RustDuck: Yeni Bir Tehdit Oluşturuyor

Yeni bir iki aşamalı zararlı yazılım ailesi olan RustDuck, ev yönlendiricileri, IP kameralar, Android kutuları ve zayıf korunmuş sunucuları hedef alarak, bu cihazları çevrimdışı bırakmak için oluşturulmuş bir ağa bağlamakta. QiAnXin’in XLab araştırmacıları, bunu Şubat 2026’dan beri takip etmekte ve bu zararlı yazılımın ne kadar büyük olduğundan ziyade, ne kadar hızlı bir şekilde değiştiğinin altını çizmektedirler.

Saldırı Nasıl Çalışıyor?

RustDuck, tek bir kurnaz trik kullanmaktan ziyade, eski, iyi bilinen zayıflıkları bir arada kullanarak yayılmayı hedeflemektedir. İlk olarak, cihazların internet üzerinde zayıf veya varsayılan parolalarla açık bırakılması en eski taktiğidir.

Araştırmanın bulgularına göre, RustDuck şu yöntemlerle yayılmaktadır:

• Varsayılan ve Zayıf Parolalar: Uzaktan erişim hizmetleri (Telnet ve SSH) için zayıf parolalar kullanılarak cihazlara girmek.
• Yamanmamış Cihaz Hataları: RustDuck, Android hata ayıklama arayüzü gibi açıkları hedef alır ve TVT, Ruijie, TP-Link ve ZTE gibi markalardaki hatalardan yararlanır.
• Web Yazılımlarındaki Güvenlik Açıkları: RustDuck, ThinkPHP, Jenkins ve Hadoop YARN gibi bilinen yazılımlardaki boşlukları da hedef alır.

XLab, bu zararlı yazılımı yaymak için 20’den fazla internet adresinin kullanıldığını belirtmektedir. Bunlar arasında en yoğun olan adres ise 176.65.139[.]204‘tadır.

RustDuck’un Karmaşıklığı

RustDuck iki aşamada kurulmaktadır: Öncelikle bir yükleyici küçük bir modülü şifre çözüp açarken, bu modülün çekirdek kısmı Rust dilinde yazılmıştır. Rust, analiz edilmesi C diline göre daha zor olan bir dil olarak bilinir ve RustDuck’un çekirdek yapısı, anahtar çıkarımı ve sunucularla iletişim varış şekli açısından derinlikli bir mühendislik sergilemektedir.

RustDuck’un mevcut sürümleri, hedef cihazın bir güvenlik araştırmacısının laboratuvarında olup olmadığını tespit etmek için bir dizi kontrol gerçekleştirmektedir:

• Analiz araçları (Wireshark, gdb) var mı?
• Sanallaştırma donanımı tanımlanabiliyor mu?

Bu kontrollerden biri, yanıt vermemesi gereken bir test adresine ulaşmaya çalışarak, eğer yanıt alırsa, zararlı yazılımın sahte bir ağda bulunduğunu anlar ve kendini silerek çalışmayı durdurur.

Etkilenen Sistemler

RustDuck, daha önceden bilinen diğer botnetlerle bazı benzerlikler taşımaktadır. Nisan 2025’te Fortinet tarafından belgelenen RustoBot, benzer bir yol izleyerek, DDoS saldırıları için yayılmaktadır. 2025’teki botnetler özellikle düşük maliyetli cihazları hedef alarak büyük trafik akışları oluşturmuşlardır.

Çözüm ve Korunma

RustDuck için doğrudan bir yamanın olmadığını belirtmek önemlidir çünkü bu bir zararlı yazılımdır, tek bir hata değildir. Korunmak için şu önlemleri almanız gerekir:

• Uzaktan yönetim arayüzlerini halka açık internetten kapatın. Android Debug Bridge, Telnet ve SSH gibi erişimleri gereksiz yere açık bırakmayın ve varsayılan parolalarla bırakmayın.
• Yamanabileceğiniz sistemleri güncelleyin, güncellenemeyenleri değiştirmeyi düşünün. Örneğin, D-Link DIR-823X için CISA, hizmetten çekilmesini öneriyor.
• Bilinmekte olan göstergeleri engelleyin. XLab’ın raporunda listelenen dosya hash’leri, kontrol alanları ve kaynak adresleri izleme sisteminize entegre edin.

RustDuck, küçük bir botnet gibi görünse de, ciddi bir botnetin mühendisliği ile donatılmıştır. Nasıl bir tehdit olacağı veya yayılıp yayılmayacağı belirsizdir. Ancak, test edilen teknikler, diğer gruplar tarafından kolaylıkla benimsenebilir.

Aralık ayında, Federal İletişim Komisyonu (FCC) yabancı ülkelerde üretilen dronların Amerika Birleşik Devletleri’ne ithalatını yasakladı. Bu yasak, üreticilerin istisna alması durumu dışında geçerli. Şimdi, FCC tüketici ağ ekipmanları için de aynı adımı atarak, “Amerika Birleşik Devletleri’nin ulusal güvenliği ve ABD vatandaşlarının güvenliği için kabul edilemez bir risk” olduğunu belirtti.

KadNap Botnet: ASUS Yönlendiricilerini Hedef Alıyor

KadNap adlı yeni keşfedilen botnet zararlısı, ASUS yönlendiricilerini ve diğer kenar ağ cihazlarını hedef alarak bunları kötü niyetli trafiğe proxy olarak kullanmakta. Bu durum, ağ güvenliğini tehdit eden yeni bir siber saldırı yöntemi olarak karşımıza çıkıyor.

Saldırı Nasıl Çalışıyor?

KadNap enfeksiyonu, 212.104.141[.]140 adresinden kötücül bir betik (aic.sh) indirilmesi ile başlamakta. Bu betik, her 55 dakikada bir çalışacak şekilde bir cron işi oluşturarak kalıcılığı sağlıyor. Kötücül yük ise, KadNap istemcisini kuran bir ELF ikili dosyası olan kad adıyla biliniyor.

Aktif hale geldikten sonra malware, ev sahibinin dış IP adresini belirliyor ve mevcut zamanı ve sistem açılış süresini elde etmek için birkaç Ağ Zaman Protokolü (NTP) sunucusuna bağlanıyor. KadNap, her node’un verinin alt kümesini yönetmesi sayesinde komut ve kontrol (C2) altyapısını tespit etmeyi zorlaştıran, özel bir Kademlia Tabanlı Dağıtılmış Hash Tablosu (DHT) protokolü kullanarak gizlilik sağlıyor.

Etkilenen Sistemler

Enfekte cihazların büyük bir kısmı ABD’de bulunmaktadır ve bu, toplamın %60’ını oluşturmaktadır. Diğer önemli yüzdeler ise Tayvan, Hong Kong ve Rusya gibi ülkelerde görülmektedir. KadNap ağı, 2025 yılı itibarıyla 14,000 cihazı aynı anda barındırmakta ve sürekli bir peer-to-peer bağlantısı kurarak kendisine ait C2 altyapısına bağlanmaktadır.

Monetize Etme Yöntemleri

KadNap botnetinin, daha önce ASUS yönlendiricilerini hedef alan TheMoon malware botnet’ine bağlantısı olduğu düşünülen Doppelganger adlı proxy hizmeti ile ilişkili olduğu bildirilmektedir. Doppelganger, enfekte cihazlara erişimi, kötü niyetli trafiğin yönlendirilmesi, taklit katmanları oluşturma ve kara liste engelleme gibi işlemler için satmaktadır.

Bu tür hizmetler genellikle dağıtılmış hizmet reddi (DDoS) saldırıları, kimlik bilgisi dolandırıcılığı ve kaba kuvvet saldırıları için kullanılmakta ve bu hepsinin başlangıç noktası KadNap kurbanlarıdır. Lumen, KadNap botnetine karşı proaktif tedbirler alarak, yayınlandığı anda tüm ağ trafiğini bu kontrol altyapısından engellediğini belirtmiştir.

Çözüm ve Korunma

Etkilenen kullanıcılar için önerilerimiz şunlardır:

• Yazılım Güncellemeleri: Tüm cihazların yazılımlarını ve firmware’lerini güncel tutun.
• Port Kapatma: Gerekli olmayan portları kapatın ve yönlendiricilerinizdeki uzaktan yönetim özelliklerini devre dışı bırakın.
• Ağ Güvenliği: Güvenlik duvarı kullanarak kötü niyetli trafiği engellemeye çalışın.

Sonuç olarak, bu tür zararlı yazılımlara karşı dikkatli olmak, cihazları uygun şekilde yapılandırmak ve güncellemeleri sürekli kontrol etmek hayati önem taşımaktadır. Güvenliğinizi sağlamak için yukarıdaki adımları izleyin ve ilave bilgi için güvenlik raporlarına başvurun.

Siber güvenlik araştırmacıları, 2019’dan beri Çin bağlantılı tehdit aktörleri tarafından işletilen DKnife adlı bir gateway izleme ve adversary-in-the-middle (AitM) çerçevesini gün yüzüne çıkardılar. Bu çerçeve, daha çok Çince konuşan kullanıcıları hedef alarak, derin paket inceleme, trafik manipülasyonu ve kötü amaçlı yazılım dağıtımı gibi işlevleri yerine getiriyor.

Saldırı Nasıl Çalışıyor?

DKnife, Linux tabanlı yedi bileşenden oluşuyor. Bu bileşenler, aşağıdaki işlevleri gerçekleştirmek için tasarlanmıştır:

• dknife.bin – Derin paket inceleme, kullanıcı etkinlik raporlaması, ikili indirme kaçırma ve DNS kaçırma işlemlerini yapılandırır.
• postapi.bin – DKnife’den gelen trafiği alarak uzak C2 sunucularına raporlayan bir veri raporlama modülüdür.
• sslmm.bin – TLS sonlandırması, e-posta şifre çözme ve URL yönlendirmesi yapan bir ters proxy modülüdür.
• mmdown.bin – Saldırı için kullanılan APK’ları indirmek üzere önceden belirlenmiş bir C2 sunucusuna bağlanan bir güncelleme modülüdür.
• yitiji.bin – Saldırganın enjekte ettiği LAN trafiğini yönlendirmek için bir köprülenmiş TAP arayüzü oluşturan bir paket iletim modülüdür.
• remote.bin – Uzak C2 ile iletişim kanalı oluşturan bir P2P VPN istemci modülüdür.
• dkupdate.bin – Diğer bileşenleri canlı tutan bir güncelleme ve izleme modülüdür.

Etkilenen Sistemler

DKnife, aşağıdaki sistem ve cihazları hedef alıyor:

PC'ler
Mobil cihazlar
IoT cihazları

Cisco Talos araştırmacısı olan Ashley Shen, “DKnife, ShadowPad ve DarkNimbus arka kapıları ile etkileşimde bulunmakta ve ikili indirmeleri ve Android uygulama güncellemelerini kaçırmakta” dedi.

Çözüm ve Korunma

Bu tehditin etkilerini azaltmak için aşağıdaki önlemleri almanız önerilir:

• İşletim sisteminizi ve yazılımlarınızı düzenli olarak güncelleyin, kesinlikle güncel sürümler kullanın.
• Güvenlik duvarı ve ağ güvenliği önlemleri alın, gereksiz portları kapatın.
• Kötü amaçlı yazılımlara karşı koruma sağlayan güvenlik yazılımları kullanın.
• İnternette gezinirken dikkatli olun, şüpheli bağlantılara tıklamayın.

Siber tehditlerin karmaşıklığı artırıldıkça, bu tür araçların ve saldırı yöntemlerinin anlaşılması çok önemlidir. Sonuç olarak, cihazlarınızı korumak için yukarıda belirtilen önlemleri almalı ve düzenli olarak güvenlik güncellemelerini yapmalısınız.