Özet: Microsoft, 2 Eylül 2026’da Teams üzerinden BT desteği kılığına girip uzaktan erişim alan insan kontrollü bir saldırı zincirini belgeledi. En etkili savunma, arayanı bilinen ikinci bir kanaldan doğrulamak ve beklenmeyen kontrol isteğini reddetmek.
Ekranda şirket logosuna benzeyen bir profil, başlıkta “IT Support” ve konuşmada teknik terimler olabilir. Yine de ilk soru “Bu kişi ikna edici mi?” değil, “Bu destek talebini ben mi açtım ve kimliğini bağımsız bir kanaldan doğruladım mı?” olmalı. Çünkü modern sosyal mühendislik artık yalnız e-postadaki şüpheli bağlantıya dayanmıyor; gerçek iş araçları ve gerçek uzaktan destek yazılımları da saldırı zincirine dönüşebiliyor.
Microsoft Security Research’ün 2 Eylül 2026 tarihli araştırması, harici bir Teams kullanıcısının BT veya yardım masası görevlisi gibi davrandığı insan kontrollü bir kampanyayı anlatıyor. Kurban uzaktan kontrol verdiğinde saldırgan PowerShell aracılığıyla kötü amaçlı bir MSI indiriyor; taşınabilir Node.js çalışma zamanı ile gizlenmiş JavaScript implantı kuruyor ve kalıcı komut çalıştırma elde ediyor.
Saldırı neden inandırıcı görünüyor?
Zincirin başında bilinmeyen bir dosya değil, çalışanların her gün kullandığı Teams var. Microsoft, uygulamanın harici kiracı etiketi, kabul veya engelleme istemi, mesaj önizlemesi ve kimlik avı göstergeleri sunduğunu belirtiyor. Saldırı bu kontrolleri teknik bir açıkla kırmıyor; kullanıcıyı uyarıları geçmeye ve kontrolü gönüllü vermeye ikna ediyor.
Bahane “güvenlik güncellemesi”, “istenmeyen posta filtresi”, “hesap doğrulama” veya hesabın kapanmasını önleme görevi olabilir. Sesli arama baskıyı artırabilir; böylece tehlikeli talimatlar sohbet kaydında da kalmayabilir. Ardından saldırgan, kurbandan ekran paylaşımı sırasında kontrol isteğini onaylamasını ya da Quick Assist gibi bir araca bağlantı kodu girmesini ister.
Uzaktan erişimden sonra ne oluyor?
Microsoft’un gözlemlediği zincirde kötü amaçlı MSI, kullanıcı yazılabilir bir dizine yükleyici ve şifreli implant bırakıyor. Meşru Windows Installer, PowerShell, komut istemi, WScript ve Node.js bileşenleri kullanıldığı için etkinlik normal yönetim işlerine benzeyebiliyor. Operatör cihazı ve Active Directory ortamını inceliyor, ekran görüntüsü alıyor ve WinRM üzerinden etki alanı denetleyicisi gibi değerli sistemlere ilerlemeye çalışıyor.
Bu ayrıntı önemli: “Antivirüs dosyayı yakalamadıysa sorun yok” denemez. Olayın önemli bölümü meşru araçlarla, geçerli kullanıcının açtığı oturumda gerçekleşebilir. Savunma yalnız zararlı dosya imzasına değil, talebin kimliğine, uzaktan destek sürecine ve olağandışı yönetim davranışına bakmalıdır.
Çalışanın 60 saniyelik doğrulama kuralı
- Talebi durdurun: Ekran kontrolü, Quick Assist kodu, komut çalıştırma veya dosya indirme isteniyorsa hiçbirini yapmayın.
- Harici etiketi okuyun: Profil fotoğrafına değil, kişinin hangi tenant veya kuruluştan geldiğine bakın.
- İkinci kanala geçin: Mesajdaki numarayı kullanmadan şirket rehberindeki yardım masası numarasını arayın ya da daha önce bilinen destek portalındaki kaydı kontrol edin.
- Talep numarasını sorun: Açmadığınız kaydı çözmek için uzaktan bağlantı kurulması başlı başına alarmdır.
- Reddedin ve bildirin: Sohbeti engelleyin, güvenlik ekibine zaman, gönderen hesabı ve istek türünü iletin.
Gerçek yardım masası, çalışanın kimlik doğrulama isteğine itiraz etmemeli. “Hemen yapmazsan hesabın kapanacak” baskısı, sıradan bir destek işinin değil sosyal mühendisliğin işaretidir. Benzer biçimde bir web sayfasının terminal komutu çalıştırmanızı istemesi de ciddi uyarıdır; bu senaryo için sahte CAPTCHA ve PowerShell kontrol rehberine bakabilirsiniz.
Kurumlar hangi teknik sınırları koymalı?
Microsoft; Teams harici erişimini güvenilen alan adlarıyla sınırlamayı, harici gönderen göstergelerini belirgin tutmayı ve uzaktan destek öncesi cihaz veya kimlik tabanlı doğrulama uygulamayı öneriyor. Kimlik avına dayanıklı çok faktörlü doğrulama ve uyumlu cihaz koşulu, çalınmış oturumun değerini azaltabilir.
Uzaktan yönetim araçları için izin listesi belirleyin. PowerShell, WScript ve msiexec üzerinden indirilen içeriği engelleyen saldırı yüzeyi azaltma kurallarını ortamınıza göre test edin. WinRM’nin TCP 5985 trafiğini yalnız yetkili yönetim istasyonlarından kabul etmesini sağlayın; kullanıcı cihazından etki alanı denetleyicisine giden WinRM bağlantısını yüksek öncelikli alarm olarak değerlendirin.
Bağlantı verildiyse ilk 15 dakika
Cihazı ağdan ayırın fakat kapatmadan güvenlik ekibinin müdahale prosedürünü izleyin. Kullanıcıdan hangi istekleri onayladığını ve hangi komutların çalıştırıldığını zaman çizelgesiyle alın. Etkilenen cihazda oturum açılmış hesapların parolalarını temiz bir cihazdan değiştirin; oturum belirteçlerini iptal edin. Kurumsal hesap veya yönetici kimliği kullanıldıysa kapsamı yalnız o bilgisayarla sınırlı varsaymayın.
Türkiye’de küçük işletmeler çoğu zaman destek işini dışarıdan hizmet aldığı firmaya bırakıyor. Bu durumda doğrulama daha da somut olmalı: sözleşmede kayıtlı numara, önceden belirlenmiş çağrı kodu ve destek bileti olmadan uzaktan kontrol verilmemeli. En ucuz kontrol, çalışanların doğru kişiyi yanlış kanaldan değil, bilinen kanaldan geri aramasıdır.
Bu kuralı yılda bir sunumla bırakmayın. Muhasebe, insan kaynakları ve yönetici asistanları gibi sık destek alan ekiplerle kısa bir masa başı tatbikatı yapın: Harici bir kullanıcı “güncelleme” bahanesiyle aradığında kim durduracak, hangi numara aranacak, olay nereye bildirilecek? Tatbikatta kimseyi kandırmaya çalışmak gerekmez; ekrana örnek bir istek koyup üç dakikada doğru yolu bulmalarını isteyin. Amaç korku yaratmak değil, baskı anında düşünmeye ihtiyaç bırakmayan bir refleks oluşturmaktır.
Saldırının dersini tek cümleye indirmek mümkün: Meşru uygulama, meşru araç ve teknik konuşma meşru kişi anlamına gelmez. Kimlik ikinci kanalda doğrulanmadan ekran, komut satırı ve uzaktan kontrol paylaşılmaz.
