AOMEI Backupper Güncelleme Sunucusu Saldırısı: Türkiye Dahil 11 Ülke Etkilendi

**152**Mesaj · 10-17-2026, 01:16 PM

Arkadaşlar merhaba,

Bu hafta yayımlanan tedarik zinciri araştırmalarından biri doğrudan bizi de ilgilendiriyor, çünkü etkilenen ülkeler arasında Türkiye de var. Google Tehdit İstihbaratı Grubu (GTIG), Mandiant ve ManageEngine Tehdit Analiz Laboratuvarı, popüler yedekleme ve disk klonlama yazılımı AOMEI Backupper'ın güncelleme altyapısına yapılan sıra dışı bir saldırıyı 16 Ekim 2026'da kamuoyuyla paylaştı.

Saldırıyı farklı kılan ne?
Klasik tedarik zinciri saldırılarında (SolarWinds, 3CX gibi) zararlı kod uzun süre dağıtımda kalır. Burada ise saldırgan, güncelleme sunucusundaki ayar dosyasını sadece 5-10 dakikalık kısa pencerelerde değiştirdi, sonra her şeyi orijinal haline geri döndürdü. Google bu yöntemi "geçici (ephemeral) tedarik zinciri müdahalesi" olarak tanımlıyor ve bu tarzın ilk kez görüldüğünü belirtiyor.

Bu kısa pencerelerde güncelleme kontrolü yapan istemciler, meşru paket yerine saldırgan kontrolündeki sunucudan zararlı bir ZIP indirdi.

Zaman çizelgesi
The Hacker News'in aktardığı müdahale aralıkları (UTC):

28 Mayıs 2026, 05:40-05:50
16 Temmuz 2026, 08:33-08:39
20 Temmuz 2026, 10:35-10:40

ManageEngine'in uç nokta yazılımı 28 Mayıs'ta AOMEI Backupper'ın birbiriyle ilgisiz iki müşteride Radmin kurduğunu fark etti ve 7 Haziran'da üreticiyi uyardı. Mandiant 17 Temmuz'da AOMEI ile iletişime geçti, üretici 29 Temmuz'da düzeltici önlem aldığını bildirdi. Google raporu kampanyanın Nisan-Temmuz 2026 arasında sürdüğünü söylüyor.

Zararlılar: CROSSROAD ve SHINYROAD

CROSSROAD: İlk indirici. Ortamı kontrol ediyor, sonraki aşamaları hazırlıyor ve zamanlanmış görev (scheduled task) ile kalıcılık kuruyor.
SHINYROAD: DLL sideloading ile yüklenen, modüler bir arka kapı çatısı; gizli komuta-kontrol için kullanılıyor.

Faaliyet, daha önce belgelenmemiş UNC7017 adlı bir kümeye atfedildi. Etkilenen sektörler BT hizmetleri, telekom ve yükseköğretim. Ülkeler: Avustralya, Brezilya, Hindistan, Pakistan, Portekiz, Singapur, Güney Afrika, İspanya, İsviçre, Türkiye ve ABD.

Kendi ortamınızda ne kontrol etmelisiniz?
AOMEI Backupper kullanan bir kurumdaysanız (özellikle BT hizmetleri ve üniversiteler):

Nisan 2026'dan bu yana AOMEI süreçlerinin başlattığı alt süreçleri EDR üzerinden geriye dönük tarayın.
Beklenmeyen Radmin kurulumlarını arayın.
AOMEI kurulum dizininde veya yakınında beklenmeyen DLL dosyalarına bakın (sideloading göstergesi).
Son aylarda oluşturulmuş, anlamsız isimli zamanlanmış görevleri listeleyin.

Windows'ta zamanlanmış görevleri hızlıca dökmek için:

Kod:
Get-ScheduledTask | Where-Object { $_.Date -gt (Get-Date "2026-04-01") } |
  Select-Object TaskName, TaskPath, Date, @{n="Komut";e={$_.Actions.Execute}} |
  Format-Table -AutoSize

Sysmon kullanıyorsanız, imzasız DLL yüklemeleri için Event ID 7 kayıtlarında AOMEI süreçlerini filtreleyin.

Önemli bir not: Araştırmacılar, üreticinin sunucu tarafındaki düzeltmesinin zaten bulaşmış makineleri temizlemediğini vurguluyor. ManageEngine ayrıca saldırının tamamen kontrol altına alındığını bağımsız olarak doğrulayamadığını belirtti. Yani "güncel sürümdeyim" demek tek başına yeterli değil.

Benim notum
Bu saldırı, imzasız güncelleme mekanizmalarının ne kadar tehlikeli olduğunu gösteriyor. Kurumda kullandığınız her yazılımın güncellemeyi nasıl doğruladığını (kod imzası, hash kontrolü) bir kez sorgulamanızı öneririm. Güncelleme dosyası imzasızsa, sunucuyu kim ele geçirirse sizin makinenizde kod çalıştırır.

Kaynaklar

The Hacker News (17 Ekim 2026) - ConnectWise haberi içinde AOMEI bölümü
Google Threat Intelligence Group / Mandiant raporu (16 Ekim 2026)
ManageEngine Threat Analysis Lab yayını
ThreatTicker Türkçe özet (16 Ekim 2026)

AOMEI Backupper Güncelleme Sunucusu Saldırısı: Türkiye Dahil 11 Ülke Etkilendi

Forum

Topluluk

Yardım