Sahte 7-Zip kurulum dosyaları cihazları gizli proxy ağına dönüştürüyor
Infoblox araştırmacıları, 'Lurking Lizard' adını verdikleri bir tehdit aktörünün 230'dan fazla taklit alan adı üzerinden en az 2022'den beri sahte 7-Zip kurulum dosyaları dağıttığını ortaya çıkardı. Kurbanların cihazları fark ettirilmeden 'rezidansiyel proxy' düğümüne dönüştürülüp kiralanıyor. Operasyon zamanla, Apple ve Google mağazalarında 1 milyondan fazla indirilen WireVPN adlı bir uygulamaya evrildi ve Çin bağlantılı olduğu değerlendiriliyor.
Güvenlik şirketi Infoblox, popüler açık kaynaklı sıkıştırma aracı 7-Zip’in sahte kurulum dosyalarını dağıtan geniş çaplı bir kampanyayı belgeledi. Araştırmacıların ‘Lurking Lizard’ adını verdiği tehdit aktörü, 230’dan fazla taklit alan adı üzerinden en az 2022’den beri faaliyet gösteriyor.
Nasıl çalışıyor?
Kampanyanın işleyişi sinsi: 7-Zip aramak için arama motoruna giren kullanıcılar, gerçeğine çok benzeyen taklit indirme sitelerine yönlendiriliyor. Buradan indirilen kurulum dosyası, aracın kendisini gerçekten kuruyor — ancak arka planda cihazı, fark ettirmeden bir ‘rezidansiyel proxy’ (residential proxy) düğümüne dönüştürüyor. Kurbanın internet bağlantısı, üçüncü taraflara kiralanan bir trafik geçiş noktası haline geliyor.
VPN uygulamasına evrilen operasyon
Araştırmaya göre operasyon zamanla yalnızca sahte kurulum dosyalarıyla sınırlı kalmadı; WireVPN adlı, Apple ve Google uygulama mağazalarında 1 milyondan fazla indirilen bir uygulamaya evrildi. Infoblox, kampanyanın Çin bağlantılı olduğunu değerlendiriyor.
Neden önemli
Rezidansiyel proxy ağları, saldırganların kötü amaçlı trafiği sıradan ev kullanıcılarının IP adresleri arkasına gizlemesine olanak tanıyor — bu da hem kurban cihazın itibarını riske atıyor hem de kolluk kuvvetlerinin iz sürmesini zorlaştırıyor. Dört yıla yakın süredir fark edilmeden büyüyen bu operasyon, “ücretsiz araç indirme” alışkanlığının resmi kaynak dışına çıktığında ne kadar kalıcı bir risk doğurabildiğini gösteriyor.
Popüler ücretsiz araçların taklit siteleri, yıllarca fark edilmeden çalışabilen kalıcı bir tedarik zinciri riskine dönüşüyor; yazılım indirmelerinin yalnızca resmi kaynaklardan yapılması ve kurumsal ağlarda beklenmedik proxy trafiğinin izlenmesi önem kazanıyor.
- The Hacker News · 2026-07-09
- GuardianMSSP · 2026-07-09
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.