NeedyMantis: Ağlara Sızan Gelişmiş Kalıcı Tehdit

Siber güvenlik dünyası, ihlal edilmiş ağlarda uzun süreli erişim sağlamak amacıyla kullanılan yeni ve sinsi bir zararlı yazılım ailesiyle karşı karşıya. Microsoft’un detaylı teknik analizleri, NeedyMantis zararlı yazılımı adını taşıyan bu yeni tehdidin, telekomünikasyon kuruluşlarından üniversitelere, tıbbi kar amacı gütmeyen organizasyonlardan hükümet yüklenicilerine kadar geniş bir yelpazeyi hedef aldığını ortaya koydu. Bu yazılımın faaliyetleri en az Ekim 2025’e kadar uzanıyor ve siber saldırganların ağlara girdikten sonra nasıl kalıcı izler bıraktığına dair kritik bilgiler sunuyor.

NeedyMantis Ortaya Çıkıyor: Geçmiş ve Hedefler

Microsoft’un NeedyMantis’i keşfi, DAEMON Tools’a yönelik tedarik zinciri saldırısına ilişkin Kaspersky soruşturmasından elde edilen göstergelerin takibiyle başladı. Bu saldırıda, DAEMON Tools Lite disk imaj programının resmi ve imzalı yükleyicileri, 8 Nisan 2026’dan itibaren kötü niyetli kod taşıyordu. Geliştirici, 5 Mayıs’ta bu sürümleri temiz bir versiyonla değiştirdi. Microsoft, bu saldırıyla bağlantılı aktiviteyi Storm-3069 olarak adlandırıyor. Storm-3069’un NeedyMantis kullanan gruplardan biri olduğu belirtilse de, zararlı yazılımın kendisinin bir tedarik zinciri saldırısıyla yayıldığına dair bir kanıt henüz bulunamadı.

NeedyMantis, başta telekomünikasyon şirketleri olmak üzere akademik kurumlar, tıbbi dernekler, hükümetlerarası organizasyonlar ve savunma sanayii yüklenicileri gibi kritik altyapılara odaklanıyor. Bu durum, siber saldırganların uzun vadeli istihbarat toplama veya sabotaj potansiyeline sahip hedeflere yöneldiğini düşündürüyor. Hedef alınan kuruluşların çeşitliliği, tehdidin geniş bir coğrafyaya yayıldığını ve farklı sektörlerde benzer zafiyetlerin kullanıldığını gösteriyor.

Sinsi Yayılım: NeedyMantis Nasıl Çalışır?

Microsoft’un incelediği vakalarda, NeedyMantis genellikle üç bölümden oluşan bir paket olarak sisteme ulaşıyor. Bu paket, meşru bir programın kopyası, bu programın yüklediği bir dosyanın adını taşıyan kötü niyetli bir DLL ve DLL ile aynı adı taşıyan şifreli bir arşiv içeriyor. Program başladığında, kötü niyetli DLL’yi yükleyerek DLL sideloading adı verilen bir teknik kullanıyor. Bu yöntem, yasal bir yazılımın işlevselliğini taklit ederek veya değiştirerek güvenlik sistemlerini atlatmayı hedefliyor.

Zararlı yazılımın kullanıldığı meşru programlar arasında Poedit çeviri aracı, curl, Vim metin düzenleyici ve TightVNC uzaktan erişim aracı bulunuyor. NeedyMantis ayrıca Microsoft Office, Broadcom, Intel ve NVIDIA’ya ait DLL dosyaları gibi görünerek kendini gizleyebiliyor. Microsoft tarafından detaylı incelenen bir örnekte, kötü niyetli dosya Poedit’in güncelleme bileşeni olan WinSparkle.dll’nin yerini almıştı. Ağlara ilk erişim yolları her saldırıda farklılık gösterebilir; bir saldırıda, ağa zaten sızmış bir operatörün Impacket araç setini kullanarak paketi bir ağ paylaşımından kopyalayıp hedef makinede çalıştırdığı görüldü.

Yüklendikten sonra, kötü niyetli DLL şifreli arşivden bir sonraki aşamayı açar ve çalıştırır. Bu aşama, zararlı yazılımın ana bileşenini çözer. Ana bileşen, HTTPS üzerinden bir komuta ve kontrol (C2) sunucusuna bağlanır, ardından bir WebSocket bağlantısına geçer. Bu bağlantı aracılığıyla operatörler, ek modülleri yükleyip boşaltabilir ve onlara veri gönderebilir. Microsoft bu modüllerin tam olarak ne işe yaradığını henüz doğrulamadı. Ekim 2025’te görülen eski bir sürümde, Windows hizmetlerini kullanan bir kalıcılık modülü bulunuyordu. Ancak, analiz edilen yeni sürümün makinede nasıl kaldığına dair detaylar açıklanmadı.

Storm-3069 ve Operasyonel Bağlantılar

Storm-3069, Microsoft’un yeni veya gelişmekte olan siber saldırı gruplarına verdiği geçici bir isimdir. Şirket, grubun arkasındaki aktörler veya kökenleri hakkında kesin bilgi edinene kadar bu tür isimlendirmeleri kullanır. Bu durum, NeedyMantis’in operasyonlarının hala aktif olarak araştırıldığını ve kesin bir faillik atfı için daha fazla kanıta ihtiyaç duyulduğunu gösterir. Saldırganların kimliği ve motivasyonları, bu tür uzun vadeli sızmalarda kritik önem taşır ve genellikle istihbarat toplama veya finansal kazanç gibi hedeflere işaret eder.

Microsoft, NeedyMantis’in Storm-3069’un DAEMON Tools kampanyası dışındaki aktivitelerde de görüldüğünü belirtiyor. Bu gözlem, zararlı yazılımın birden fazla grup tarafından kullanılabileceği ihtimalini güçlendiriyor. Tüm aktivitelerin tek bir aktörden mi kaynaklandığı veya Storm-3069 ile NeedyMantis arasındaki bağlantının ne olduğu henüz kesinleşmiş değil. Microsoft’un değerlendirmelerine göre, Storm-3069’un faaliyetlerinin Çin’den kaynaklandığı düşünülüyor. Bu coğrafi atıf, siber güvenlik dünyasında sıklıkla görülen devlet destekli veya bağlantılı siber casusluk faaliyetlerine işaret edebilir.

Kurumlar Kendini Nasıl Koruyabilir?

NeedyMantis gibi kalıcı erişim sağlayan zararlı yazılımlara karşı koruma, çok katmanlı bir savunma stratejisi gerektirir. Microsoft, ağ savunucularının sistemlerini NeedyMantis tehdidine karşı kontrol edebilmeleri için bazı önemli göstergeler yayımladı. Bu göstergeler arasında zararlı yazılımla ilişkili dosya özetleri (hashler), komuta ve kontrol sunucularıyla bağlantılı alan adları (domainler), sisteme bırakılan dosya yolları ve ağlarda anomali avcılığı (hunting) yapmak için kullanılabilecek özel sorgular bulunuyor.

Kurumların bu bilgileri kullanarak düzenli olarak ağ taramaları yapması, anormal aktiviteleri tespit etmesi ve potansiyel enfeksiyonları erken aşamada belirlemesi büyük önem taşır. Özellikle DLL sideloading gibi teknikler, meşru yazılımların arasına gizlendiği için geleneksel antivirüs çözümlerini atlatabilir. Bu nedenle, davranış tabanlı tespit sistemlerinin ve uç nokta algılama ve yanıt (EDR) çözümlerinin etkin kullanımı, bu tür gelişmiş tehditlere karşı kritik bir savunma hattı oluşturur. Güvenlik ekiplerinin paylaşılan tehdit istihbaratını sürekli takip etmesi ve proaktif avcılık faaliyetlerini sürdürmesi, NeedyMantis gibi sinsi saldırılara karşı direncini artıracaktır.

Kalıcı Tehditler Çağında Siber Güvenlik Yaklaşımı

NeedyMantis’in ortaya çıkışı, modern siber tehditlerin giderek daha sofistike hale geldiğini ve saldırganların ağlara sızdıktan sonra uzun süre gizli kalma stratejileri geliştirdiğini bir kez daha gözler önüne seriyor. Geleneksel güvenlik yaklaşımları, ilk erişimi engellemeye odaklanırken, NeedyMantis gibi tehditler, saldırı sonrası kalıcılık ve ağ içi hareket kabiliyetine vurgu yapıyor. Bu durum, siber güvenlik stratejilerinde önemli bir değişim gerektiriyor; artık sadece ‘içeri girmeyi engellemek’ yeterli değil, ‘içeride ne olduğunu anlamak ve temizlemek’ de hayati bir önem taşıyor.

Kurumların sadece dışarıdan gelen tehditlere karşı değil, iç ağlarındaki potansiyel tehlikelere karşı da sürekli tetikte olması gerekiyor. Düzenli güvenlik denetimleri, zafiyet yönetimi, çalışan farkındalığı eğitimleri ve olay müdahale planlarının güncel tutulması, bu tür kalıcı tehditlere karşı koymada temel taşları oluşturur. NeedyMantis gibi zararlı yazılımlar, siber güvenlik ekosisteminin sürekli evrim geçirdiğini ve savunmacıların da bu değişime ayak uydurmak zorunda olduğunu gösteren somut bir örnektir.