Avustralya Sinyal İstihbarat Teşkilatı (ASD), dünya genelinde zararlı yazılımla enfekte olmuş 180.000 bilgisayarın kontrol merkezine erişimini engelledi. 27 Ekim 2026 tarihinde yapılan açıklamaya göre operasyon, siber suçluların Amadey zararlı yazılımının arka uç sistemine sızılmasıyla başarıya ulaştı.
Hızlı Özet
- ASD, Amadey zararlı yazılımının sunucu altyapısına sızarak 180 bin kurbanın bağlantısını kesti.
- 2018’den beri hizmet olarak satılan Amadey, sisteme genellikle sahte güncellemelerle sızıyor.
- Kontrolcünün engellenmesi, saldırganların daha önce çaldığı verileri ve çerezleri geri almıyor.
- Avustralya ajansı ayrıca başka bir operasyonda 5 terabaytlık çalınmış veriyi satışa çıkmadan imha etti.
Amadey Zararlı Yazılımı Nasıl Çalışıyor?
Avustralya’nın dış sinyal istihbaratı ve siber güvenlik ajansı olan ASD’nin operasyonel yetkileri, hükümetin açık onayını gerektiriyor ve kurum bu yetkiyle denizaşırı siber suç altyapılarını etkisiz hale getirebiliyor. ABC News’e mülakat veren ASD Vekil Genel Müdür Yardımcısı Tauri Gregory, Amadey kontrolcüsünün tüm mağdurlardan koparıldığını doğruladı. ESET analizlerine göre 2018’de siber suçlulara bir hizmet olarak sunulan Amadey, her alıcının kendi sunucusunda bir kontrol paneli çalıştırmasına olanak tanıyor. Enfekte cihazlar bu komuta-kontrol sunucularıyla iletişim kurarak emirleri yerine getiriyor.
Yazılımın temel görevi, StealC gibi ek veri hırsızı zararlıları cihaza indirmek. Bunun yanı sıra kimlik bilgilerini çalabiliyor ve saldırgana makineye uzaktan erişim imkanı tanıyor. Sık kullanılan bulaşma yöntemleri arasında sahte yazılım güncellemeleri, korsan yazılım yükleyicileri ve diğer zararlı yazılım yükleyicileri yer alıyor. ESET, birbirleriyle altyapı paylaşmayan 53 ayrı Amadey botneti tespit etmiş durumda. Bu durum, siber suç ekosisteminin ne kadar parçalı ve yaygın olduğunu gösteriyor. ASD’nin bu hamlesi darbe indirse de, tehdidin tamamının ortadan kalktığı anlamına gelmiyor.
Bu Müdahale Daha Önce Çalınan Verileri Kurtarıyor mu?
Kontrolcünün kurbanlardan ayrılması, geçmişteki veri hırsızlıklarını geri almıyor. Microsoft analizlerine göre, veri hırsızları tarafından çalınan kimlik bilgileri saldırganlar tarafından kullanılmadan önce aylarca bekletilebiliyor. Özellikle çalınan bir oturum çerezi, saldırganların çok faktörlü kimlik doğrulamasını atlatmasına olanak tanıyabiliyor. Bu teknik sınırlama, ağ bağlantısı kesilse bile kullanıcıların ve kurumların geçmiş sızıntılar nedeniyle hâlâ risk altında olabileceğini gösteriyor.
Amadey altyapısı, 27 Ekim’de yayınlanan yıllık siber tehdit raporunda yer alan bu operasyonun dışında, uluslararası kolluk kuvvetleri tarafından Haziran ayında da hedef alınmıştı. Europol’ün haziran duyurusuna göre, 15-19 Haziran tarihleri arasında Operation Endgame adlı uluslararası operasyon, Amadey, StealC ve SocGholish zararlı yazılımlarıyla ilişkili sunucuları hedef almıştı. Avustralya bu operasyonun resmi katılımcı ülkeleri arasında yer almasa da, ülkenin kendi istihbarat birimlerinin benzer altyapılara karşı bağımsız operasyonlar yürütebildiği görülüyor.
Gizli Veri Sızıntıları ve İmha Edilen Dosyalar
ASD’nin yürüttüğü operasyonlar yalnızca Amadey ile sınırlı kalmadı. Ajans, bir işletmeden çalınan 5 terabaytlık verinin satışa çıkarılacağı yönünde bir ihbar aldığını açıkladı. İlgili işletmenin hacklendiğinden haberi bile yoktu. Söz konusu veri seti; iş dokümanları, kişisel veriler ve oturum açma kimlik bilgileri ile şifreleri içeriyordu.
Ajans, veriler satılmadan önce sisteme sızarak tüm verileri imha etmeyi başardı. İmha edilen dosyalar arasında tahmini olarak 4.8 milyon Avustralyalıya ait veri ve diğer ülkelerden yüz binlerce kurbanın bilgisi yer alıyordu. Bu gelişme, siber güvenlik ajanslarının yalnızca savunma yapmakla kalmayıp, dark web pazarlarındaki çalıntı veri akışını kesmek için proaktif müdahalelerde bulunduğunu da ortaya koyuyor.
Siber güvenlik uzmanları ve sistem yöneticileri için ağdaki olası Amadey kalıntılarını taramak ve özellikle oturum çerezleri ile MFA logolarını gözden geçirmek gerekiyor. Aktif bir C2 bağlantısının kesilmesi anlık bir rahatlama sağlasa da, geçmişte sızdırılmış olabilecek kimlik bilgileri uzun vadeli bir risk unsuru olarak kalmaya devam ediyor.
Kaynak: The Hacker News
