RustDuck Botnet: Yönlendiricileri Hedef Alan Yeni Nesil Tehdit

Siber güvenlik dünyası, son dönemde ortaya çıkan ve ev yönlendiricilerinden sunuculara kadar geniş bir yelpazeyi hedefleyen yeni bir tehditle karşı karşıya. RustDuck botnet adı verilen bu iki aşamalı kötü amaçlı yazılım ailesi, IP kameraları, Android cihazlar ve yeterince güvenli olmayan sunucuları ele geçirerek devasa bir ağ oluşturuyor. Peki, bu yeni nesil tehdit tam olarak neyi hedefliyor ve neden bu kadar hızlı evriliyor?

QiAnXin’in XLab araştırmacıları tarafından Şubat 2026’dan bu yana izlenen RustDuck, dağıtılmış hizmet engelleme (DDoS) saldırıları düzenlemek amacıyla tasarlanmış durumda. Kurban makinelerden gelen yoğun ve anlamsız trafikle hedeflenen web sitelerini ve çevrimiçi hizmetleri felç etmek, onun temel işlevi. Ancak RustDuck’ı kalabalık botnet arenasında farklı kılan iki kritik özellik var: Yazılımın C programlama dilinden Rust‘a yeniden yazılması ve yeni sürümlerinin analizden kaçınmak için sergilediği alışılmadık çabalar.

RustDuck Botnet Nasıl Yayılıyor?

RustDuck, tek bir zekice hileye yaslanmak yerine, bilinen eski zayıflıkları ve güvenlik açıklarını bir kombinasyon halinde kullanarak yayılıyor. Siber saldırganların en sık başvurduğu yöntemlerden biri olan zayıf veya varsayılan parolalar, RustDuck’ın ilk kapılarını aralıyor. Özellikle Telnet ve SSH gibi uzaktan erişim hizmetleri için internete açık bırakılan cihazlardaki bu tür kolay parolalar, botnetin sisteme sızması için adeta davetiye çıkarıyor.

İkinci yayılma yolu ise cihazlardaki güncellenmemiş güvenlik açıkları. XLab’in tespitlerine göre RustDuck, açık Android hata ayıklama arayüzlerini ve TVT (DVR’lar ve kameralar), Ruijie, TP-Link, ZTE gibi üreticilerin donanımlarındaki kusurları hedefliyor. Ayrıca, interneti hala kirleten yıllanmış bazı kritik güvenlik açıkları da botnetin ekmeğine yağ sürüyor. Bunlar arasında, orijinal Mirai tarzı botnetlerin 2017’de istismar ettiği Huawei HG532 yönlendiricilerindeki uzaktan kod yürütme hatası olan CVE-2017-17215 dikkat çekiyor. Akamai’nin Mart 2026’da Mirai varyantlarının istismar ettiğini gözlemlediği, artık üretimi durdurulan D-Link DIR-823X yönlendiricilerdeki komut enjeksiyonu açığı CVE-2025-29635 de CISA’nın Bilinen İstismar Edilen Güvenlik Açıkları listesine eklenmiş durumda.

“Güncellenmemiş eski cihazların ve varsayılan parolaların siber saldırganlar için hala ne denli bereketli bir zemin sunduğunu görmek, siber güvenlik dünyası için acı bir hatırlatma oluyor.”

Diğer hedefler arasında, üreticisi tarafından hiçbir zaman yanıt verilmeyen Totolink X6000R yönlendiricilerdeki komut enjeksiyonu hatası CVE-2024-1781 ve kimliği doğrulanmış bir yöneticinin kötüye kullanabileceği Apache CouchDB’deki uzaktan kod yürütme yolu CVE-2018-8007 bulunuyor. Üçüncü bir yol olarak web yazılımlarındaki bilinen delikleri de kullanan RustDuck, ThinkPHP, Jenkins ve Hadoop YARN gibi popüler platformlardaki zayıflıklara da odaklanıyor. Bu durum, botnetin erişim alanını ucuz ev donanımlarından, maruz kalmış sunucu yazılımlarına kadar genişletiyor. XLab, kötü amaçlı yazılımı yayan 20’den fazla internet adresi saydı; en aktif olanlardan biri ise 176.65.139[.]204 IP adresiydi. Basit bir parola ya da güncellenmemiş bir yazılım, nasıl bu kadar büyük bir riske yol açabilir?

Neden Rust? Analizden Kaçış Taktikleri

RustDuck’ın iki aşamalı kurulum süreci, mühendislik derinliğini ortaya koyuyor: küçük bir yükleyici, daha ağır bir çekirdek modülü şifresini çözüp açıyor. İşte bu çekirdek kısım, yani Rust ile yeniden yazılan bölüm, botnetin asıl “beyni” olarak işlev görüyor. Rust ikili dosyaları, yıllardır cihaz kötü amaçlı yazılımlarına güç veren C dilinde yazılanlara göre analistler için genellikle daha zorlu bir yapıya sahip.

XLab araştırmacıları, RustDuck’ın Rust çekirdeğinin anahtarlarını türetme, analizden gizlenme ve sunucularıyla iletişim kurma yöntemlerinde gerçek bir derinlik sergilediğini belirtiyor. Bu geçiş, sızdırılmış kodun hızlı bir şekilde yeniden derlenmesinden ziyade, aktif ve devam eden bir geliştirme sürecine işaret ediyor. Yazılımın daha yeni örneklerinin gizli kalmak için gösterdiği çaba, bu gelişimin en büyük göstergesi. Siber güvenlik labirentlerinde iz bırakmadan hareket etmek, bir botnet için ne anlama geliyor?

RustDuck, herhangi bir kötü niyetli eyleme başlamadan önce, gerçek bir kurbanın cihazına mı yoksa bir güvenlik araştırmacısının laboratuvarına mı düştüğünü belirlemek için kapsamlı bir kontrol listesi çalıştırıyor. Wireshark ve gdb gibi analiz araçlarını, kendi sürecine bağlı hata ayıklayıcıları, bal küpü (honeypot) tuzaklarının parmak izlerini ve hatta sanal makine donanımlarını arıyor. Her bir tespit, risk puanına ek puanlar ekliyor; belirli bir eşiği aştığında ise kötü amaçlı yazılım, kendini kapatıyor veya farklı davranışlar sergiliyor.

Türkiye İçin Tehdit Algısı ve Alınacak Önlemler

RustDuck botnet’in ev yönlendiricilerini, IP kameralarını ve eski sunucuları hedef alması, Türkiye’deki kullanıcılar ve küçük işletmeler için önemli bir endişe kaynağı oluşturuyor. Ülkemizde hala birçok ev kullanıcısı, internet servis sağlayıcıları tarafından sağlanan yönlendiricilerin varsayılan kullanıcı adı ve parolalarını değiştirmemekte direniyor. Aynı şekilde, KOBİ’lerin eski nesil güvenlik kameraları veya ağ depolama cihazları, genellikle güncel yamalardan mahrum kalıyor ve siber saldırganlar için kolay hedefler haline geliyor. Bu durum, RustDuck gibi tehditlerin Türkiye’de geniş bir taban bulma potansiyeli taşıdığını gösteriyor.

Bu sürekli evrilen tehdit karşısında sıradan bir kullanıcı veya küçük bir işletme ne yapmalı? Öncelikle, ağdaki tüm cihazların – özellikle yönlendiriciler, modemler ve IP kameraları gibi internete açık olanların – varsayılan parolalarının derhal değiştirilmesi gerekiyor. Karmaşık, tahmin edilmesi zor parolalar kullanmak, basit ama etkili bir ilk savunma hattı oluşturur. İkinci olarak, tüm cihazların yazılımlarının düzenli olarak güncellenmesi, bilinen güvenlik açıklarının kapatılması için hayati öneme sahip. Özellikle CISA’nın listesinde yer alan CVE-2025-29635 gibi kritik açıkları barındıran cihazlar, ya güncellenmeli ya da kullanımdan kaldırılmalıdır.

Türkiye’deki internet altyapısının genel sağlığı ve kullanıcıların siber güvenliği için bu temel adımlar göz ardı edilmemelidir. Geçmişteki Mirai saldırılarının gösterdiği gibi, botnetler ulusal çapta ciddi kesintilere ve veri ihlallerine yol açabilir. Proaktif olmak, her zaman reaktif olmaktan daha az maliyetlidir ve daha fazla koruma sağlar.

RustDuck Botnet Hakkında Bilmeniz Gereken Son Şey

RustDuck botnet, siber güvenlik manzarasındaki sürekli değişimi ve saldırganların giderek daha sofistike araçlara yöneldiğini bir kez daha kanıtlıyor. C’den Rust’a geçiş, sadece bir programlama dili tercihi değil, aynı zamanda savunma mekanizmalarını aşmaya yönelik stratejik bir hamledir. RustDuck’ın analizden kaçış yetenekleri, onu tespiti zor bir düşman haline getiriyor; ancak bu durum, temel siber hijyenin önemini azaltmıyor.

Güçlü parolalar, düzenli yazılım güncellemeleri ve şüpheli ağ etkinliğini izleme, bu tür tehditlere karşı en etkili savunma hattını oluşturmaya devam ediyor. Gerçekten, bu tür gelişmiş tehditlere karşı kesin bir savunma mümkün müdür? Kesin çözüm olmasa da, sürekli tetikte olmak ve sistemlerimizi güçlendirmek, dijital dünyamızın güvenliği için atabileceğimiz en sağlam adımlardır.