LinkedIn üzerinden yürütülen sahte işe alım saldırısı 03.09.2026 - 10:55 Son Güncelleme 03.09.2026 - 10:55 Kaynak Donanım Günlüğü Paylaş GReAT, Türkiye’nin de aralarında bulunduğu birçok ülkeyi etkileyen ve Mirage Kitten adlı gelişmiş kalıcı tehdit (APT) grubu tarafından yürütülen hedefli bir siber saldırı kampanyasını tespit etti. Grup; sahte LinkedIn işe alım mesajları aracılığıyla havacılık ve finansal teknoloji (fintek) sektörlerini hedef alan, Node.js ve JavaScript tabanlı, platformlar arası çalışabilen yeni casus yazılımlar kullanıyor. Haberlerimizi Google’da Takip Edin Gelişmelerden anında haberdar olun. Haberlerimizi Google’da Takip Edin Gelişmelerden anında haberdar olun. Reklam Reklam Reklam Reklam Kampanyanın ana odağında Orta Doğu ve Afrika bölgesindeki Mısır, Etiyopya ve Afganistan yer alsa da söz konusu saldırılarla bağlantılı zararlı yazılımlar Türkiye, Almanya, İsrail, Hindistan ve İrlanda gibi ülkelerde de tespit edildi. Bu gelişme, Temmuz ayında kamuoyuyla paylaşıldı, Mirage Kitten’a ait yeni Windows arka kapı keşfinin hemen ardından geldi.
Saldırı zinciri sosyal mühendislikle başlıyor. Saldırganlar LinkedIn üzerinden kendilerini büyük teknoloji şirketlerinde görev yapan yetenek kazanımı uzmanları olarak tanıtıyor ve havacılık ile finansal teknoloji sektörlerinde çalışan yazılım mühendisleriyle iletişime geçiyor.
Adaylara teknik bir değerlendirmeye katılmaları teklif ediliyor ve meşru Amazon bulut depolama hizmetinde barındırılan bir “kodlama görevi”ni indirmeleri için bağlantı gönderiliyor. Aday üzerinde zaman baskısı kurmak amacıyla teste bir ila üç saatlik katı bir süre sınırı konuluyor. Adayların yapay zekâ destekli kod asistanlarını kullanmaları da özellikle yasaklanıyor; zira bu araçlar paketin içine gizlenmiş zararlı yazılımları kolaylıkla açığa çıkarabiliyor.
Mirage Kitten daha önce C, C++ veya Go ile geliştirilen yerel programlara dayanıyor ve yalnızca Windows ortamlarını hedefliyordu. Grup, araç setini Node.js ve JavaScript kullanarak yeniden geliştirerek Windows, macOS ve Linux sistemlerini tek bir kod tabanı üzerinden aynı anda hedefleyebiliyor.
Güvenlik uzmanları bu kampanya kapsamında kurbana göre farklı şekillerde kullanılan iki yeni kötü amaçlı yazılım ailesi tespit etti. Bunlardan ilki NodeRabbit. Node.js tabanlı bu Uzaktan Erişim Truva Atı (RAT), yaygın kullanılan yazılım geliştirme paketlerinin içine gizleniyor ve saldırganlara ele geçirilen sistem üzerinde kapsamlı kontrol sağlıyor.
Erişimini korumak için geliştiricilere yönelik gelişmiş kalıcılık yöntemlerinden yararlanan kötü amaçlı yazılım, Microsoft Visual Studio Code ile birlikte çalışacak şekilde sahte çalışma alanı eklentileri yükleyebiliyor veya geliştiricinin yerel kod depolarını değiştirerek proje kodu her kaydedildiğinde ya da birleştirildiğinde tehdidin otomatik olarak çalışmasını sağlayabiliyor.
