Bilgisayarınızda Sessiz Bir Ajan mı Var? Windows’u Saran Yeni Nesil Virüsler ve 5 Gizli Belirti

Eski günlerin bilgisayarı kilitleyen, ekrana kuru kafa resimleri çıkaran veya dosyaları silen gürültülü virüsleri artık tarihe karıştı. Günümüzün siber suç dünyasında en kârlı iş modeli, kullanıcının ruhu bile duymadan arka planda çalışan ve dijital hayatın anahtarlarını çalan Infostealer (Bilgi Hırsızı) yazılımlarıdır.

Özellikle Lumma Stealer (LummaC2) ve RedLine Stealer gibi zararlılar, Windows kullanıcılarının tarayıcı çerezlerini (cookies), kayıtlı şifrelerini ve kripto cüzdanlarını saniyeler içinde siber suç pazarlarına aktarıyor. Peki bu sinsi ajanlar sisteminize nasıl sızıyor ve varlıklarını ele veren gizli işaretler neler?

---

Yeni Nesil Tehdit: Bilgisayarı Yavaşlatmayan, Kimliği Çalan Infostealer’lar

Klasik bir kullanıcı, bilgisayarında virüs olup olmadığını genellikle şu sorularla tartar: “Bilgisayarım yavaşladı mı? Fanlar çok hızlı dönüyor mu? Mavi ekran alıyor muyum?”

Infostealer yazarları bu soruların hepsine “HAYIR” yanıtını vermek üzere kodlama yapar:

• Sıfır Donanım Yükü: Bu zararlılar işlemciyi veya belleği tüketmez; kripto para madenciliği yapmaz.
• Yıldırım Hızı: Sisteme sızdıktan sonra ortalama 15 ila 45 saniye içinde Chrome, Edge, Brave gibi tarayıcılardaki SQLite veri tabanlarını tarar; çerezleri, şifreleri, kredi kartı bilgilerini ve kripto uzantılarını (MetaMask, Phantom) zıplayarak çalar.
• İzi Yok Etme: Verileri şifreleyerek komuta kontrol (C2) sunucusuna gönderdikten sonra genellikle arka planda kendini uyku moduna alır veya izlerini temizler.

---

Şeytani ClickFix Tuzağı: Sahte CAPTCHA’lar Nasıl PowerShell Çalıştırıyor?

Kullanıcıların en güvendiği anlar, siber saldırganların en sevdiği av sahasıdır. Son dönemin en yaygın bulaşma yöntemi ClickFix tekniğidir:

1. Kullanıcı film izlemek, dosya indirmek veya bir makale okumak için bir web sitesine girer.
2. Ekrana son derece inandırıcı bir Cloudflare veya Google reCAPTCHA penceresi gelir: “Robot olmadığınızı doğrulamak için lütfen doğrulama adımlarını tamamlayın.”
3. Sayfa kullanıcıya şu talimatı verir: “Windows + R tuşlarına basın, Ctrl + V ile doğrulama kodunu yapıştırın ve Enter’a basın.”
4. Kullanıcı zararsız bir doğrulama yaptığını sanırken, panosuna (clipboard) kopyalanan zararlı Base64 kodlu PowerShell komutunu kendi elleriyle yönetici yetkisinde çalıştırır.
5. Windows Defender daha ne olduğunu anlayamadan Lumma Stealer belleğe (memory) enjekte olur.

---

Bilgisayarınızda Virüs Olduğunu Gösteren 5 Kritik Gizli Belirti

Bilgisayarınız normal hızında çalışsa bile aşağıdaki 5 işaretten birini fark ettiyseniz, sisteminizde aktif bir ajan bulunma olasılığı çok yüksektir:

1. Açılışta Anlık Komut İstemi (CMD / PowerShell) Yanıp Sönmesi: Bilgisayarı ilk açtığınızda veya masaüstüne ulaştığınız anda siyah bir konsol penceresi saliseler içinde açılıp kapanıyorsa, bu durum başlangıç görevlerine (Task Scheduler) yerleşmiş bir zararlının ilk tetikleme anıdır.
2. Web Sitelerindeki Oturumların Beklenmedik Şekilde Kapanması: Google, Instagram, Netflix veya banka hesaplarınızda düzenli olarak açık kalan oturumlarınız aniden kapanıyor ve sizden tekrar şifre istiyorsa, oturum çerezleriniz (session tokens) başka bir IP adresinden kullanıldığı için güvenlik mekanizmaları oturumunuzu düşürmüş olabilir.
3. Hesap Güvenlik Bildirimleri: E-postanıza “Yeni bir cihazdan (örneğin Rusya, Hollanda veya bilinmeyen bir Windows sürümünden) oturum açıldı” mesajları gelmesi, şifrenizin değil doğrudan çerezinizin kopyalandığını gösterir. İki aşamalı doğrulama (2FA) bile çerez hırsızlığını her zaman engelleyemez.
4. Windows Defender’ın Kendiliğinden Devre Dışı Kalması: Windows Güvenliği ayarlarına girdiğinizde “Virüs ve tehdit koruması kuruluşunuz tarafından yönetiliyor” uyarısı görüyorsanız veya gerçek zamanlı koruma kapalıysa, zararlı kayıt defterine (Registry) müdahale etmiştir.
5. Kripto Cüzdan Bakiyelerinde Anormallik veya Kopyala-Yapıştır Değişimi: Kripto adresi kopyaladığınızda panoya yapıştırdığınız adresin bir iki karakterinin farklı olduğunu görüyorsanız, sisteminizde panoyu izleyen bir Clipper Trojanı çalışmaktadır.

---

Enfeksiyon Şüphesinde Yapılması Gereken Acil Kurtarma Protokolü

Sisteminizde bir bilgi hırsızı olduğundan şüpheleniyorsanız şu adımları saniyeler içinde uygulamalısınız:

1. Fiziksel Bağlantıyı Kesin: Ethernet kablosunu derhal çekin veya Wi-Fi’ı kapatın. Bilgi hırsızı henüz verileri sunucusuna yüklememişse zaman kazanırsınız.
2. ASLA Virüslü Bilgisayardan Şifre Değiştirmeyin: Şifrenizi virüslü makinede değiştirirseniz, klavye hareketlerinizi izleyen casus yeni şifrenizi de anında kopyalar.
3. Güvenli Bir Cihazdan (Telefon) Tüm Oturumları Sonlandırın: Akıllı telefonunuzu kullanarak birincil e-posta hesabınızın, Google/Apple hesaplarınızın ve bankacılık şifrelerinizi yenileyin ve ayarlardan “Tüm aktif oturumları kapat” seçeneğini uygulayın.
4. Temiz Kurulum (Format): Belleğe ve sistem dll’lerine bulaşan modern infostealer’ları sıradan ücretsiz antivirüslerle tamamen temizlemek zordur. USB bellek üzerinden temiz bir Windows kurulumu yapmak en güvenli yoldur.

---

Sonuç: Görünmez Tehdit Çağında Sıfır Güven (Zero Trust)

Windows dünyasında güvenlik artık bir antivirüs kurup arkaya yaslanmakla sağlanamaz. Siber suçlular sistemin açıklarından ziyade insan psikolojisini (sahte CAPTCHA, korsan oyun yamaları, sahte e-postalar) hedef almaktadır.

Tanımadığınız hiçbir sitede kopyala-yapıştır talimatlarını çalıştırmamak, şifre yöneticilerinde tarayıcı hafızası yerine bağımsız şifreli kasalar (Bitwarden, 1Password) kullanmak ve oturum güvenliğini donanımsal güvenlik anahtarlarıyla (FIDO2 / YubiKey) tahkim etmek, yeni nesil görünmez virüslere karşı en sağlam kalkanınız olacaktır.