Özet: Microsoft’un 1 Eylül 2026’da açıkladığı aktif kampanya, saldırganların güvenilir yazılım markalarını taklit eden indirme sayfalarıyla değişken içerikli ZIP dosyaları dağıttığını gösteriyor. Türkiye’de aynı alan adları hedef olmayabilir; ancak sahte indirme sayfasını ayırt etmek için kullanılan kontrol yöntemi herkes için geçerli.

Bir programı arama motorunda bulup ilk “İndir” düğmesine basmak, yıllardır bilinen bir risk. Buna rağmen yeni kampanyalar eski yöntemi daha ikna edici hale getiriyor. Microsoft Security’nin 1 Eylül 2026 tarihli araştırması, çevre birimi sürücüsünden PDF aracına ve tarayıcıya kadar çeşitli ürünleri taklit eden sitelerin zararlı kurulum arşivleri dağıttığını belgeliyor.

Microsoft’un gözlediği kurbanlar ağırlıklı olarak Çin merkezli operasyonlar ve Çince kullanıcılar. Bu nedenle araştırmayı “Türkiye’ye özel saldırı başladı” şeklinde sunmak doğru değil. Türkiye açısından değerli olan, saldırı zincirinin genellenebilir işaretleri: markaya benzeyen alan adı, aynı isimle tekrar indirildiğinde değişen dosya, güvenlik ayarlarını zayıflatma girişimi ve kalıcılık için zamanlanmış görev kullanımı.

Temiz görünen indirme sayfası neden yeterli değil?

Saldırgan sayfası gerçek satıcının renklerini, ürün görsellerini ve büyük indirme düğmesini kopyalayabilir. Tarayıcıdaki kilit simgesi de yalnızca bağlantının şifreli olduğunu gösterir; sayfanın gerçek markaya ait olduğunu kanıtlamaz. Araştırmada taklit alan adlarının ürün adlarını içeren .com.cn ve .hl.cn uzantıları kullandığı, indirme düğmesinin ise başka teslim sunucularına yönlendirdiği görülmüş.

Daha önemli ayrıntı, arşivin dosya adı aynı kalırken özet değerinin her indirmede değişebilmesi. Microsoft, bunun sunucu tarafında istek başına yük üretildiğine dair güçlü bir işaret olduğunu söylüyor. Sonuç: Tek bir SHA‑256 listesini engellemek yararlı olsa da dosya adları ve özetler hızla döndürülüyorsa tek başına yeterli değil. Davranış ve indirme kaynağı birlikte incelenmeli.

Sahte yazılım indirme sitesini anlamak için 8 test

1. Arama sonucundan değil resmî ana sayfadan başlayın

Ürünün alan adını bildiğiniz yer iminden veya üreticinin doğrulanmış belgesinden açın. Reklam etiketi taşıyan sonuç, gerçek markanın üstünde görünebilir. Alan adında ek kelime, tire, alışılmadık ülke uzantısı veya harf değişimi varsa durun.

2. İndirme bağlantısının hedefini okuyun

Düğmenin gösterdiği alan adı ile dosyanın geldiği alan adı farklı olabilir. İçerik dağıtım ağı kullanılması tek başına kötü değildir; ancak hiç tanımadığınız, rastgele görünen bir alan adı ve belirsiz yol güçlü uyarıdır.

3. Yayıncı imzasını kontrol edin

Windows’ta kurulum dosyasına sağ tıklayıp Özellikler içindeki Dijital İmzalar bölümüne bakın. İmzanın bulunmaması her açık kaynak aracını zararlı yapmaz; fakat kurumsal bir üreticiyi taklit eden dosyada beklenen imza yoksa çalıştırmayın.

4. Sağlanan SHA‑256 değerini doğrulayın

Üretici resmî sayfasında özet yayımlıyorsa dosyanın değerini karşılaştırın. Windows ve macOS komutları için SHA‑256 dosya doğrulama rehberi uygulanabilir. Özetin yalnızca aynı sahte sayfada verilmesi bağımsız kanıt değildir.

5. Dosya adından hüküm vermeyin

setup.zip veya ürün adına benzeyen arşiv güven göstergesi değildir. Microsoft’un kampanyasında aynı isimli arşivlerin içerikleri değişiyordu. İndirme kaynağı, imza, özet ve çalıştırma davranışı beraber değerlendirilmelidir.

6. Güvenlik kapatma talebini reddedin

Kurulum size Defender’ı, SmartScreen’i ya da tarayıcı korumasını kapatmanızı söylüyorsa işlemden çıkın. Araştırmadaki zararlı, Defender dışlamaları eklemeye ve bazı güvenlik hizmetlerini devre dışı bırakmaya çalışıyordu.

7. Zamanlanmış görev ve yönetici isteğini sorgulayın

Sıradan bir görüntüleyici veya sözlük uygulamasının SYSTEM yetkili görev oluşturması beklenmez. Gereksiz yönetici istemi, kısa aralıklarla yeniden çalışan görev veya rastgele klasörlerde yürütülebilir dosya oluşması olay incelemesi gerektirir.

8. Şüphedeyseniz çalıştırmadan silin ve yeniden indirin

Dosyayı açmadan resmî mağaza ya da üretici kanalına dönün. Çalıştırdıysanız yalnız arşivi silmek yeterli değildir; cihazı ağdan ayırmak, güvenlik taraması yapmak, zamanlanmış görevleri ve Defender uyarılarını incelemek gerekir.

İşletmeler için davranış odaklı kontrol

Microsoft; SmartScreen, Network Protection, Tamper Protection ve bulut tabanlı korumaların açık tutulmasını öneriyor. Kurumsal tarafta indirme yönlendiren sayfa ile teslim sunucusunun birlikte kayda alınması, yalnız dosya adına göre alarm üretmekten daha dayanıklı. Kampanyada zararlıların rastgele klasör adları kullanması ve güvenlik dışlamaları yazması, davranış tabanlı avcılığın neden önemli olduğunu gösteriyor.

Küçük işletmelerde bunun karşılığı pahalı bir SOC kurmak zorunda olmak değildir. Çalışanlara onaylı yazılım kataloğu vermek, yönetici yetkisini günlük hesaptan ayırmak ve yeni kurulumları merkezi kayda almak saldırı yüzeyini ciddi biçimde daraltır. İndirilen dosyanın kaynağı bilinmiyorsa BT sorumlusunun dosyayı çalıştırmadan incelemesi, sonradan bütün cihazı temizlemekten daha düşük maliyetlidir.

Sahte CAPTCHA ve PowerShell saldırısı farklı bir giriş yöntemi kullanıyordu; ortak nokta, kullanıcının güvenilir görünen bir arayüzle tehlikeli işlemi kendi eliyle başlatması. En basit savunma hâlâ etkili: yazılımı arama reklamından değil doğrulanmış kaynaktan almak, güvenlik kapatma talebini reddetmek ve dosyayı çalıştırmadan önce kaynağı sınamak.

İki dakikalık son kontrol

  • Alan adı üreticinin resmî alan adı mı?
  • İndirme başka ve belirsiz bir sunucuya mı gidiyor?
  • Dosyanın geçerli yayıncı imzası var mı?
  • Resmî kaynaktaki SHA‑256 ile eşleşiyor mu?
  • Kurulum güvenlik özelliğini kapatmanızı istiyor mu?
  • Ürün işleviyle ilgisiz yönetici yetkisi talep ediyor mu?

Bu sorulardan biri bile açıklanamıyorsa dosyayı çalıştırmamak, sonradan temizlemeye çalışmaktan çok daha ucuzdur.