BİLİŞİM TEHDİT İSTİHBARATI RAPORU: TROJAN (TRUVA ATI) ZARARLI YAZILIM SINIFI

Doküman Tipi: Küresel Tehdit İstihbaratı Sınıf Analizi (Enterprise-Grade Strategic & Technical Report)

Tarih / Dönem: Haziran 2026 (2024–2026 Trendleri Dahil)

Hedef Kitle: CISO, SOC Yönetimi, Siber Tehdit İstihbaratı (CTI) Analistleri, Güvenlik Mimarisi ve Olay Müdahale (IR) Ekipleri

1. TROJAN NEDİR?

Kavramsal Tanım ve İsminin Kökeni

Trojan (Truva Atı), meşru, yararlı veya zararsız bir yazılım gibi görünerek kullanıcının güvenini kazanan ve sistem içerisine sızdıktan sonra gizlice zararlı faaliyetler (arka kapı açma, veri sızdırma, ek payload indirme) yürüten bir zararlı yazılım (malware) sınıfıdır.

İsmini Homeros'un İlyada destanında geçen Truva savaşı taktiğinden alır. Akalar, Truva şehrinin surlarını aşamayınca geri çekilmiş gibi yapmış ve şehre devasa bir ahşap at bırakmışlardır. Truvalılar bu atı bir zafer hediyesi olarak surların içine almış, gece olduğunda atın içine gizlenen Akalı askerler dışarı çıkarak kale kapılarını açmış ve şehri düşürmüştür. Siber güvenlikte de Trojan, kullanıcının kendi eliyle (güvenlik duvarlarını aşarak) sisteme dahil ettiği dijital bir Truva atıdır.

Zararlı Yazılım Ekosistemindeki Yeri ve Yapısal Farkları

Trojanlar, bağımsız kopyalanma yeteneğine sahip değildir; çalışmak için bir ana bilgisayara, kullanıcı etkileşimine veya bir taşıyıcıya (carrier) ihtiyaç duyarlar.

Güncel Yaygınlık ve Siber Suç Ekosistemindeki Rolü

2026 yılı itibarıyla Trojanlar, global enfeksiyonların en büyük dilimini oluşturmaya devam etmektedir. Bunun temel nedenleri şunlardır:

1. İnsan Faktörünün Sömürülmesi: Gelişmiş EDR (Endpoint Detection and Response) çözümleri ağ seviyesindeki doğrudan exploit girişimlerini engellemede başarılı olsa da, sosyal mühendislik ve insan manipülasyonu (kimlik avı, sahte güncellemeler) Trojanların kurumsal savunma hatlarını bypass etmesini sağlar.

2. Hizmet Olarak Sunulması (MaaS): Gelişmiş altyapıların yeraltı forumlarında kiralanması, teknik yetkinliği düşük aktörlerin bile sofistike Trojan operasyonları yürütmesine imkan tanımaktadır.

3. İlk Erişim Vektörü (Initial Access) Olması: Modern siber suç ekosisteminde Trojanlar nadiren nihai payload'dur. Genellikle kurumsal ağa sızmak için bir "Initial Access Broker" (IAB) aracı olarak kullanılırlar; elde edilen erişim daha sonra Ransomware gruplarına satılır.

Kaynak: Kaspersky Security Bulletin, Verizon Data Breach Investigations Report (DBIR) 2025/2026.

2. TARİHSEL GELİŞİM

• İlk Örnek (1975): John Walker tarafından yazılan ANIMAL, bir bilgisayar oyunu gibi görünürken arka planda kullanıcının dizinlerini tarayıp kendini kopyalayan ilk Trojan/Worm hibriti kabul edilir.

• İlk Ticari Şantaj (1989): AIDS Trojan (PC Cyborg), diskette tıbbi bir veri tabanı gibi dağıtıldı. Belirli sayıda yeniden başlatmanın ardından dosyaları şifreleyip fidye talep etti; bu, Ransomware fonksiyonu barındıran ilk Trojan'dır.

• Modern RAT Çağı (1998-1999): Back Orifice (Cult of the Dead Cow) ve SubSeven, grafik arayüze (GUI) sahip ilk popüler uzaktan yönetim Trojanları oldu. Windows sistemleri uzaktan tamamen kontrol edilebilir hale geldi.

• Finansal Odak ve Zeus Çağı (2007): Zeus (Zbot), bankacılık bilgilerini çalmak için form-grabbing ve man-in-the-browser (MitB) tekniklerini mükemmelleştiren milat oldu. Kaynak kodunun sızması, onlarca türevin önünü açtı.

• Modüler Yapı ve Altyapı Sağlayıcılar (2014-2024): Emotet ve TrickBot, basit birer bankacılık trojanından karmaşık, katmanlı birer "botnet ve payload dağıtım ağına" dönüştü. E-posta zincirlerini taklit ederek global ölçekte milyarlarca dolarlık zarara yol açtılar.

• Modern Evrim (2024 - 2026): Günümüz Trojanları tamamen modüler, çok dilli (Rust, Go, Nim), bellekte çalışan (Fileless) ve uç nokta koruma yazılımlarını (EDR) dinamik olarak kör eden (BYOVD - Bring Your Own Vulnerable Driver) gelişmiş tehdit aktörlerine dönüşmüştür.

Kaynak: MITRE Cyber History Project, CISA Malware Analysis Reports.

3. TROJAN TÜRLERİ

Banking Trojan (Bankacılık Trojanı)

• Amaç: Kullanıcıların finansal hesaplarına (internet bankacılığı, kripto borsaları) ait kimlik bilgilerini ve varlıklarını çalmak.

• Çalışma Mantığı: Man-in-the-Browser (MitB) enjeksiyonu ile tarayıcı oturumuna sızar. Kullanıcı gerçek banka sitesine girdiğinde, araya girerek sahte formlar gösterir veya transfer edilen miktarı/alıcıyı arka planda değiştirir (ATS - Automated Transfer System).

• Hedefler: Finansal kurum müşterileri, muhasebe departmanları.

• Örnekler: Zeus, Carberp, Dridex.

Remote Access Trojan (RAT)

• Amaç: Hedef sistem üzerinde tam, etkileşimli ve kalıcı uzaktan kontrol sağlamak.

• Çalışma Mantığı: Arka planda gizli bir C2 (Command and Control) bağlantısı açar. Saldırganın dosya sistemine erişmesini, kabuk (shell) komutları çalıştırmasını ve sistemi izlemesini sağlar.

• Hedefler: Kurumsal ağlar, kritik altyapılar, bireysel yüksek profilli hedefler.

• Örnekler: AsyncRAT, Remcos, Agent Tesla (RAT/Stealer hibriti).

Downloader Trojan

• Amaç: Enfekte sisteme daha ağır ve asıl zararlı faaliyeti yürütecek payload'ları indirmek.

• Çalışma Mantığı: Küçük boyutludur ve az imza bırakır. Sistemde çalıştırıldığında sabit kodlanmış (hardcoded) veya DGA (Domain Generation Algorithm) ile üretilen URL'lere HTTP/HTTPS istekleri atarak ikili (binary) dosyaları çeker ve yürütür.

• Hedefler: Güvenlik duvarlarının arkasındaki her türlü uç nokta.

• Örnekler: Emotet (ilk aşamaları), GuLoader.

Dropper Trojan

• Amaç: Güvenlik taramalarından kaçmak için asıl zararlı kodu kendi gövdesinde şifreli/sıkıştırılmış olarak taşıyıp sistemde açmak.

• Çalışma Mantığı: Downloader'ların aksine internet bağlantısına ihtiyaç duymayabilir. Kendi kaynak (Resource) veya bindirilmiş (Overlay) alanındaki şifreli binary'yi belleğe çözer (unpack), geçici bir dosyaya yazar veya doğrudan bellek enjeksiyonu ile çalıştırır.

• Hedefler: Hava boşluklu (Air-gapped) ağlar dahil tüm sistemler.

• Örnekler: Stuxnet bileşenleri, Onyx Dropper.

Backdoor Trojan (Arka Kapı)

• Amaç: Kimlik doğrulama mekanizmalarını bypass ederek sistemde kalıcı ve gizli giriş kanalları oluşturmak.

• Çalışma Mantığı: Sistemde meşru servislerin (RDP, SSH) konfigürasyonunu değiştirir ya da özel bir port dinleyerek belirli bir "magic packet" geldiğinde yetkili kabuk erişimi sunar.

• Hedefler: Sunucular, domain kontrolcüleri, ağ cihazları.

• Örnekler: DoublePulsar, ServHelper.

Spy Trojan

• Amaç: Kullanıcının tüm aktivitelerini izlemek ve casusluk yapmak.

• Çalışma Mantığı: Kamera ve mikrofonu gizlice aktif eder, ekran görüntülerini periyodik olarak kaydeder, panodaki (clipboard) verileri takip eder.

• Hedefler: Gazeteciler, siyasetçiler, üst düzey yöneticiler (Aktivist/APT hedefleri).

• Örnekler: Pegasus (Spyware/Trojan platformu), FinSpy.

Trojan-PSW (Password Stealer / Infostealer)

• Amaç: Tarayıcılarda, FTP istemcilerinde ve kripto cüzdanlarında saklanan parolaları yerel veri tabanlarından ayıklamak.

• Çalışma Mantığı: Chromium ve Gecko tabanlı tarayıcıların DPAPI (Data Protection API) ile şifrelenmiş Login Data dosyalarını deşifre eder. Oturum çerezlerini (Session Cookies) ayıklar.

• Hedefler: E-ticaret, oyun ve kurumsal hesap sahipleri.

• Örnekler: RedLine, Racoon, FormBook, LokiBot.

Trojan-Clicker

• Amaç: Reklam sahtekarlığı (Click Fraud) yaparak saldırgana gelir sağlamak.

• Çalışma Mantığı: Arka planda gizli ve görünmez tarayıcı pencereleri açarak belirli reklam linklerine tıklama istekleri gönderir. Sistem kaynaklarını (CPU/RAM) tüketir.

• Hedefler: Bireysel bilgisayarlar ve mobil cihazlar.

• Örnekler: Clicker.Android ailesi.

Trojan-Proxy

• Amaç: Kurbanın bilgisayarını siber suçlular için anonim bir proxy sunucusuna dönüştürmek.

• Çalışma Mantığı: Sistemi bir botnet zombisi haline getirir. Saldırganlar yasa dışı trafiklerini (yasadışı sitelere erişim, diğer siber saldırılar) kurbanın IP adresi üzerinden tüneller.

• Hedefler: Yüksek bant genişliğine sahip ev ve iş yeri internet hatları.

• Örnekler: Glupteba, SocksBot.

Trojan-DDoS

• Amaç: Dağıtık Hizmet Reddi (DDoS) saldırıları düzenlemek için botnet ordusu kurmak.

• Çalışma Mantığı: C2 sunucusundan gelen talimat doğrultusunda hedef IP/Domain adresine aynı anda UDP, TCP Flood veya HTTP GET/POST istekleri gönderir.

• Hedefler: İnternete bağlı yüksek performanslı makineler, sunucular.

• Örnekler: Mirai (IoT varyantları), NukeSped.

Trojan-Ransom

• Amaç: Dosyaları rehin alarak fidye talep etmek (Ransomware'e dönüşen Trojan).

• Çalışma Mantığı: C2 sunucusundan asimetrik bir kamu anahtarı (RSA) alır. Yerel disklerdeki kullanıcı dosyalarını AES/ChaCha20 ile şifreler, uzantılarını değiştirir ve masaüstüne fidye notu bırakır.

• Hedefler: Tüm kamu ve özel sektör kuruluşları.

• Örnekler: CryptoLocker, WannaCry (Trojan/Worm hibriti).

Mobile & Android Trojan

• Amaç: Mobil bankacılık uygulamalarını boşaltmak, SMS iki adımlı doğrulamaları (2FA) ele geçirmek.

• Çalışma Mantığı: Android Accessibility Services (Erişilebilirlik Servisleri) izinlerini suistimal ederek ekranı okur, otomatik tıklama yapar ve gerçek finans uygulamalarının üzerine sahte katmanlar (Overlay) yerleştirir.

• Hedefler: Akıllı telefon kullanıcıları.

• Örnekler: Anubis, Xenomorph, TeaBot.

IoT Trojan

• Amaç: Akıllı cihazları (Kamerlar, Routerlar) botnete dahil etmek.

• Çalışma Mantığı: Linux tabanlı minimal işletim sistemlerine (MIPS, ARM mimarileri) yönelik derlenir. Zayıf/varsayılan SSH/Telnet şifrelerini tarayarak (Brute-Force) yayılır.

• Hedefler: Akıllı ev cihazları, endüstriyel IoT ağları.

• Örnekler: Mirai, Mozi.

4. EN BİLİNEN TROJAN AİLELERİ

Kaynak: MITRE ATT&CK Software Catalog, Mandiant Threat Intelligence Reports (2025-2026).

5. TEHDİT AKTÖRLERİ VE SİBER SUÇ EKONOMİSİ

Siber Suç Grupları ve APT Grupları

Trojanlar hem finansal motivasyonlu siber suç çeteleri (Financially Motivated Threat Actors) hem de devlet destekli gelişmiş kalıcı tehdit (APT) grupları tarafından asimetrik amaçlarla kullanılır.

• Siber Suç Çeteleri (Örn: TA577, TA544, Storm-0506): Bu gruplar genellikle QakBot, DarkGate veya IcedID kullanarak kurumsal ağlara sızar ve topladıkları verileri ya kendileri işler ya da fidye yazılımı aktörlerine satarlar.

• Devlet Destekli APT Grupları:

  • APT28 / APT29 (Rusya): Özel yapım veya modifiye edilmiş ticari RAT'ları (Remcos vb.) diplomatik kurumlara yönelik spear-phishing operasyonlarında ilk erişim için kullanırlar.

  • Lazarus Group (Kuzey Kore): Kripto para şirketlerini hedeflemek için Truva atı haline getirilmiş sahte PDF okuyucular veya meşru SSH istemcileri (PuTTY varyantları) geliştirirler.

  • APT41 (Çin): Yazılım tedarik zincirlerine sızarak meşru güncellemelerin içine Trojan (arka kapı) yerleştirirler.

Malware-as-a-Service (MaaS) ve Yeraltı Ekonomisi

Modern siber suç dünyası katı bir iş bölümü (B2B modeli) üzerine kuruludur.

• Geliştiriciler (Malware Authors): Trojanı yazar, anti-virüs bypass testlerini yapar ve altyapıyı (C2 paneli, stub oluşturucu) hazırlar.

• MaaS Satış Modeli: Hazırlanan Trojanlar, Rusça ve İngilizce siber suç forumlarında (XSS, Exploit.in, BreachForums) aylık $150 ila $3,000 arasında değişen fiyatlarla veya "yıllık lisans" mantığıyla kiralanır. Kripto para (Monero/Bitcoin) ile ödeme kabul edilir.

• Kiralama İçeriği: Satın alan aktöre bir web yönetim paneli ve "Crypting" (şifreleme/kamufle etme) hizmeti entegre edilmiş stub oluşturucular sunulur.

6. TEKNİK MİMARİ VE GİZLEME TEKNİKLERİ

Programlama Dilleri

1. Geleneksel Diller (C / C++ / .NET): Hızlı yürütme, doğrudan Windows API erişimi ve düşük imza boyutu nedeniyle C/C++ vazgeçilmezdir. .NET (C#) ise esnek yapısı ve yeraltı dünyasındaki hazır kütüphane bolluğu nedeniyle (özellikle RAT'larda) sıklıkla tercih edilir.

2. Modern ve Egzotik Diller (Go, Rust, Nim, Zig): 2024–2026 döneminde güvenlik analistlerinin işini zorlaştırmak adına hızla yükselmiştir. Bu dillerle derlenen binary'ler çok büyük boyuttadır, tersine mühendislik süreçleri karmaşıktır ve imza tabanlı geleneksel AV'ler tarafından kolay tespit edilemezler.

Yapısal Bileşenler ve Loader Mimarisi

Gelişmiş bir Trojan mimarisi genellikle üç ana katmandan oluşur:

Şifreleme, Obfuscation ve Paketleme Yöntemleri

• Obfuscation (Kod Bulandırma): Fonksiyon ve değişken isimlerinin rastgele karakterlerle (Örn: A1b9_xX) değiştirilmesi, dize (string) verilerinin XOR, AES veya Base64 ile şifrelenerek kaynak kodda açıkça görünmesinin engellenmesi.

• API Resolving (Dinamik API Çağrıları): GetProcAddress ve LoadLibrary fonksiyonları suistimal edilerek, sistem fonksiyonları (Örn: VirtualAlloc, WriteProcessMemory) IAT (Import Address Table) içerisinde listelenmeden, çalışma zamanında hash değerleri üzerinden çağrılır.

• Packers (Paketleyiciler): UPX, Themida veya özel yazılmış Crypter yazılımları, asıl çalıştırılabilir kodu sıkıştırıp şifreler ve önüne meşru bir kod deşifre bloğu (stub) ekler.

Dosyasız (Fileless) Trojan Mimarisi

Dosyasız Trojanlar disk üzerinde çalıştırılabilir bir .exe dosyası bırakmazlar. Bellekte yerleşik (In-Memory) yaşarlar.

• Kurban sisteme giren bir script (VBS, PowerShell, JavaScript), Windows Kayıt Defteri'ne (Registry) şifreli olarak gizlenmiş shellcode'u okur.

• Ardından PowerShell.exe veya meşru bir Windows sürecinin belleğine bu kodu enjekte ederek doğrudan RAM üzerinde çalıştırır. Disk taraması yapan AV'ler tamamen bypass edilir.

7. BULAŞMA VEKTÖRLERİ

Modern Trojanların hedef sistemlere sızmak için kullandığı birincil giriş kapıları:

• Phishing / Spear Phishing / Malspam: En baskın vektördür. Kurbana gönderilen sahte fatura, kargo takip dökümanı gibi e-postaların ekinde makro içeren Office belgeleri (.xlsm, .docm), şifreli arşivler (.zip, .rar) veya doğrudan zararlı kısayol dosyaları (.lnk, .iso) yer alır.

• SEO Poisoning (Arama Motoru Zehirlemesi): Saldırganlar popüler yazılımların (AnyDesk, Notepad++, WinRAR, Blender) isimlerini hedef alan sahte web siteleri kurarlar. Arama motorlarında (Google, Bing) reklam vererek veya SEO teknikleriyle üst sıraya tırmanarak kullanıcıların sahte kurulum dosyalarını (Trojan içeren) indirmesini sağlarlar.

• Crack ve Keygen Siteleri: Lisanssız yazılım ve oyun indirmek isteyen kullanıcılar, Windows Defender'ı veya yerel antivirüslerini kapatmaya teşvik edilir. İndirilen crack araçlarının içine gömülü Infostealer veya RAT trojanları doğrudan tam yetkiyle sisteme sızar.

• Sosyal Platform Dağıtımı (Discord / Telegram): Discord Webhook'ları ve CDN linkleri, Telegram kanalları zararlı yazılım stub'larını barındırmak ve komuta kontrol merkezi olarak kullanılmak üzere suistimal edilir. "Hile kodları" veya "kripto tüyoları" adı altında bu platformlardan dağıtım yapılır.

• Supply Chain (Tedarik Zinciri) Saldırıları: Güvenilen bir yazılım üreticisinin geliştirme ortamına sızarak, resmi güncelleme paketinin içerisine Trojan yerleştirilmesi yöntemidir (Örn: SolarWinds, 3CX vakaları).

• Kötü Amaçlı Reklamlar (Malvertising): Meşru haber veya içerik sitelerindeki reklam ağlarına sızarak, kullanıcının hiçbir şeye tıklamasına gerek kalmadan sistemi exploit kitlerine yönlendiren (Drive-by Download) reklam pencerelerinin tetiklenmesi.

8. ÇALIŞMA ZİNCİRİ (ATTACK CHAIN)

Tipik bir modern Trojan enfeksiyonunun yaşam döngüsü aşağıdaki 10 adımdan oluşur:

1. İlk Erişim (Initial Access): Kullanıcı, kimlik avı e-postasındaki sahte faturaya (Fatura_2026.pdf.lnk) tıklar.

2. Çalıştırma (Execution): Kısayol dosyası, arka planda gizli bir PowerShell komutu tetikler. PowerShell, uzak sunucudan şifreli bir DLL dosyası indirir.

3. Ortam Analizi (Anti-Analysis Checking): Çalıştırılan kod, bir Sandbox (kum havuzu) veya analiz laboratuvarında olup olmadığını anlamak için CPU çekirdek sayısını, ekran kartı sürücülerini ve aktif debug süreçlerini kontrol eder. Güvenliyse devam eder.

4. Kalıcılık Sağlama (Persistence): Sistem yeniden başlatıldığında otomatik çalışmak için kendini HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıt defteri anahtarına yazar veya bir Scheduled Task (Zamanlanmış Görev) oluşturur.

5. Yetki Yükseltme (Privilege Escalation): Eğer mevcut kullanıcı yetkileri sınırlıysa, UAC (User Account Control) Bypass teknikleri (Örn: fodhelper.exe suistimali) kullanılarak NT AUTHORITY\SYSTEM yetkilerine ulaşmaya çalışır.

6. Keşif Faaliyetleri (Discovery): Yerel sistemdeki anti-virüs yazılımları listelenir (wmic /namespace:\\root\SecurityCenter2 path AntiVirusProduct get displayName), ağ kartı IP adresleri ve etki alanı (Domain) bilgileri okunur.

7. İç Sızma ve Genişleme (Lateral Movement): Sistemde kayıtlı admin kimlik bilgileri belleğin (lsass.exe) dökümü alınarak (LSASS Dumping) ele geçirilir. WMI veya Psexec ile ağdaki diğer sunuculara Trojan bulaştırılır.

8. Veri Toplama (Exfiltration Preparation): Tarayıcı şifreleri, çerezler, masaüstündeki hassas dökümanlar (.docx, .xlsx, .pdf) taranır, geçici dizinde (%TEMP%) toplanır ve sıkıştırılarak şifrelenir.

9. Komuta Kontrol İletişimi ve Veri Sızdırma (C2 & Exfiltration): Şifreli veriler, HTTPS veya DNS Tunneling protokolü üzerinden saldırganın kontrolündeki C2 sunucusuna postalanır.

10. İz Temizleme (Defense Evasion): Operasyon tamamlandığında veya kalıcı arka kapı bırakıldığında, ilk aşamada kullanılan geçici dosyalar silinir ve Windows Olay Günlükleri (Event Logs) kısmen temizlenir.

9. SİSTEM ÜZERİNDEKİ FAALİYETLERİ VE PERSISTENCE

Trojanlar sistemde kalıcı olabilmek ve tespit mekanizmalarını atlatabilmek için Windows işletim sisteminin yerleşik bileşenlerini ve konfigürasyonlarını manipüle ederler.

Dosya ve Kayıt Defteri (Registry) Değişiklikleri

• Zararlı binary'ler genellikle kullanıcıların gözünden kaçan %APPDATA%, %LOCALAPPDATA% veya C:\ProgramData\ dizinleri altında, meşru yazılım isimlerine benzer klasörler (Örn: \Intel\IntelAudioUpdate.exe) oluşturularak saklanır.

• Persistence (Kalıcılık) Anahtarları:

  • HKLM\Software\Microsoft\Windows\CurrentVersion\Run ve RunOnce

  • HKCU\Software\Microsoft\Windows\CurrentVersion\Run ve RunOnce

  • HKLM\System\CurrentControlSet\Services (Yeni servis ekleme)

Scheduled Task ve Service Kullanımı

• Saldırganlar schtasks /create komutu vasıtasıyla sistem her açıldığında veya her saat başı tetiklenecek görevler planlar. Bu görev meşru bir Windows bileşeni gibi adlandırılabilir (Örn: OneDrive Reporting Task).

WMI, PowerShell ve Komut Satırı Suistimali

• Living Off The Land (LotL): Güvenlik yazılımlarının dikkatini çekmemek için sistemin kendi araçları kullanılır.

• wmic process call create kullanılarak iz bırakmadan süreç başlatılabilir.

• PowerShell, -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass parametreleri ile çağrılarak script kısıtlamaları aşılır.

Güvenlik Yazılımlarını Devre Dışı Bırakma Girişimleri

• Kayıt defteri üzerinden Windows Defender kapatılmaya çalışılır:

  reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f

• BYOVD (Bring Your Own Vulnerable Driver): Trojan, sistem yetkilerini aldıktan sonra yanına bilinen bir güvenlik açığı barındıran meşru, imzalı bir donanım sürücüsü (Örn: eski bir anti-virüs veya anti-cheat sürücüsü) yükler. Bu açık sürücü üzerinden kernel (çekirdek) seviyesine sızarak aktif EDR/AV ajanlarının bellek süreçlerini sonlandırır.

10. VERI TOPLAMA YETKİNLİKLERİ

Modern Infostealer ve RAT sınıfı Trojanlar, sistemdeki hemen her türlü dijital varlığı hedef alacak şekilde programlanmıştır.

Tarayıcı ve Oturum Verileri

• Kimlik Bilgileri: Google Chrome, MS Edge, Mozilla Firefox, Opera ve Brave tarayıcılarının yerel veri tabanlarındaki kullanıcı adı ve şifre kombinasyonları.

• Oturum Çerezleri (Session Cookies): Özellikle 2FA (İki Adımlı Doğrulama) mekanizmalarını bypass etmek için tarayıcı oturum çerezleri çalınır. Saldırgan bu çerezleri kendi tarayıcısına ithal ederek kurbanın hesabına şifresiz giriş yapar (Pass-the-Cookie).

Kripto Cüzdanlar ve Finansal Bilgiler

• Kripto Eklentileri ve Cüzdanlar: MetaMask, Phantom, Coinbase Wallet gibi tarayıcı eklentilerinin yerel depolama alanları ile Bitcoin-Core, Electrum gibi masaüstü cüzdanlarının wallet.dat dosyaları çalınır.

• Clipper Fonksiyonu: Bellek ve panoyu (clipboard) sürekli izler. Kurban bir kripto adresi kopyaladığında, pano verisini anında saldırganın kendi cüzdan adresi ile değiştirir. Kullanıcı fark etmeden parayı saldırgana gönderir.

Uygulama Spesifik Kimlik Bilgileri

• VPN ve FTP: AnyConnect, OpenVPN, FileZilla, WinSCP yapılandırma dosyalarındaki kayıtlı uzak sunucu bilgileri ve şifreleri.

• İletişim ve Oyun Platformları: Discord tokenları, Telegram oturum dosyaları (tdata), Steam, Epic Games, Battle.net oturum anahtarları ve hesap bilgileri.

Ortam Dinleme ve İzleme

• Keylogging: İşletim sisteminin klavye kancalarını (SetWindowsHookEx) kullanarak kullanıcının bastığı her tuşu kaydeder.

• Multimedya: Sistem kamerası ve mikrofonuna doğrudan erişerek gizli ses ve video kaydı toplama, aktif ekranın anlık ekran görüntülerini (Screenshot) alma.

11. AĞ İLETİŞİMİ ANALİZİ VE C2 MİMARİLERİ

C2 (Command & Control) Altyapı Yapıları

• Merkezi Mimari: Trojan, doğrudan sabit IP adreslerine veya alan adlarına (Domain) bağlanır. Bu alan adlarının engellenmesi durumunda botnet çöker.

• DGA (Domain Generation Algorithm): Sabit alan adı yerine, Trojan içerisindeki bir matematiksel algoritma o günün tarihine göre yüzlerce rastgele alan adı üretir (Örn: x7f2n9w1q.com). Saldırgan bu alan adlarından sadece birini tescil ederek iletişimi sürdürür; savunmacıların tüm alan adlarını önceden engellemesi imkansızdır.

• P2P (Peer-to-Peer) Mimarisi: Merkezi bir C2 sunucusu yoktur. Enfekte olan her makine (peer), komutları ve payload'ları ağdaki diğer enfekte makinelere aktarır. Kapatılması en zor mimaridir.

Kullanılan Protokoller ve Tünelleme

• HTTP/HTTPS: En yaygın yöntemdir. Zararlı trafik, standart 80 veya 443 portları üzerinden meşru web trafiği (Örn: Google Cloud, AWS veya Cloudflare arkasına saklanarak - Domain Fronting) gibi gösterilir.

• DNS Tunneling: Veriler, DNS sorgularının içerisine TXT veya Subdomain kayıtları olarak gömülerek dışarı sızdırılır. Ağdaki firewall'lar DNS isteklerini genellikle engellemediği için bu yöntem oldukça etkilidir.

• TOR Entegrasyonu: Trojan, arka planda minimal bir TOR istemcisi çalıştırarak trafiği .onion uzantılı gizli servisler üzerinden yönlendirir. Saldırganın fiziksel C2 konumu tamamen gizlenir.

Meşru API'lerin İstismarı (Dead Drops / Living Off Trusted Sites)

• Telegram Bot API & Discord Webhooks: Saldırganlar C2 sunucusu kurmak yerine meşru Telegram botları veya Discord kanalları oluşturur. Trojan, çaldığı verileri HTTPS POST istekleri ile doğrudan Telegram API'sine (api.telegram.org/bot<token>/sendMessage) gönderir. Trafik tamamen meşru bir servise gittiği için ağ filtrelerinden takılmadan geçer.

12. SAVUNMADAN KAÇINMA (DEFENSE EVASION) TEKNİKLERİ

Anti-Analysis, Anti-VM ve Anti-Sandbox

Trojanlar analiz laboratuvarlarında kendilerini imha eder veya zararsız davranırlar:

• Anti-VM: IsDebuggerPresent API çağrısı, VBoxGuest.sys veya vmmouse.sys gibi sanallaştırma sürücülerinin kontrolü, kayıt defterindeki BIOS seri numaralarında "VMware", "VBOX" ibarelerinin aranması.

• Zaman Geciktirme (Stalling): Güvenlik kum havuzları (Sandbox) analizi hızlı bitirmek için dosyayı genellikle 2-3 dakika çalıştırır. Trojan, Sleep fonksiyonları kullanarak veya anlamsız büyük matematiksel döngüler (Loop) çalıştırarak ilk 10 dakika hiçbir zararlı eylem yapmaz.

Bellek İçi Enjeksiyon Teknikleri

Diske dosya yazmadan, meşru süreçlerin içerisine kod enjekte etme yöntemleridir:

• Process Hollowing: Meşru bir süreç (Örn: svchost.exe veya notepad.exe) askıda (Suspended) başlatılır. Bellekteki meşru kod bloğu boşaltılır (unmapped) ve yerine Trojan'ın shellcode'u yazılarak süreç devam ettirilir (Resumed). Görev yöneticisinde her şey meşru görünür.

• DLL Side-Loading: Dijital olarak imzalanmış meşru bir uygulamanın (Örn: meşru bir antivirüs güncelleme aracı) bağımlı olduğu bir DLL dosyasının adı taklit edilerek zararlı DLL aynı klasöre konur. Uygulama çalıştırıldığında işletim sistemi meşru DLL yerine Trojan enjekte edilmiş sahte DLL'i yükler.

Güvenlik Mekanizmalarını Bypass Etme

• AMSI (Antimalware Scan Interface) Bypass: Windows bellek içi script tarama mekanizması olan AMSI'nin bellekteki ilgili fonksiyonunun (AmsiScanBuffer) ilk byte'ları XOR EAX, EAX; RET şeklinde yamalanarak (patching) tarama işlevsiz hale getirilir.

• ETW (Event Tracing for Windows) Bypass: EDR çözümlerinin sistem olaylarını izlemek için kullandığı ETW loglama fonksiyonları (NtTraceEvent) benzer şekilde bellek üzerinde yamalanarak EDR'ın kör olması sağlanır.

13. MITRE ATT&CK MATRİSİ ANALİZİ

Trojan operasyonlarında en sık kullanılan tekniklerin kurumsal seviye eşleştirmesi:

14. IOC (INDICATORS OF COMPROMISE) ANALİZİ VE TESPİTİ

Tehdit istihbaratında Trojan tespiti için kullanılan Gösterge (IOC) sınıfları ve avlanma yöntemleri:

1. Dosya (Host) Tabanlı IOC'ler

• Karakteristik: Benzersiz dosya hash değerleri (MD5, SHA-256), olağan dışı dizinlerdeki çalıştırılabilir dosyalar.

• Avlanma Yöntemi: Uç noktalarda %APPDATA% veya %TEMP% klasörlerinde rastgele isimli (ax82v.exe) veya meşru isimleri taklit eden ama imzasız olan dosyaların taranması.

2. Kayıt Defteri (Registry) IOC'leri

• Karakteristik: Run / RunOnce anahtarlarında, alışılmadık parametrelerle çalışan script komutları (Örn: powershell -enc ...).

• Avlanma Yöntemi: Kayıt defteri değişikliklerini izleyen Sysmon (Event ID 12/13) loglarının merkezi analizi.

3. Ağ (Network) IOC'leri

• Karakteristik: Bilinen siber suç IP adreslerine yapılan bağlantılar, DGA tarafından üretilmiş anlamsız domain istekleri, şüpheli User-Agent kullanımı.

• Avlanma Yöntemi: DNS sunucu loglarında ani yükseliş gösteren NXDOMAIN (mevcut olmayan domain) hatalarının incelenmesi.

4. Süreç (Process) ve Bellek IOC'leri

• Karakteristik: notepad.exe veya svchost.exe süreçlerinin internete çıkış yapması, bellek alanlarında PAGE_EXECUTE_READWRITE (RWX) izinlerine sahip imzasız alanların bulunması.

• Avlanma Yöntemi: EDR araçları ile bellek içi enjeksiyon taramaları (Process Hollowing tespiti).

15. TESPİT YÖNTEMLERİ (DETECTION METHODOLOGIES)

YARA Kuralları (Statik Analiz)

YARA, dosya içerisindeki belirli string ve byte dizilimlerini arayarak statik tespit sağlar.

Sigma Kuralları (Log Analizi)

Sigma, SIEM sistemleri için genel kurallar üreterek sistem loglarında (SIEM/Sysmon) şüpheli davranışları yakalar.

Davranışsal, Sandbox, Bellek ve Ağ Analizi Yöntemleri

• EDR Davranışsal Analizi: Bir sürecin davranış zincirini inceler. Örneğin: Outlook.exe -> Word.exe -> cmd.exe -> powershell.exe zinciri doğrudan bir Trojan infeksiyon tetiklenmesidir ve kurallar devreye girmeden süreç bloke edilir.

• Sandbox Analizi: İzole edilmiş sanal makinelerde (Örn: Joe Sandbox, Any.Run) dosya çalıştırılır; yaptığı API çağrıları, bıraktığı mutex'ler ve ağ bağlantıları yapay zeka ve kural motorları ile puanlanır.

• Bellek Analizi: Canlı sistemden alınan RAM imajı (Volatility aracı ile) incelenerek gizli enjeksiyonlar, API kancaları (SSDT hooking) ve ağ soketleri taranır.

16. OLAY MÜDAHALESİ (INCIDENT RESPONSE) SÜREÇLERİ

Kurumsal ağda bir Trojan enfeksiyonu (Örn: bir muhasebe bilgisayarında AsyncRAT tespiti) anında uygulanacak acil eylem planı:

1. İlk Müdahale ve İzolasyon

• Ağ İzolasyonu: Enfekte uç noktanın ağ kablosu çekilmeli, Wi-Fi bağlantısı kesilmelidir. Eğer EDR aktifse, EDR paneli üzerinden makine anında ağdan mantıksal olarak izole edilmelidir (Isolate Host). Sistem kapatılmamalıdır (RAM verisinin kaybolmaması için).

2. Kanıt Toplama ve Adli Bilişim (Forensics)

• Bellek Dökümü (RAM Dump): FTK Imager veya Belkasoft gibi araçlarla sistemin canlı bellek imajı alınır. C2 bağlantı bilgileri ve deşifre edilmiş şifreler buradan çekilir.

• Triage Toplama: KAPE veya Cyber triage araçları kullanılarak Event Loglar, Registry kovanları, MFT veri tabanı ve Prefetch dosyaları hızlıca kopyalanır.

3. Kalıcılığın Kaldırılması ve Temizlik

• Tespit edilen Scheduled Task'lar silinir.

• Registry Run anahtarlarındaki zararlı girdiler temizlenir.

• Zararlı .exe / .dll dosyaları güvenli olarak silinir.

• Etkilenen kullanıcının ve sistemin sızdırılmış olma ihtimaline karşı tüm kurumsal parolaları (Active Directory dahil) sıfırlanır, aktif web oturum tokenları (Session Revocation) sonlandırılır.

4. Yeniden Enfeksiyonun Önlenmesi (Post-Incident)

• Saldırganın kullandığı sızma vektörü (Örn: Güvenlik duvarındaki açık, phising e-postası filtre kaçığı) tespit edilerek kapatılır. EDR politikaları sıkılaştırılır.

17. GERÇEK DÜNYA VAKALARI VE ETKİLERİ

1. Zeus Küresel Bankacılık Vurgunu (2007 - 2010)

• Etki Alanı: Başta ABD ve Avrupa olmak üzere global finans sektörü.

• Maddi Zarar: Yaklaşık 100 Milyon Dolar doğrudan nakit hırsızlığı.

• Operasyonel Etki: Bankaların internet bankacılığı güvenlik mimarilerini kökten değiştirmesine (Donanımsal OTP ve SMS doğrulama sistemlerinin zorunlu kılınmasına) yol açtı.

2. Emotet Küresel Dağıtım Ağı Operasyonu (2014 - 2021)

• Etki Alanı: Kamu kurumları, kritik altyapılar, belediyeler ve küresel şirketler.

• Maddi Zarar: Toplam temizlik ve fidye maliyetleri dahil 2.5 Milyar Doların üzerinde dolaylı zarar.

• Hukuki Sonuçlar: 2021 yılında Europol liderliğinde 8 ülkenin katıldığı küresel bir siber operasyonla altyapısı çökertildi, Ukrayna'da bazı operatörler yakalandı.

3. SolarWinds Orion Tedarik Zinciri Saldırısı (2020)

• Aktör: APT29 (Cozy Bear / Rusya Devlet Destekli).

• Vaka: Meşru ağ yönetim yazılımı SolarWinds Orion güncelleme paketinin içerisine SUNBURST kod adlı bir Trojan arka kapı yerleştirildi.

• Etki: ABD Pentagon, Hazine Bakanlığı ve 500 büyük Fortune şirketi dahil 18.000 kurum aylarca casusluğa maruz kaldı. Siber güvenlik tarihindeki en büyük istihbarat sızıntılarından biridir.

18. KÜRESEL GÜVENLİK FİRMALARININ DEĞERLENDİRMELERİ

• Microsoft Security: Kurumsal ağlara yönelik saldırı zincirlerinin %80'inden fazlasının bir "Trojan-Downloader" veya "Initial Access Broker" faaliyeti ile başladığını, Microsoft Defender'ın bulut tabanlı sezgisel yapay zeka analizlerinin bu kaçınma tekniklerine odaklandığını belirtmektedir.

• Cisco Talos: DarkGate ve QakBot varyantlarının son dönemde çok dilli paketleyiciler (Rust/Go) kullanarak kurumsal e-posta ağlarını deldiğini, e-posta güvenliğinde (Secure Email Gateway) ek analizlerin önemini vurgulamaktadır.

• CrowdStrike: Tehdit aktörlerinin "Living off the Land" taktiklerini yoğunlaştırdığını, doğrudan Trojan dosyası yerine meşru Windows yönetim araçlarının (WMI/PowerShell) izlenmesinin (Identity Threat Detection) kritik olduğunu raporlamaktadır.

• Palo Alto Unit42: Bilgi hırsızı (Infostealer) Trojanların, çalınan çerezler yoluyla MFA (Çok Faktörlü Doğrulama) mekanizmalarını tamamen işlevsiz kıldığını, kimlik tabanlı erişim korumalarının (Zero Trust) zorunlu olduğunu iletmektedir.

• Kaspersky & ESET: Mobil ve Android tabanlı bankacılık Trojanlarının (Xenomorph, TeaBot gibi), resmi Google Play Store üzerindeki meşru "QR okuyucu", "PDF düzenleyici" kılıfıyla dağıtılarak kurumsal uç noktalara sızdığını raporlamaktadır.

19. GÜNÜMÜZ TEHDİT MANZARASI (2024 - 2026 TRENDLERİ)

Yapay Zeka (AI) Destekli Saldırılar

Saldırganlar, LLM (Büyük Dil Modelleri) kullanarak sıfır imla hatası barındıran, kurbanın iş pozisyonuna son derece uyumlu, ikna edici Mükemmel Spear-Phishing e-postaları üretmektedir. Ayrıca analistlerin analiz süreçlerini uzatmak için yapay zeka ile dinamik olarak kod yapısını değiştiren (Polimorfik) Trojan stub'ları geliştirilmektedir.

Kripto Para Odaklı Tehditler

Merkeziyetsiz finansın (DeFi) büyümesiyle, Trojanların "Clipper" (pano değiştirme) ve akıllı sözleşme özel anahtarlarını çalma yetenekleri maksimize edilmiştir.

BYOVD ve EDR Kör Etme Stratejileri

2025–2026 döneminde neredeyse tüm gelişmiş siber suç grupları, kernel seviyesinde imza barındıran zafiyetli sürücüleri sisteme yükleyerek (BYOVD) piyasadaki lider EDR ajanlarının bellek korumalarını devre dışı bırakma trendini standartlaştırmıştır.

20. RİSK VE ETKİ DEĞERLENDİRMESİ

Segment bazlı Trojan tehdit matrisi ve risk puanlaması (1-10 arası):

21. YÖNETİCİ ÖZETİ (NON-TECHNICAL EXECUTIVE SUMMARY)

10 Maddelik Özet ve Kritik Çıkarımlar

1. Görünmez Tehdit: Trojanlar virüsler gibi bilgisayarı bozmaz; aksine fark edilmemek için sessizce çalışır, şifrelerinizi ve verilerinizi çalar.

2. Güven Suistimali: Hiçbir Trojan sisteme kendi kendine zorla girmez; meşru bir oyun, güncelleme veya e-posta eki maskesiyle kullanıcının onayını alarak sızar.

3. En Büyük Sızma Vektörü Parolalardır: Günümüz Trojanları (Infostealer) bilgisayarınızdaki tüm tarayıcı şifrelerini saniyeler içinde çalabilir.

4. MFA (İki Aşamalı Doğrulama) Artık Tam Güvence Değil: Trojanlar şifreyle birlikte tarayıcı "oturum çerezlerini" de çaldığı için, telefona gelen onay kodunu bypass edebilirler.

5. Büyük Saldırıların Öncüsüdür: Şirketleri vuran büyük fidye yazılımı (Ransomware) felaketlerinin neredeyse tamamının arkasında, aylar öncesinden içeri sızmış bir Trojan (RAT) bulunur.

6. Yapay Zeka Etkisi: 2026 yılı itibarıyla saldırganlar, yapay zeka yardımıyla hatasız Türkçe içeren son derece inandırıcı sahte mailler üretmektedir.

7. Yasal Yazılımlar Bile Taklit Ediliyor: Arama motorlarında (Google vb.) "AnyDesk indir" gibi aramalar yapıldığında, sponsorlu ilk sonuçlar genellikle Trojan içeren sahte siteler olabilmektedir.

8. Mobil Tehlike Büyüyor: Android telefonlardaki sahte uygulamalar, bankacılık uygulamalarınızın üzerine sahte ekranlar koyarak kart bilgilerinizi ele geçirmektedir.

9. Hizmet Olarak Satılıyor: Siber suç dünyasında artık teknik bilgi gerekmemektedir; gelişmiş Trojan altyapıları aylık abonelikle siber suçlulara kiralanmaktadır.

10. Tek Çözüm Katmanlı Savunmadır: Sadece standart bir anti-virüs yetersizdir; personel eğitimi, güncel sistemler ve davranış takibi yapan modern EDR çözümleri şarttır.

Temel Korunma Önerileri

• Kimlik Doğrulama: Şifre güvenliğinin ötesine geçilmeli, çerez çalınmasına karşı donanımsal anahtarlar (FIDO2/YubiKey) veya kısa süreli oturum politikaları uygulanmalıdır.

• E-posta ve Tarayıcı Sıkılaştırma: Gelen e-posta eklerindeki tehlikeli uzantılar (.lnk, .iso, .vbs) gateway seviyesinde engellenmeli, personellere düzenli simülasyon eğitimleri verilmelidir.

• Uç Nokta Görünürlüğü (EDR): Şirket bilgisayarlarında geleneksel antivirüs yerine imza bağımsız çalışan, bellek enjeksiyonlarını yakalayabilen yeni nesil EDR çözümleri konumlandırılmalıdır.

SONUÇ VE GENEL DEĞERLENDİRME

Trojan (Truva Atı) zararlı yazılım sınıfı, siber güvenliğin en eski tehditlerinden biri olmasına rağmen, insan psikolojisini temel sızma vektörü olarak kullanması ve teknolojik gelişmelere (Rust/Go dilleri, BYOVD taktikleri, Yapay Zeka entegrasyonu) hızla adapte olması sayesinde 2026 yılında da siber suç dünyasının merkez üssü konumunu korumaktadır.

Savunma ekiplerinin bu tehditle mücadele edebilmesi için statik imza tabanlı (MD5/SHA256) koruma felsefesini tamamen terk ederek; davranışsal analize, sıfır güven (Zero Trust) mimarisine, bellek içi avcılık metotlarına ve proaktif Tehdit İstihbaratına (CTI) yatırım yapması kurumsal bir zorunluluktur.

Rapor Doğrulama ve Sürüm Kaynakları:

• MITRE ATT&CK Framework v14 (2024-2025 updates).

• Cybersecurity & Infrastructure Security Agency (CISA) - Alert (AA23-242A) QakBot Infrastructure Dismantled & 2025/2026 Resurgence Intelligence.

• CrowdStrike Global Threat Report 2025 / First Half 2026 Tactical Addendum.

• Mandiant M-Trends 2025/2026 Reports on Initial Access Brokerage.