- Katılım
- 27 Haz 2025
- Mesajlar
- 214
- Tepkime puanı
- 7
- Puanları
- 18
Yeni bir yapay zekâ modeli çıktığında hepimiz hemen denemek istiyoruz. Siber saldırganlar da tam bu heyecanı kullanıyor. Check Point Research (CPR),
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
başlıklı araştırmasında (27 Ekim 2026) Yoba adını verdiği bir zararlı yazılım kampanyasını anlattı. Kampanya, sahte ChatGPT ve Claude masaüstü uygulamalarıyla yapay zekâ kullanıcılarını hedef alıyor. Gel, tuzağın nasıl kurulduğuna ve kendini nasıl koruyacağına birlikte bakalım.
Tuzak nasıl kuruluyor?
- Saldırganlar GitHub’da depolar ve GitHub Pages siteleri açıp “GPT-5.6 Sol”, “GPT-6 Astra” ve “Claude Opus” gibi adlarla sözde masaüstü uygulamalarının reklamını yapmış.
- İndirme bağlantıları, GitHub sürümleri (releases) olarak barındırılan zararlı ZIP dosyalarına gidiyor. Araştırmaya göre ilk zararlı dosyalar ağustos sonu ile eylül başında yüklenmiş.
- Depolarda sahte yıldız ya da çatallama (fork) şişirmesi yok. Ama CPR’ye göre bu projeler Google aramalarında üst sıralarda çıkmış. CPR bunu SEO zehirlemesi (SEO poisoning) ile uyumlu buluyor. Yani tuzak, yapay zekâ aracını arayan kişinin karşısına arama sonucunda çıkıyor.
İmzalı dosya neden kandırıyor?
- ZIP paketinin içinde gerçek ve imzalı bir OpenAI Setup.exe (Claude paketinde gerçek, imzalı bir Claude dosyası) var.
- Bu gerçek dosya çalıştırıldığında yanına konmuş zararlı bir winmm.dll dosyasını yüklüyor. Bu bilinen tekniğe DLL sideloading (DLL yandan yükleme) deniyor.
- Yani dosyanın imzası geçerli, ama paketin geri kalanı değil. Check Point’in dediği gibi geçerli bir imza tek bir dosyanın güvenilirliğini gösterir, yanında gelen her parçanın değil.
- Önemli not: CPR’nin araştırması ChatGPT, Claude, OpenAI ya da Anthropic’in ele geçirildiğini göstermiyor. Saldırganlar yalnızca bu markaların bilinirliğini ve gerçek dosyalarını kötüye kullanıyor.
Bilgisayara girince ne yapıyor?
- Devam etmek için yönetici yetkisi istiyor. Yetki yoksa ekranda “Please run this program as Administrator.” mesajı çıkıyor. Bu, kurulum dosyasına yönetici izni vermeden önce iki kez düşünmen için iyi bir örnek.
- Windows Media Player’a aitmiş gibi görünen bir zamanlanmış görev oluşturuyor ve bilgisayar her açıldığında yaklaşık üç dakika sonra yeniden devreye giriyor.
- Sonraki adımı almak için Telegram, Google’ın DNS-over-HTTPS hizmeti ve Catbox gibi meşru internet hizmetlerini kullanıyor. Bu da trafiğini normal kullanımdan ayırt etmeyi zorlaştırıyor.
- CPR’nin incelediği kampanyada son yük, XMRig kripto para madencisiydi. Madenci, kullanıcı bilgisayarı aktif kullanırken madenciliği duraklatıyordu.
- Ancak CPR, YobaLoader’ın başka Windows ya da PowerShell zararlılarını da indirebilen genel bir yükleyici olduğunu vurguluyor. Bu yüzden bulaşmayı “sadece madenci” diye değil, daha geniş bir ele geçirme olarak görmek gerekiyor.
- CPR, aynı ailenin daha eski bir sürümünün haziran 2026’da Cursor.exe adlı bir dosya üzerinden yayıldığını da raporluyor.
Türkiye durumu
- Check Point’in yayınlarında Türkiye’ye özel bir sayı ya da uyarı yok.
- Araştırmaya göre zararlı, klavye dili BDT bölgesine ait olan bilgisayarlara (Rusça, Kazakça, Azerbaycanca, Özbekçe, Türkmence gibi) bulaşmıyor. Türkçe bu hariç tutulan diller arasında değil, yani Türkiye’deki kullanıcılar da hedef kitlenin içinde.
- Tuzak, arama motoru ve GitHub üzerinden yürüdüğü için “yeni model çıktı, masaüstü sürümünü indir” türü içeriklere Türkçe aramalarda da rastlayabilirsin.
Check Point ne öneriyor?
Check Point’in
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
özü şu:- Yapay zekâ uygulamalarını arama sıralamasına, GitHub sayfalarına ya da üçüncü taraf bağlantılara güvenerek değil, yalnızca üreticinin kendi kanallarından indir.
- Yetkisiz uygulamaları ve gereksiz yönetici yetkilerini kısıtla. Hangi uygulamanın çalışabileceğini denetlemek, doğrulanmamış yazılımın yerleşmesini zorlaştırır.
- İndirilen dosyaların ve uygulamaların ne yaptığını denetleyen güvenlik çözümleri kullan ve yalnızca ilk dosyaya değil, sonrasındaki davranışa da bak.
Günlük hayatta pratik önlemler
Bu bölüm resmî kaynak değil, kendi önerilerim:- Resmî adresi ezberle: ChatGPT’nin masaüstü uygulaması için
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol., Claude içinZiyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.adreslerini kullan. Arama sonucundaki ilk bağlantıya değil, adres çubuğundaki alan adına bak.
- Duyurulmamış model adlarına şüpheyle yaklaş: Bir “masaüstü sürümü” üreticinin kendi sitesinde ya da blogunda duyurulmadıysa büyük ihtimalle sahte.
- Kurulum için yönetici izni isteyen ZIP’lere dikkat et: Bir sohbet uygulamasının, ZIP içinden çıkan bir dosyayla yönetici yetkisi istemesi alarm işaretidir.
- Ekibini bilgilendir: Ajansta ya da şirkette çalışıyorsan, çalışanların yapay zekâ araçlarını nereden indirdiğini konuşun. Ortak bir “onaylı araçlar” listesi tutmak işinizi kolaylaştırır.
- Bilgisayarın boşta beklerken fanı sebepsiz yere hızlanıyorsa güvenlik taraması yap. Bu kampanyadaki madenci de sen bilgisayarı kullanırken duraklıyordu. Temel güvenlik alışkanlıklarını #23 numaralı konuda, ekim ayının diğer tehditlerini de #261 numaralı rehberde bulabilirsin. GPT-6’nın gerçek çıkışını ise #218 numaralı konuda konuşmuştuk.
Kaynaklar:
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
,
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
,
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
,
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
(4 Kasım 2026’da kontrol edildi)Sen yeni bir yapay zekâ aracını indirirken resmî site olduğunu nasıl kontrol ediyorsun? Hiç “masaüstü sürümü” diye şüpheli bir bağlantıyla karşılaştın mı?
