Otel Siber Saldırı Tehlikesi: ZIP Dosyalarıyla Gelen Gizli Tehdit

Avrupa ve Asya’daki otelleri hedef alan yeni bir otel siber saldırı dalgası, sektörde büyük endişe yaratıyor. Siber suçlular, görünüşte masum ZIP dosyaları ve ustaca tasarlanmış kimlik avı e-postaları aracılığıyla otel sistemlerine sızmaya çalışıyor. Bu karmaşık saldırılar, Node.js tabanlı gizli implantlar kullanarak ön büro makinelerine derinlemesine erişim sağlama potansiyeli taşıyor.

Nisan 2026’dan bu yana aktif olan bu kampanya, özellikle konaklama sektörünü mercek altına alıyor. Peki, bu yeni tehdit karşısında otel yönetimleri ve IT ekipleri ne gibi adımlar atmalı? Gelin, saldırının inceliklerini ve korunma yöntemlerini detaylıca inceleyelim.

Kimlik Avı Tuzağı Nasıl Kuruldu?

Saldırıların başlangıç noktası, otellerin işleyişine ustaca adapte edilmiş kimlik avı e-postaları. Bu e-postalar, aldatıcı bir şekilde “Booking Manager ()” gibi görünen gönderici adlarıyla geliyor. İçeriklerinde ise misafir şikayetleri, yatak böceği istilası iddiaları, oda sorguları, sağlık denetimi uyarıları veya konaklama değerlendirmeleri gibi otel operasyonlarının hassas noktalarına dokunan konular yer alıyor.

E-postaların Japonca, Danca ve Felemenkçe dillerinde hazırlandığı, Japoncanın en yaygın dil olduğu tespit edildi. Başlık satırlarında belirli bir alıcı veya tesis adı bulunmaması, bu saldırının yüksek hacimli, liste tabanlı bir gönderim stratejisiyle yayıldığını, kişiye özel (spear phishing) bir hedefleme olmadığını gösteriyor. Saldırganlar, itibar yönetimi baskısını kullanıyor; şikayetler, son uyarılar ve denetim tehditleriyle kurbanları hızlıca harekete geçirmeyi amaçlıyorlar.

Saldırının dağıtım mekanizması oldukça dikkat çekici. Operatörler, mesajları Calendly’nin e-posta bildirim sistemi ve Google’ın URL yönlendirme hizmeti üzerinden yönlendiriyorlar; bu taktik, “kimlik doğrulama aklama” olarak adlandırılıyor. Doğrudan Calendly yoluyla gönderilen e-postalar, SPF, DKIM ve DMARC kontrollerinden kolayca geçiyor. Neden mi? Çünkü bu e-postalar gerçekten yetkili altyapıdan gönderiliyorlar. Bu kontroller, göndericinin mesaj göndermesine izin verildiğini doğruluyor, ancak mesajın içeriği veya amacı hakkında hiçbir bilgi vermiyorlar. Peki, bu durum kullanıcılar için nasıl bir risk taşıyor?

Çok aşamalı bir zincir, kurbanı Calendly bağlantısından alıp `share.google` ve bir Google yönlendirmesi aracılığıyla yeni kaydedilmiş, Cloudflare destekli bir `.cfd` alan adına yönlendiriyor. Bu alan adı, aynı zamanda analiz karşıtı bir önlem olarak işlev gören bir Turnstile güvenlik denetiminin arkasında duruyor. Bu karmaşık yönlendirme zinciri, güvenlik araştırmacılarının ve otomatik sistemlerin tespitten kaçınmasını zorlaştırıyor. Kullanıcı bu adımları tamamladığında, `photo-.zip` adında bir dosya indiriyor. İşte asıl tehlike bu noktada başlıyor.

Teknik Detaylar: Node.js İmplantı ve Çok Aşamalı Zincir

İndirilen ZIP dosyasının içinde, bir resim dosyası gibi görünen bir kısayol (LNK) dosyası bulunuyor: ilk dalgada `IMG-.png.lnk`, ikinci dalgada ise `PHOTO-.png.lnk` adında. Bu kısayolun açılmasıyla birlikte bir PowerShell komut dosyası tetikleniyor. Bu komut dosyası, gizli bir indirme URL’sini çözmek için BigInt aritmetiği kullanıyor ve ardından bir `.ps1` dosyasını kullanıcının `%TEMP%` klasörüne indiriyor.

PowerShell betiği, saldırının kritik adımlarından birini oluşturuyor. Orijinal `nodejs.org` adresinden meşru bir Node.js v24.13.0 çalışma zamanını kullanıcı alanına bırakıyor. Bu, sistem genelinde Node.js kurulumuna ihtiyaç duymadan, kötü amaçlı JavaScript implantının çalıştırılmasını sağlıyor. Bu yöntem, saldırganların hedeflenen sisteme bağımlılık yaratmadan veya kurumsal güvenlik politikalarını ihlal etmeden çalışmasına olanak tanıyor. Kulağa ne kadar da sinsi geliyor, değil mi?

Bu implant, kurumsal ağlarda genellikle standart bir yazılım olmadığı için tespit edilmesi zor olabilir. Node.js’in meşru bir araç olması, kötüye kullanımını daha da tehlikeli hale getiriyor. Saldırganlar, meşru araçları kullanarak güvenlik çözümlerini atlatma konusunda giderek daha da ustalaşıyorlar. Bu durum, yalnızca imza tabanlı tespit yöntemlerinin yetersiz kaldığını bir kez daha gözler önüne seriyor. Davranışsal analiz ve anormallik tespiti, bu tür gelişmiş tehditlerle mücadelede hayati önem taşıyor.

İmplant, başarıyla yerleştikten sonra, siber suçlulara hedeflenen sistem üzerinde önemli bir kontrol sağlıyor. Peki, bu implant tam olarak ne tür işlevlere sahip ve nasıl iletişim kuruyor? Bu soruların cevapları, saldırının genel kapsamını anlamak için kilit öneme sahip. Otellerin bu tür tehditlere karşı hazırlıklı olması için her bir teknik detayı bilmesi gerekiyor. Bu, sadece bir yazılım açığı değil, aynı zamanda karmaşık bir sosyal mühendislik ve teknik atlatma zincirinin ürünüdür.

TonRAT: TON Blockchain Destekli Gizemli Tehdit

Yerleştirilen JavaScript implantı, güvenlik araştırmacıları tarafından TonRAT olarak adlandırılıyor. Bu implantın en belirgin özelliklerinden biri, komuta ve kontrol (C2) alan adlarını TON blok zinciri API’si aracılığıyla çözmesidir. Geleneksel kötü amaçlı yazılımlar genellikle sabit C2 sunucularına bağlanırken, TonRAT’ın bu dinamik yaklaşımı, statik kara listelerin ve güvenlik duvarı kurallarının etkinliğini büyük ölçüde azaltıyor. Alan adlarını anında getirme yeteneği, bu tehdidin sürekli adapte olabilmesini ve engellenmesini zorlaştırıyor. Şaşırtıcı değil mi?

TonRAT, C2 sunucusuyla iletişim kurmak için şifreli bir WebSocket kanalı açıyor. Bu şifreli iletişim, güvenlik ekiplerinin trafiği izlemesini ve saldırganların niyetini anlamasını daha da karmaşık hale getiriyor. SOC Prime’ın raporlarına göre, bu yöntem saldırganlara yüksek düzeyde gizlilik sağlıyor. Sistem ele geçirildikten sonra implant, standart olmayan portlar üzerinden (8443, 8445, 8453, 5555 ve 56001 ila 56003) sabit IP adreslerine sinyal gönderiyor. Bu portlar, genellikle meşru ağ trafiği için kullanılmadığından, dikkatli bir ağ izlemesiyle tespit edilebilir.

Bazı etkilenen ana bilgisayarlarda başsız tarayıcı otomasyonu (`–headless –no-sandbox`), `ip-api.com` üzerinden coğrafi konum kontrolü ve `cmd /c shutdown -s -t 0` komutuyla zorla kapatma gibi ek faaliyetler de gözlemlendi. Bu bulgular, saldırganların sadece veri çalmakla kalmayıp, sistemler üzerinde geniş çaplı kontrol elde etme ve hatta fiziksel sistemleri etkileme potansiyeline sahip olduğunu gösteriyor. Microsoft, şu ana kadar teyit edilmiş bir veri hırsızlığı, fidye yazılımı veya ismi açıklanmış kurban rapor etmedi.

“Siber suçluların Calendly ve Google gibi meşru hizmetleri kötüye kullanarak kimlik avı saldırılarını meşrulaştırması, dijital güvenliğin en temel varsayımlarını bile sarsıyor. Bu, sadece teknolojik bir açık değil, aynı zamanda siber savunmamızdaki insan faktörünün ve güven kültürünün kırılganlığını gösteriyor.”

SOC Prime ve ITOCHU, yaklaşık iki hafta önce benzer otel kimlik avı ve LNK’den PowerShell’e, oradan da Node.js zincirini belgelediler. Microsoft’un bulguları da bu raporlarla örtüşüyor. Bu durum, kampanyanın yeni olmadığını, ancak sürekli olarak evrildiğini ve sektörü hedef almaya devam ettiğini kanıtlıyor. Peki, bu sürekli gelişen tehdit karşısında nasıl bir savunma hattı oluşturulmalı?

Peki Oteliniz Bu Siber Saldırıya Karşı Ne Yapmalı?

Bir otel siber saldırı ile karşı karşıya kalındığında, eksiksiz bir iyileştirme süreci, kalıcılık sağlamak için kullanılan her iki yolu da hedef almalıdır. İlk olarak, ProgramData içindeki RunOnce girdisi incelenmeli ve temizlenmelidir. İkinci olarak, Node.js Run anahtarı da dikkate alınmalıdır. Bunlara ek olarak, AppDataLocalNodejs altında bulunan çalışma zamanı ve `.js` dosyalarının da kaldırılması gerekmektedir. Bu adımlardan herhangi birini atlamak, kötü amaçlı yazılımın sistemde aktif kalmasına neden olabilir. Unutmayın, tek bir yolun temizlenmesi, diğerinin yaşamaya devam etmesi anlamına gelir.

Otel sistemlerinde ilk bakılması gereken yerler resepsiyon, rezervasyon ve ön büro sistemleridir. Bu alanlar, genellikle müşterilerle doğrudan etkileşimde bulunulan ve dolayısıyla kimlik avı saldırılarına en açık noktalardır. Bu sistemlerdeki olası ihlaller, müşteri verilerinin sızdırılması veya operasyonel aksaklıklar gibi ciddi sonuçlara yol açabilir. Peki, oteliniz bu tür bir saldırıya karşı proaktif olarak neler yapabilir?

• Eğitim ve Farkındalık: Çalışanları, kimlik avı e-postalarını tanıma, şüpheli bağlantılara tıklamama ve dosya indirmeme konusunda düzenli olarak eğitin. Özellikle “Booking Manager ()” gibi yanıltıcı gönderici adlarına karşı dikkatli olmaları gerektiğini vurgulayın.
• Gelişmiş E-posta Güvenliği: Güçlü e-posta güvenlik çözümleri kullanarak kimlik avı ve kötü amaçlı yazılım içeren e-postaları filtreleyin. SPF, DKIM ve DMARC gibi e-posta kimlik doğrulama protokollerinin doğru yapılandırıldığından emin olun.
• Uç Nokta Algılama ve Yanıt (EDR): Otel ağındaki tüm uç noktalarda (resepsiyon bilgisayarları, rezervasyon terminalleri vb.) EDR çözümleri kullanın. Bu sistemler, Node.js implantı gibi bilinmeyen tehditleri davranışsal analizle tespit edebilir.
• Ağ Segmentasyonu: Kritik sistemleri (ödeme, rezervasyon veritabanları) diğer ağ segmentlerinden izole ederek, bir bölümün ele geçirilmesi durumunda saldırının yayılmasını engelleyin.
• Düzenli Yedeklemeler: Tüm kritik verilerin düzenli ve güvenli bir şekilde yedeklendiğinden emin olun. Bu, bir fidye yazılımı veya veri kaybı durumunda hızlı bir şekilde kurtarma yapılmasına olanak tanır.
• Yama Yönetimi: Tüm işletim sistemleri ve yazılımların güncel tutulduğundan, bilinen güvenlik açıklarının kapatıldığından emin olun.

Türkiye’nin turizm sektörü için hayati önem taşıyor olduğunu düşündüğümüzde, bu tür siber saldırılar sadece finansal kayıplara değil, aynı zamanda ülke imajına ve misafir güvenine de ciddi zararlar verebilir. Bu nedenle, Türk otellerinin uluslararası standartlarda siber güvenlik önlemleri alması ve bu tür gelişmiş tehditlere karşı sürekli teyakkuzda olması hayati önem taşımaktadır. Unutmayın, siber güvenlik bir kerelik bir yatırım değil, sürekli bir süreçtir ve her zaman bir adım önde olmayı gerektirir.