı uygulayın.
• Güvenlik duvarlarında ilgili IP adres aralıklarını engelleyin.
• Kritik altyapı sistemlerine yönelik denetim mekanizmalarını güçlendirin.

Geçmişte yaşanan siber saldırılara benzer şekilde, bu tür tehditlerin artış göstermesi bekleniyor. Dolayısıyla, her zaman dikkatli olmak ve gerekli önlemleri almak büyük önem taşımaktadır.

ZionSiphon adı verilen yeni bir zararlı yazılım, su arıtma ve tuzdan arındırma sistemlerini hedef alarak operasyonlarını sabote etmeyi amaçlamaktadır. Bu tür bir tehdit, kritik altyapılara yönelik potansiyel tehlikeleri gözler önüne sermektedir.

Saldırı Nasıl Çalışıyor?

ZionSiphon, su arıtma ve tuzdan arındırma sistemlerini hedef alırken, ilk olarak sunucu IP’sinin İsrail’e ait olup olmadığını kontrol eder. Eğer sistemde su ile ilgili yazılım veya dosyalar varsa, zararlı yazılım aşağıdaki işlevleri yerine getirmeyi amaçlar:

• Hidrostatik basıncı artırmak
• Klor seviyelerini tehlikeli düzeylere yükseltmek

Zararlı yazılımda, kullanıcıların dikkatini çekebilecek iç politik mesajlar ve hedef IP’ler bulunur. Darktrace’in analizine göre, bu yazılımın mevcut sürümündeki bir şifreleme hata mantığı, zararlı yazılımın işlevselliğini azaltırken, gelecekteki sürümlerin bu hataları onarak zararlı etkinliklerin gerçekleştirilmesine olanak tanıyabileceği konusunda uyardılar.

Etkilenen Sistemler

ZionSiphon, su arıtımı ile ilgili endüstriyel kontrol sistemleri (ICS) üzerinde etkili olmayı hedeflemektedir. Örneğin, “IncreaseChlorineLevel()” adı verilen bir işlev, aşağıdaki öğeleri içeren bir metin bloğunu mevcut yapılandırma dosyalarına eklemeyi amaçlar:

• Chlorine_Dose=10
• Chlorine_Pump=ON
• Chlorine_Flow=MAX
• Chlorine_Valve=OPEN
• RO_Pressure=80

Bu işlev, Modbus, DNP3 ve S7comm iletişim protokollerini tarayarak endüstriyel kontrol sistemleriyle etkileşimde bulunmayı hedefler.

Çözüm ve Korunma

Mevcut durumda, ZionSiphon işlevsel değildir, ancak gelecekteki sürümlerinin bu temel hataları düzeltmesi beklenmektedir. Dolayısıyla, aşağıdaki adımları izlemek kritik önem taşımaktadır:

• Tüm sistemleri güncel yazılımlar ile destekleyin.
• Su arıtma sistemlerinizi sürekli gözlem altında tutun.
• Güvenlik duvarı kurallarını gözden geçirin ve şüpheli IP adreslerini engelleyin.
• USB portlarınızı kapatın ya da sınırlayın.

ZionSiphon’ın potansiyel hasar verebileceği düşünülüyor, bu nedenle önlem almaktan kaçınmayın.

Sonuç

ZionSiphon ile ilgili olarak, sistemlerinizin korunması için yazılımları güncelleyerek güvenlik önlemlerini artırmalısınız. Gerekirse, su arıtma sistemlerinin internetle bağlantısını kısıtlayarak, siber saldırılara karşı savunmanızı güçlendirin. Unutmayın, bu yazılım henüz tam işlevsel değil, ancak küçük bir hata düzeltmesi ile büyük bir risk haline gelebilir.

Son dönemde, açık kaynaklı yapay zeka destekli programlama asistanı Cline CLI üzerinde gerçekleşen bir yazılım tedarik zinciri saldırısı, kullanıcıların sistemlerine yetkisiz yazılımlar yüklemesine sebep olmuştur. Bu durum, yazılım güvenliğine yönelik ciddi tehditler yarattığı için dikkatle incelenmelidir.

Saldırı Nasıl Çalışıyor?

17 Şubat 2026 tarihinde, kötü niyetli bir kişi, Cline CLI paketinin güncellenmesi için yetkisiz bir npm yayın token’ı kullanarak güncelleme yayınlamıştır. Publik edilen güncelleme şu şekilde tanımlanmıştır:
cline@2.3.0. Bu güncellemeyle birlikte, package.json dosyasında aşağıdaki komut eklenmiştir:

“postinstall”: “npm install -g openclaw@latest.”

Bu, Cline 2.3.0 versiyonu yüklendiğinde, OpenClaw isimli yetkisiz bir yazılımın, kullanıcının makinesine otomatik olarak yüklenmesine neden olmuştur.

• Etkinlik süresi: 17 Şubat 2026 saat 03:26 – 11:30 PT
• Etkilenen versiyon: 2.3.0
• Kullanım: Yaklaşık 4,000 kez indirilmiştir.

Cline, bu sorunu düzeltmek amacıyla 2.4.0 versiyonunu yayınlamış ve 2.3.0 versiyonunu kullanım dışı bırakmıştır. Ek olarak, npm yayın mekanizması OpenID Connect (OIDC) desteği ile güncellenmiştir.

Etkilenen Sistemler

Bu saldırı, npm üzerinden Cline CLI paketini indiren tüm kullanıcıları etkilemektedir. Özellikle 2.3.0 versiyonunu kullananlar için risk daha fazladır. Ancak, Cline’ın Visual Studio Code (VS Code) eklentisi ve JetBrains eklentisi bu durumdan etkilenmemiştir.

Çözüm ve Korunma

Kullanıcılara öneriler:

• 2.4.0 versiyonuna güncelleme yapın.
• Sisteminizde OpenClaw yazılımının beklenmedik bir şekilde kurulup kurulmadığını kontrol edin.
• Gerekmediği takdirde OpenClaw yazılımını kaldırın.

Bu saldırı ile ilgili olarak Microsoft Tehdit İstihbarat ekibi, 17 Şubat 2026 tarihinde OpenClaw yüklemelerinde küçük ama belirgin bir artış gözlemlemiştir.

Aksiyon ve Sonuç

Kullanıcıların, sistem güncellemelerini yapmaları ve beklenmedik yazılımları kontrol etmeleri kritik öneme sahiptir. Yazılım güvenliğine yönelik bu tarz saldırıların artış göstermesi, kullanıcıların ve geliştiricilerin dikkatli olmalarını zorunlu kılmaktadır. Özellikle, her güncelleme ve paket yüklemesi öncesinde güvenlik açısından değerlendirme yapılması gerekmektedir.