Sahte Cloudflare Kontrolleriyle Yayılan LunexStealer Tehlikesi

Ukrayna Bilgisayar Acil Durum Müdahale Ekibi (CERT-UA) tarafından yapılan son açıklamalar, dijital güvenlik dünyasında yeni bir alarm zili çalıyor. Siber güvenlik uzmanları, yüze yakın web sitesinin kötü amaçlı JavaScript koduyla enfekte edilerek, kullanıcıları LunexStealer adında tehlikeli bir bilgi çalan zararlı yazılımın hedefi haline getirdiğini ortaya koydu. UAC-0277 olarak adlandırılan bir tehdit kümesi tarafından organize edildiği belirtilen bu saldırılar, özellikle Windows kullanıcılarını hedef alıyor ve sofistike yöntemlerle kişisel verilerin ele geçirilmesini amaçlıyor.

Hedef Odaklı Tehdidin Anatomisi

CERT-UA tarafından Eylül 2026’da gözlemlenen bu kampanya, 100’den fazla ele geçirilmiş web sitesini içeriyor. Saldırganlar, ziyaretçileri insan doğrulamasını talep eden sahte bir Cloudflare sayfasına yönlendiriyor. Bu kandırmaca, kullanıcılardan belirli bir komutu çalıştırmalarını isteyerek başlıyor ve zararlı yazılımın yayılmasında kilit rol oynuyor. Komutun yürütülmesiyle birlikte, uzak bir sunucudan kötü amaçlı bir MSI paketi indirilip yükleniyor. Bu tekniğe siber güvenlik literatüründe “ClickFix” adı veriliyor.

Saldırıların bir diğer önemli bileşeni ise “EtherHiding” tekniği. Bu yöntemle, sahte doğrulama sayfasının yüklendiği kaynağın alan adı ve betiğin çalışma modu, Polygon veya Ethereum ağındaki bir akıllı sözleşmeden alınıyor. CERT-UA, bu saldırıların üç farklı çalışma modu olduğunu belirtiyor: etkin olmayan (0), ziyaretçilerin web sitesi ve geldiği sayfa hakkında veri toplanarak pasif takibi (1) ve sahte doğrulama sayfasının görüntülenmesi (2). Özellikle 2. modda, sahte doğrulama sayfası sadece arama motoru sonuçlarından gelen Windows kullanıcılarına ve 12 saat içinde en fazla iki kez gösteriliyor.

LunexStealer’ın Yöntemleri ve Varyantları

ClickFix tuzakları, LunexStealer’ı dağıtan MSI paketlerinin indirilmesine yol açıyor. Tespit edilen zararlı MSI paketlerinin en az üç farklı varyantı, tehdidin ne kadar karmaşık olduğunu gözler önüne seriyor. İlk varyant, LunexStealer’ı doğrudan sisteme kuruyor. İkinci varyant ise daha sofistike bir yaklaşım sergiliyor; Windows kullanıcı hesabı denetimini (UAC) atlamaya çalışıyor, Microsoft Defender dışlama listeleri yapılandırıyor ve güvenlik yazılımlarını kör etmek için meşru ancak güvenlik açığı bulunan bir AMD sürücüsü olan “PDFWKRNL.sys” dosyasını kullanıyor. Bu işlemlerin ardından LunexStealer’ı uzak bir sunucudan alıp çalıştırıyor.

Üçüncü varyant ise DLL yan yüklemesi (sideloading) tekniğini tercih ediyor. Bu yöntemde, meşru bir ikili dosya olan “FnHotkeyUtility.exe” kullanılarak kötü amaçlı bir DLL olan “spkvol.dll” yükleniyor. Bu sahte DLL, daha sonra bilgi çalan yazılımı şifresini çözerek çalıştırıyor. Arctic Wolf Labs ve Ontinue tarafından belgelendiği üzere, LunexStealer aynı zamanda “LUNARAXE” adında kötü amaçlı bir tarayıcı uzantısı kurmak üzere tasarlandı. Bu uzantı, kendini “Microsoft Office Word Editor” olarak gizleyerek çerezleri, tarama geçmişini ve web formlarına girilen kimlik bilgilerini çalıyor. Ayrıca, uzantı operatöre tarayıcıyı uzaktan kontrol etme ve web sayfalarında rastgele JavaScript kodları çalıştırma yeteneği tanıyor.

LunexStealer, komuta ve kontrol (C2) sunucusundan alınan bir yapılandırmaya göre kurulan NAIVEMESS adında yardımcı bir bileşen de kullanıyor. Bu bileşenin birincil sorumluluğu, PowerShell tabanlı bir Yerel Mesajlaşma Ana Bilgisayarı aracılığıyla LUNARAXE’e Windows dosya sistemine erişim sağlamaktır. CERT-UA’ya göre NAIVEMESS, sürücü listelerini almayı, dizinlere göz atmayı, dosyaları okumayı, oluşturmayı, üzerine yazmayı ve yürütmeyi içeren geniş bir işlevselliğe sahip. Dosyalar Base64 ile kodlanmış parçalar halinde aktarılırken, dizinler ve dosya grupları ZIP formatında önceden arşivleniyor.

Saldırıların Kullanıcılar Üzerindeki Yansımaları

Bu tür saldırıların kullanıcılar üzerindeki pratik sonuçları oldukça ciddi. LunexStealer, temel olarak kişisel ve hassas bilgileri hedef alıyor. Web formlarına girilen bankacılık bilgileri, e-posta şifreleri, sosyal medya kimlikleri ve diğer kritik veriler, LUNARAXE uzantısı aracılığıyla ele geçirilebilir. Tarayıcı geçmişinin ve çerezlerin çalınması, kullanıcıların dijital ayak izlerinin ifşa olmasına ve daha hedefli kimlik avı saldırılarına maruz kalmalarına neden olabilir. Ayrıca, uzaktan tarayıcı kontrolü, saldırganların kullanıcı adına istenmeyen eylemler gerçekleştirmesine olanak tanır.

NAIVEMESS bileşeninin dosya sistemine doğrudan erişim yeteneği, tehdidin boyutunu daha da büyütüyor. Bu, saldırganların kullanıcının bilgisayarından herhangi bir dosyayı okuyabileceği, değiştirebileceği veya yeni dosyalar oluşturabileceği anlamına geliyor. Potansiyel olarak, bu durum fidye yazılımı saldırılarına, hassas belgelerin çalınmasına veya sistemin tamamen ele geçirilmesine yol açabilir. CERT-UA, bu kampanyanın kurbanlarının kimler olduğunu veya saldırıların başarılı olup olmadığını açıklamadı, ancak bu tür kapsamlı bir tehdidin potansiyel zararı oldukça yüksek.

Dijital Kalkanınızı Güçlendirme Yolları

Bu tür gelişmiş siber tehditlere karşı korunmak için kullanıcıların ve kuruluşların proaktif adımlar atması gerekiyor. Öncelikle, web sitelerinde karşılaşılan doğrulama veya güvenlik kontrollerine karşı son derece şüpheci yaklaşmak önemlidir. Özellikle beklemediğiniz veya olağan dışı görünen Cloudflare benzeri sayfalarda URL’yi dikkatlice kontrol edin. Domain adında veya uzantısında herhangi bir anormallik, sitenin sahte olabileceğine dair güçlü bir işarettir.

Güvenilir bir antivirüs veya uç nokta tespit ve yanıt (EDR) çözümü kullanmak, zararlı yazılımların indirilmesini ve kurulmasını önlemede kritik öneme sahiptir. İşletim sisteminizi, tarayıcılarınızı ve tüm yazılımlarınızı düzenli olarak güncellemek, bilinen güvenlik açıklarının kapatılmasını sağlar. Web sitelerinden gelen komut çalıştırma isteklerine asla onay vermeyin, özellikle de bu komutlar bir yazılım indirme veya kurma amacı taşıyorsa. Ayrıca, tüm önemli çevrimiçi hesaplarınızda çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmek, çalınan şifrelerin dahi kötüye kullanılmasını büyük ölçüde zorlaştırır. Tarayıcı uzantılarınızı düzenli olarak gözden geçirin ve yalnızca güvendiğiniz, resmi kaynaklardan indirilmiş uzantıları kullanın. Herhangi bir şüpheli uzantıyı hemen kaldırın.

Siber Güvenlikte Yeni Nesil Kandırmacalar

LunexStealer kampanyası, siber saldırıların giderek karmaşıklaştığını ve geleneksel güvenlik önlemlerini aşmak için ne kadar yaratıcı yöntemler kullanıldığını gösteriyor. Sahte Cloudflare sayfaları, EtherHiding gibi akıllı sözleşme tabanlı teknikler ve zararlı yazılım dağıtımında birden fazla MSI varyantı kullanılması, saldırganların hedeflerine ulaşmak için ciddi kaynak ve bilgi birikimi harcadığını ortaya koyuyor. Özellikle, Windows’un meşru bileşenlerini (UAC bypass, AMD sürücüsü, FnHotkeyUtility.exe) istismar etmeleri, güvenlik yazılımlarının tespitini zorlaştıran önemli bir faktördür.

Bu durum, hem son kullanıcılar hem de kurumsal ortamlar için siber güvenlik farkındalığının hayati önem taşıdığını bir kez daha kanıtlıyor. Saldırganlar, yalnızca teknik zafiyetleri değil, aynı zamanda kullanıcıların temel güvenlik mekanizmalarına olan güvenini de manipüle etmeye çalışıyor. Dolayısıyla, siber güvenlik stratejileri yalnızca teknik korumaları değil, aynı zamanda kullanıcı eğitimini ve şüpheci bir dijital davranış kültürünü de içermelidir. Bu tür tehditler, web güvenliği ve çevrimiçi etkileşimlere olan genel güven üzerinde uzun vadeli etkilere sahip olabilir ve sürekli bir uyanıklık gerektirir.