Siber Güvenlik Şirketi PRODAFT: “Linux Sistemlerini Hedef Alan Yeni Botnet 11 Farklı İstismar Yöntemi Kullanıyor”

Siber güvenlik şirketi PRODAFT, 5 Kasım 2026 tarihinde yayımladığı “Multi-Architecture Linux Botnet: Divergent Scanners and DDoS Control” başlıklı araştırma raporunda, farklı işlemci mimarilerinde çalışabilen ve ele geçirilen cihazları dağıtık hizmet engelleme (DDoS) saldırılarında kullanmayı amaçlayan bir Linux botnet yazılımının teknik özelliklerini açıkladı.

PRODAFT Tehdit İstihbaratı (PTI) ekibinin erişime açık bir dizinden elde ettiği yazılım paketinin incelenmesi sonucunda, zararlı yazılımın cihazlara yayılma, merkezi sunucudan komut alma, yeniden başlatma sonrasında çalışmaya devam etme ve kendisini güncelleme yeteneklerine sahip olduğu belirlendi.

Araştırmada özellikle x86-64 ve i686 sürümlerinin farklı tarama mekanizmaları kullandığı, buna karşın her iki sürümde de tarama faaliyetlerinin komuta kontrol sunucusuyla bağlantı kurulmadan önce başlatıldığı tespit edildi.

13 Zararlı Yazılım Dosyası, 10 Benzersiz İkili Dosya

PRODAFT tarafından incelenen pakette 28 normal dosya bulunduğu, bunların 13'ünün ELF biçiminde çalıştırılabilir zararlı yazılım, 14'ünün derleme işaretçisi ve birinin dağıtım betiği olduğu bildirildi.

Dosyaların SHA-256 değerleri üzerinden yapılan karşılaştırmada, 13 farklı dosya adına karşılık 10 benzersiz ikili dosya bulunduğu belirlendi.

Zararlı yazılımın ARM, AArch64, x86, MIPS ve PowerPC işlemci mimarilerini destekleyen sürümler içerdiği kaydedildi. Bu mimari çeşitliliğinin, yazılımın gömülü Linux cihazlarından genel amaçlı Linux sistemlerine kadar farklı cihaz türlerinde çalışabilecek şekilde hazırlandığını gösterdiği ifade edildi.

Araştırmada üç dosya çiftinin birebir aynı içerikte olduğu da belirlendi. Bunların bot-arm ile bot-arm7, bot-arm5 ile bot-armel ve bot-mipsel ile bot-ubnt dosyaları olduğu açıklandı.

İki Farklı Tarama Mekanizması Tespit Edildi

PRODAFT'ın araştırmasında öne çıkan bulgulardan biri, aynı dağıtım paketinde iki farklı tarayıcı uygulamasının bulunması oldu.

x86-64 sürümünün, cihazın ağ arayüzlerinden elde ettiği adresleri kullanarak yerel /24 ağlarında Telnet servislerini taradığı belirlendi. Bu sürümün TCP/23 ve TCP/2323 bağlantı noktalarını hedeflediği ve 16 iş parçacığı oluşturmaya çalıştığı aktarıldı.

i686 sürümünde ayrıntılı olarak incelenen genişletilmiş tarayıcının ise genel IP adresleri, belirli hedefler, yeniden deneme listeleri ve iş bölümlendirme mekanizmaları üzerinden daha geniş bir hedef havuzu oluşturabildiği bildirildi.

Genişletilmiş tarayıcının 24 iş parçacığı oluşturmaya çalıştığı ve 4 bin 96 hedeflik bir iş listesi sınırı kullandığı tespit edildi.

PRODAFT, x86-64 dışındaki 12 dosya adında genişletilmiş tarayıcıya ait sembollerin bulunduğunu belirtti. Bununla birlikte ayrıntılı çalışma akışı incelemesinin i686 örneği üzerinde gerçekleştirildiği vurgulandı.

“Komuta Kontrol Bağlantısı Kurulmadan Tarama Başlıyor”

Araştırmanın güvenlik açısından dikkat çeken bulgularından biri, zararlı yazılımın tarama faaliyetlerini merkezi sunucuya kayıt yaptırmadan önce başlatabilmesi oldu.

PRODAFT raporunda, “Komuta kontrol bağlantısının engellenmesi, çalışmakta olan bir tarayıcının mutlaka duracağı anlamına gelmiyor.” değerlendirmesine yer verildi.

İncelenen x86 sürümlerinin başlangıç aşamasında ayrı bir tarayıcı süreci oluşturduğu, ana sürecin ise daha sonra güncelleme ve komuta kontrol bağlantısı işlemlerine geçtiği belirlendi.

Bu mimarinin, merkezi sunucuyla iletişimi kesilen bir cihazın yerel veya uzak ağlarda tarama faaliyetlerini sürdürmesine imkân tanıyabildiği kaydedildi.

PRODAFT, güvenlik müdahalelerinde yalnızca komuta kontrol bağlantısının engellenmesinin yeterli olmayabileceğine işaret ederek tarayıcı süreçlerinin, cihazlar arası erişimin ve zararlı yazılım dağıtım yollarının birlikte ele alınması gerektiğini bildirdi.

11 Farklı Güvenlik Açığı İstismar Mekanizması

Araştırmada, genişletilmiş tarayıcı bileşeninin 11 farklı güvenlik açığı istismar işleyicisi içerdiği belirlendi.

Bu mekanizmaların yönlendiriciler, ağ geçitleri, güvenlik kameraları, Telnet servisleri ve sunucu tarafındaki React uygulamalarına yönelik istekler oluşturabildiği açıklandı.

İncelenen mekanizmalar arasında CVE-2025-55182, CVE-2026-24061, CVE-2021-35394, CVE-2017-17215, CVE-2018-10561 ve CVE-2020-25078 ile ilişkilendirilen saldırı yöntemlerinin bulunduğu bildirildi.

PRODAFT, React Server Components ile ilişkili CVE-2025-55182 mekanizmasında, sunucu tarafında komut çalıştırmayı amaçlayan özel hazırlanmış istekler tespit etti.

GNU Inetutils Telnet ile ilişkili CVE-2026-24061 mekanizmasında ise Telnet protokolünün ortam değişkeni aktarım özelliklerinden yararlanarak kimlik doğrulama davranışını değiştirmeyi amaçlayan bir yöntem kullanıldığı belirlendi.

Raporda, “İstismar işleyicilerinin bulunması, belirli bir hedefte güvenlik açığının başarıyla kullanıldığını kanıtlamıyor.” değerlendirmesi yapıldı.

Tarayıcının Başarı Kayıtları Gerçek Ele Geçirmeleri Göstermeyebilir

PRODAFT, genişletilmiş tarayıcının bazı HTTP isteklerini yalnızca hedefe eksiksiz gönderilmiş olmaları nedeniyle başarılı kabul edebildiğini ortaya koydu.

Araştırmada, bazı mekanizmaların hedef sistemde komut çalıştırıldığını doğrulamadığı, buna rağmen olumlu sonuç döndürebildiği belirtildi.

Raporda, “Olumlu tarama sonuçları çoğu zaman bir isteğin gönderildiği anlamına geliyor. Güncelleme işaretçileri de indirilen dosyanın doğrulandığını göstermiyor.” ifadelerine yer verildi.

Bir mekanizmanın olumlu sonuç döndürmesinin, aynı hedefe yönelik sonraki istismar denemelerini engelleyebildiği de tespit edildi.

Bu nedenle zararlı yazılımın kendi içinde tuttuğu başarı sayaçlarının, ele geçirilen cihaz sayısı veya doğrulanmış bulaşma oranı olarak değerlendirilmemesi gerektiği vurgulandı.

DDoS Saldırıları İçin Merkezi Komut Sistemi

PRODAFT, zararlı yazılımın merkezi sunucudan aldığı komutlarla TCP ve UDP tabanlı trafik oluşturabildiğini belirledi.

İncelenen örneklerde komuta kontrol iletişimi için varsayılan olarak TCP/7778, zararlı yazılım dağıtımı ve güncelleme işlemleri için ise TCP/7779 bağlantı noktalarının kullanıldığı açıklandı.

Raporda, bu bağlantı noktalarının çalışma sırasında verilen parametrelerle değiştirilebildiği belirtildi.

Komuta kontrol protokolünde HOME, HOMEWAVE, HOMEBYPASS, PPS, PPSWAVE, STOPALL, UPDATE, SCANON, SCANOFF ve DIE komutlarının bulunduğu tespit edildi.

Bu komutların trafik oluşturma, saldırıları durdurma, güncelleme kontrolü, tarayıcıyı etkinleştirme veya devre dışı bırakma ve istemci sürecini sonlandırma işlevleri taşıdığı bildirildi.

Araştırmada yedi farklı dahili trafik oluşturma yöntemi belirlendiği, ancak bunların desteklenmesinin tamamının aynı anda kullanıldığı anlamına gelmediği ifade edildi.

PRODAFT, incelenen örneklerde doğrudan TCP ve UDP trafiği üretildiğini, ham paketlerle kaynak adresi taklidi veya yansıtma tabanlı trafik büyütme mekanizmasının tespit edilmediğini kaydetti.

Zararlı Yazılım Yeniden Başlatma Sonrasında da Çalışmayı Hedefliyor

Araştırmada botnetin bulaştığı sistemlerde kalıcılık sağlamak amacıyla çalıştırılabilir dosyasını gizli .bbnet adıyla kopyalamaya çalıştığı belirlendi.

Yazılımın uygun izinler bulunması durumunda /etc, /var/lib veya /tmp dizinlerinden birini kullanabildiği bildirildi.

Ayrıca sistem açılışında yeniden çalıştırılmak üzere /etc/crontab ve /etc/rc.local dosyalarında değişiklik yapmaya çalıştığı tespit edildi.

PRODAFT, yeniden başlatma kayıtlarında başlangıçta kullanılan komuta kontrol adresi ve bağlantı noktası parametrelerinin korunmadığını ortaya koydu.

Bu durumun, sistem yeniden başlatıldığında zararlı yazılımın derleme sırasında tanımlanan varsayılan sunucu ayarlarına dönmesine neden olabileceği belirtildi.

Güncelleme Mekanizmasında Doğrulama Eksikliği

Raporda, zararlı yazılımın işlemci mimarisine uygun yeni sürümleri HTTP üzerinden indirebildiği ve geçici dosyalara kaydedebildiği aktarıldı.

x86-64 sürümünün güncellemeleri /var/tmp/.bbnet.new, i686 sürümünün ise /tmp/.bbnet.new yolunda hazırladığı belirlendi.

PRODAFT, güncelleme sisteminin yeni dosyaları kriptografik imza veya içerik özeti üzerinden doğrulamadığını tespit etti.

Araştırmada, “Çalışan güncelleme mekanizması, indirilen yeni dosyanın bütünlüğünü veya kimliğini doğrulamıyor.” bulgusuna yer verildi.

Güncelleme işaretçisinin değiştirilmesinin de yeni zararlı yazılım sürümünün başarıyla çalıştırıldığını kanıtlamadığı vurgulandı.

PRODAFT Zararlı Yazılımın Tespitine Yönelik Kurallar Paylaştı

Araştırma kapsamında zararlı yazılım dosyalarını belirlemek amacıyla YARA, şüpheli süreç davranışlarını tespit etmek amacıyla ise Sigma kuralları hazırlandı.

PRODAFT, geliştirilen YARA kuralının incelenen 13 zararlı yazılım dosyasının tamamını ve sembolleri çıkarılmış iki türev örneği tespit ettiğini bildirdi.

Aynı kuralın kontrol amacıyla kullanılan 92 farklı yerel sistem ELF dosyasında eşleşme üretmediği açıklandı.

Ancak bu sonuçların yalnızca incelenen örnek kümesi için geçerli olduğu ve gerçek üretim ortamlarındaki yanlış pozitif oranını ortaya koymadığı belirtildi.

Sigma kurallarının sözdizimi ve ayrıştırma kontrollerinden geçtiği, buna karşılık gerçek uç nokta telemetrisi üzerinde henüz doğrulanmadığı kaydedildi.

Ele Geçirilen Cihaz Sayısı ve Saldırı Etkisi Belirlenemedi

PRODAFT, incelenen yazılım paketinin dağıtık cihaz ele geçirme, merkezi yönetim, DDoS trafiği oluşturma, kalıcılık ve güncelleme yeteneklerini teknik olarak ortaya koyduğunu bildirdi.

Bununla birlikte araştırmada, zararlı yazılımın gerçek dünyada kaç cihaza bulaştığını gösteren doğrulanmış verilerin bulunmadığı vurgulandı.

Raporda, “Örneklerden elde edilen sayaçlar ve komut onayları, dağıtımdaki cihaz sayısını, başarılı istismarları veya saldırı etkisini ortaya koyamaz.” değerlendirmesine yer verildi.

Ayrıca yazılımın belirli bir tehdit aktörüne atfedilemediği, farklı tarayıcı sürümlerinin hangi sırayla geliştirildiğinin de mevcut verilerle belirlenemediği ifade edildi.

Linux Sistemleri ve Ağ Cihazları İçin Güvenlik Uyarısı

PRODAFT, Linux sistemlerini yöneten güvenlik ekiplerine gereksiz Telnet erişimlerinin kapatılması, eski cihaz yönetim servislerinin sınırlandırılması ve ilgili güvenlik açıklarının giderilmesi yönünde önerilerde bulundu.

Araştırmada, özellikle GNU Inetutils Telnet ve sunucu tarafındaki React uygulamalarının ilgili güvenlik duyuruları doğrultusunda kontrol edilmesi gerektiği belirtildi.

Şüpheli sistemlerde yalnızca ana zararlı yazılım sürecinin değil, ayrı çalışan tarayıcı süreçlerinin, başlangıç kayıtlarının, geçici güncelleme dosyalarının ve ağ bağlantılarının da incelenmesi gerektiği kaydedildi.

PRODAFT'ın araştırmasında, “En önemli operasyonel risk, yayılma faaliyetinin komuta kontrol sunucusunun erişilebilirliğinden bağımsız olmasıdır.” değerlendirmesi öne çıktı.

Şirket, güvenlik olaylarının değerlendirilmesinde zararlı dosya eşleşmelerinin, sistem açılış kayıtlarının, tarayıcı durum dosyalarının ve ağ trafiğinin birlikte analiz edilmesinin daha güvenilir sonuçlar sağlayacağını bildirdi.

Araştırmanın teknik bulguları, dosya göstergeleri ve tespit kuralları PRODAFT'ın 5 Kasım 2026 tarihli “Multi-Architecture Linux Botnet: Divergent Scanners and DDoS Control” başlıklı raporunda yayımlandı.