Infostealer Malware Nedir, Nasıl Korunulur?

Infostealer, cihazlardan şifre ve oturum verilerini toplayan zararlı yazılımdır. MFA kullanımı ve EDR sistemleriyle veri hırsızlığı riski minimize edilir.

Infostealer zararlı yazılımları, bulaştıkları uç noktalarda sessizce çalışarak tarayıcılarda kayıtlı parolaları, oturum çerezlerini (session cookies), kripto para cüzdanlarını ve kurumsal ağ kimlik bilgilerini hedefleyen gelişmiş truva atı (Trojan) türevleridir. Geleneksel tehditlerin aksine sistemleri kilitlemek veya fidye talep etmek yerine, elde ettikleri kritik verileri komuta kontrol (C2) sunucularına ileterek karanlık web (dark web) pazarlarında satışa sunarlar. Bu rehberde, "Infostealer Malware Nedir, Nasıl Korunulur?" sorusunun teknik detaylarını, bulaşma vektörlerini, popüler zararlı türlerini ve kurumsal düzeyde uygulanması gereken olay müdahalesi (incident response) ile savunma adımlarını derinlemesine inceleyeceğiz.

Infostealer (Bilgi Çalan Zararlı Yazılım) Nedir?

Infostealer (Bilgi Çalan Zararlı Yazılım), bulaştığı işletim sisteminde kullanıcıya fark ettirmeden çalışan ve öncelikli amacı hassas verileri toplayıp yetkisiz üçüncü taraflara aktarmak olan bir truva atı (Trojan) kategorisidir. Bu yazılımlar sistem kaynaklarını minimum düzeyde tüketir, arka planda gizlenir ve işletim sisteminin bellek (RAM) veya disk alanında yer alan kimlik doğrulama yapılarını tarar. Toplanan veriler arasında web tarayıcılarında saklanan kimlik bilgileri, oturum belirteçleri (session tokens), FTP/SSH istemci kayıtları, e-posta istemcisi parolaları ve kripto varlık cüzdan dosyaları bulunur.

Siber suç ekosisteminde infostealer'lar, doğrudan bir saldırının nihai aşaması olmaktan ziyade, daha büyük kurumsal siber saldırıların (örneğin hedefli fidye yazılımı veya kurumsal casusluk) ilk adımı olarak kullanılır. Elde edilen veriler, genellikle "log" adı verilen paketler halinde toplanır ve siber saldırganlar tarafından kurumsal ağlara yetkisiz erişim (Initial Access Brokerage) sağlamak amacıyla kullanılır. 2026 yılı tehdit istihbaratı (threat intelligence) verileri, kurumsal kimlik ihlallerinin önemli bir bölümünün uç noktalara sızan bu tip yazılımlardan kaynaklandığını göstermektedir.

Geleneksel imza tabanlı antivirüs sistemleri, sürekli olarak polimorfik (şekil değiştiren) yapıya bürünen ve kodlama teknikleri hızla güncellenen infostealer varyantlarını tespit etmekte yetersiz kalabilmektedir. Bu nedenle infostealer tehdidi, modern uç nokta güvenliği mimarilerinin merkezinde yer alan proaktif bir analiz ve davranışsal tespit yaklaşımı gerektirir.

Geleneksel Virüslerden ve Fidye Yazılımlarından (Ransomware) Farkı

Geleneksel virüsler ve solucanlar (worms), genellikle dosyalara zarar verme, sistem kararlılığını bozma veya kendini diğer sistemlere çoğaltma amacıyla tasarlanmıştır. Fidye yazılımları (ransomware) ise verileri güçlü algoritmalarla (örneğin AES-256 ve RSA-4096) şifreleyerek sistemi kullanılamaz hale getirir ve kurbanı doğrudan finansal ödeme yapmaya zorlar; bu süreçte saldırı açık ve görünürdür.

Infostealer ise tamamen "sessizlik ve gizlilik" prensibi üzerine kuruludur. Kullanıcının sisteminde herhangi bir çökme, şifreleme veya görünür yavaşlama oluşturmaz. Amaç, kurbanın sistemin ele geçirildiğini fark etmemesini sağlayarak oturumların ve yeni oluşturulan parolaların mümkün olan en uzun süre boyunca toplanmasıdır. Ransomware doğrudan finansal gasp hedeflerken, infostealer veri sızıntısı (data exfiltration) yaparak saldırganlara kurumsal ağın içerisine doğrudan erişim anahtarı sağlar.

Infostealer Siber Tehdit Ekosisteminde Neden Tehlikelidir?

Infostealer yazılımlarının siber tehdit ekosistemindeki en tehlikeli boyutu, oturum açma bilgilerinin yanı sıra aktif tarayıcı çerezlerini (browser cookies) çalabilmeleridir. Bu çerezlerin çalınması, "Pass-the-Cookie" veya "Session Hijacking" olarak bilinen saldırı yöntemine olanak tanır. Saldırgan, kullanıcının oturum belirtecini kendi tarayıcısına aktararak, kullanıcının kullanıcı adı, şifre ve hatta Çok Faktörlü Kimlik Doğrulama (MFA / 2FA) aşamasını geçmiş olduğu aktif oturuma doğrudan dahil olabilir.

Ayrıca bu zararlılar, kurumsal VPN erişim parametrelerini, Remote Desktop (RDP) profillerini ve kaynak kod yönetim araçlarına (GitHub, GitLab vb.) ait kişisel erişim belirteçlerini (Personal Access Tokens - PAT) ele geçirebilir. Bu durum, tek bir çalışanın kişisel veya iş bilgisayarına bulaşan zararlı yazılımın, tüm kurumsal bulut altyapısının veya dahili ağın ihlal edilmesine yol açabilmesine zemin hazırlar.

Infostealer Nasıl Çalışır ve Sistemlere Nasıl Sızar?

Infostealer yazılımlarının çalışma mantığı belirli bir yürütme zincirini (execution chain) takip eder. Sisteme ilk giriş genellikle bir "dropper" veya "loader" adı verilen küçük boyutlu bir ara yazılım aracılığıyla gerçekleştirilir. Loader, hedef sistemdeki güvenlik kontrollerini (AMSI, Defender vb.) bypass etmek için bellek içi (in-memory) enjeksiyon yöntemlerini kullanır ve ana infostealer yükünü uzak sunucudan indirerek çalıştırır.

Zararlı yazılım yürütüldükten sonra, ilk olarak sistemin bir analiz ortamında (sandbox veya sanal makine) çalışıp çalışmadığını anlamak için donanım parametrelerini, ekran çözünürlüğünü ve hata ayıklama (debugging) süreçlerini kontrol eder. Güvenli ortamda olduğunu doğruladığında, hedeflediği yazılımların yerel veritabanlarını (örneğin Chromium ve Gecko tabanlı tarayıcı profilleri, SQLite dosyaları, DPAPI ile şifrelenmiş alanlar) tarar.

Toplanan tüm veriler bellekte sıkıştırılır, şifrelenir ve HTTP/HTTPS, Telegram Bot API veya özel TCP soketleri üzerinden saldırganın kontrolündeki C2 (Command and Control) altyapısına iletilir. Veri aktarımı tamamlandıktan sonra bazı gelişmiş infostealer türleri sistemdeki logları temizleyerek kendi kendini imha (self-delete) mekanizmasını devreye sokar.

Kimlik Avı (Phishing) ve Sosyal Mühendislik Saldırıları

En yaygın dağıtım kanalı, hedefli veya kitlesel kimlik avı kampanyalarıdır (phishing). Saldırganlar, fatura, kargo takip belgesi, kurumsal politika güncellemesi veya iş başvurusu süsü verilmiş e-postalar gönderirler. Bu e-postalarda genellikle parola korumalı arşiv dosyaları (ZIP, RAR, 7z) veya ISO/VHD formatında disk imajları yer alır. Parola korumalı arşivler, e-posta güvenlik ağ geçitlerinin (Secure Email Gateway - SEG) statik dosya tarama motorlarını atlatmak amacıyla kullanılır.

Kullanıcı arşivi açıp içerisindeki zararlı dosyayı (örneğin çift uzantılı fatura.pdf.exe veya kötü niyetli bir LNK/JS dosyası) çalıştırdığında enfeksiyon zinciri başlar. Sosyal mühendislik taktikleri, kullanıcının UAC (Kullanıcı Hesabı Denetimi) pencerelerini onaylamasını sağlamak üzere kurgulanır.

Sahte Yazılımlar, Çatlak (Crack) Dosyalar ve Malvertising

Arama motoru reklamlarını kötüye kullanan "Malvertising" yöntemleri, infostealer dağıtımında kritik rol oynar. Saldırganlar, popüler açık kaynaklı yazılımların (OBS Studio, VLC, Blender, Notepad++ vb.) veya kurumsal araçların (AnyDesk, WinRAR, Slack) isimlerini hedefleyen sahte reklamlar vererek kullanıcıları klon web sitelerine yönlendirir. İndirilen kurulum dosyası, orijinal yazılımla birlikte bir infostealer dropper'ı barındırır.

Benzer şekilde, ticari yazılımların lisanslarını kırmak için kullanılan çatlak (crack), keygen veya yama (patch) dosyaları, infostealer yayılımının en yoğun olduğu alanlardır. Kullanıcılar bu araçları çalıştırabilmek için güvenlik yazılımlarını geçici olarak devre dışı bıraktıklarından, zararlı yazılım hiçbir engelle karşılaşmadan tüm kimlik bilgilerini toplar.

MaaS (Malware-as-a-Service) Modeli ve Yeraltı Pazarı

Infostealer ekosistemi, Hizmet Olarak Zararlı Yazılım (Malware-as-a-Service - MaaS) modeliyle endüstriyel bir yapıya dönüşmüştür. Geliştirici gruplar, zararlı yazılımın kodlamasını, C2 altyapısını ve yönetim panelini hazırlar; ardından bu sistemi aylık veya haftalık abonelik modelleriyle dağıtıcı siber suçlulara (affiliates) kiralar.

Bu model sayesinde teknik bilgi seviyesi düşük olan saldırganlar dahi gelişmiş paneller üzerinden hedef belirleyip, toplanan kimlik bilgilerini otomatik olarak ayrıştırabilir. Çalınan veriler, yeraltı forumlarında ve Telegram kanallarında anlık olarak listelenmekte ve kurumsal ağlara sızmak isteyen diğer tehdit aktörlerine satılmaktadır.

Bilgi Çalan Yazılımların Hedef Aldığı Kritik Veriler Nelerdir?

Infostealer yazılımları, bulaştıkları sistemde rastgele dosya toplamak yerine, doğrudan yetkilendirme ve finansal getiri sağlayan yapılandırılmış veri tabanlarını hedefler. Modern işletim sistemlerinde kullanıcı verilerinin nerede depolandığı standart yollarla (paths) belirlendiğinden, bu zararlılar doğrudan ilgili dizinlere erişim sağlar.

Zararlının hedef listesi, tarayıcı kayıtlarından masaüstü uygulamalarına, sistem yapılandırma dosyalarından uzaktan yönetim profillerine kadar geniş bir yelpazeyi kapsar. Bu verilerin tek bir paket halinde dışarı sızdırılması, saldırganın kurbanın dijital kimliğini neredeyse bütünüyle kopyalamasına olanak tanır.

Tarayıcı Oturumları ve Çerezler (Cookies)

Google Chrome, Microsoft Edge, Mozilla Firefox, Brave ve Opera gibi popüler web tarayıcıları, kullanıcıların web sitelerine tekrar tekrar kimlik bilgisi girmesini önlemek için oturum çerezlerini yerel SQLite veritabanlarında saklar. Infostealer'lar bu veritabanlarını kopyalar ve işletim sisteminin şifreleme mekanizmalarını (örneğin Windows Data Protection API - DPAPI) aşarak çerezleri düz metin (plain text) formatına dönüştürür. Çalınan oturum çerezleri sayesinde saldırganlar; kurumsal e-posta, bulut depolama panelleri, AWS/Azure yönetim konsolları ve sosyal medya hesaplarına oturum açma aşamasını doğrudan atlayarak erişim sağlar.

Kullanıcı Adları, Şifreler ve Otomatik Doldurma Verileri

Tarayıcılarda dahili olarak bulunan "Parolaları Kaydet" özelliği, kullanıcı kolaylığı sağlasa da infostealer'lar için birincil hedeftir. Zararlı yazılım, Login Data dosyalarını çözümleyerek kayıtlı tüm web sitelerine ait URL adreslerini, kullanıcı adlarını ve şifreleri elde eder. Ek olarak, otomatik doldurma (autofill) veritabanlarından ad-soyad, açık adres, telefon numarası ve kaydedilmiş kredi kartı detayları (kart numarası, son kullanma tarihi) gibi kimlik hırsızlığında kullanılabilecek kişisel veriler toplanır.

Kripto Para Cüzdanları ve Finansal Bilgiler

Infostealer'lar, hem tarayıcı eklentisi olarak çalışan cüzdanları (MetaMask, Phantom, Coinbase Wallet, TronLink vb.) hem de masaüstü cüzdan uygulamalarını (Electrum, Exodus, Atomic Wallet, Ledger Live vb.) hedefler. Cüzdanların vault dosyaları, yerel depolama anahtarları ve tohum kelimeleri (seed phrases) toplanır. Bazı varyantlar ayrıca pano hırsızlığı (clipboard hijacking) modülü barındırarak, kullanıcının panoya kopyaladığı kripto para cüzdan adreslerini anlık olarak tespit eder ve saldırgana ait cüzdan adresiyle değiştirir.

VPN ve Kurumsal Ağ Erişim Kimlikleri

Kurumsal güvenliği doğrudan tehdit eden bir diğer veri grubu, VPN (OpenVPN, Cisco AnyConnect, Fortinet, WireGuard), RDP (Uzak Masaüstü Bağlantısı) istemcileri ve FTP/SSH araçlarına (FileZilla, PuTTY, WinSCP) ait yapılandırma dosyaları ve kayıtlı erişim şifreleridir. Bu verilerin çalınması, saldırganın kurumsal iç ağa (intranet) doğrudan yetkili bir kullanıcı gibi bağlanabilmesine ve uç noktalar arasında yanal hareket (lateral movement) gerçekleştirmesine zemin hazırlar.

Günümüzde En Çok Karşılaşılan Infostealer Türleri

Zararlı yazılım ekosisteminde farklı geliştirici gruplar tarafından üretilen ve sürekli güncellenen infostealer aileleri bulunmaktadır. Bu aileler, kullandıkları programlama dilleri, gizlenme (evasion) teknikleri, hedef aldıkları yazılım yelpazesi ve dağıtım modelleri açısından farklılık gösterir.

Tehdit istihbaratı analizleri, bazı yazılımların piyasadan çekilse veya altyapıları güvenlik güçlerince çökertilse dahi, kaynak kodlarının sızdırılması sonucu yeni türevler halinde yeniden ortaya çıktığını göstermektedir.

+-----------------------------------------------------------------------------------+
|                        INFOSTEALER SALDIRI DÖNGÜSÜ DİYAGRAMI                      |
+-----------------------------------------------------------------------------------+
|  [1. DAĞITIM]       --> Phishing E-postası, Malvertising, Crack / Loader          |
|         |                                                                         |
|  [2. ÇALIŞTIRMA]    --> Sandbox / Sanal Makine Analiz Kontrolü                    |
|         |                                                                         |
|  [3. VERİ TOPLAMA]  --> Tarayıcı Çerezleri, Parolalar, Cüzdanlar, VPN/RDP        |
|         |                                                                         |
|  [4. SIZDIRMA (Exfiltration)] --> Şifreli C2 Bağlantısı / Telegram API             |
|         |                                                                         |
|  [5. İSTİSMAR]      --> Karanlık Web Pazarlarında Satış / Kurumsal Ağa Sızma      |
+-----------------------------------------------------------------------------------+

RedLine Stealer: Tarayıcı Verilerinin Bir Numaralı Düşmanı

C# (.NET) tabanlı olarak geliştirilen RedLine Stealer, global ölçekte en yaygın tespit edilen infostealer türlerinden biridir. Genellikle sahte oyun hileleri, crackli yazılımlar ve oltalama e-postaları yoluyla dağıtılır. RedLine; Chromium ve Gecko tabanlı tüm tarayıcılardan şifre, çerez ve kredi kartı verilerini çekme konusunda son derece kapsamlı bir yeteneğe sahiptir. Ayrıca Discord token'ları, Telegram oturum dosyaları ve sistem donanım profilini eksiksiz olarak toplayarak saldırganın C2 paneline raporlar.

Raccoon Stealer: Düşük Maliyetli ve Yaygın Tehdit

C/C++ dilleriyle yazılan Raccoon Stealer, MaaS pazarında düşük maliyetli abonelik modeliyle popülerlik kazanmıştır. Küçük dosya boyutu ve sistem kaynaklarını neredeyse hiç tüketmemesi, tespit edilmesini zorlaştırır. Güvenlik güçlerinin operasyonlarına rağmen yeni sürümleriyle (v2) mimarisini C2 iletişiminde şifreli yapılandırmalara ve bellek içi yürütme tekniklerine geçirerek varlığını sürdürmektedir.

Vidar ve Lumma Stealer: Gelişmiş Gizlenme Taktikleri

Vidar, doğrudan bellek üzerinde çalışan ve kalıcılık (persistence) bırakmadan işini bitirip kendini silen bir mimariye sahiptir. C2 iletişim adreslerini gizlemek için Telegram kanallarının veya Steam topluluk profillerinin açıklama alanlarını dinamik çözümleyici olarak kullanabilir.

Lumma Stealer (LummaC2) ise modern EDR çözümlerini atlatmak için gelişmiş kontrol akışı düzleştirme (control flow flattening), dinamik API yükleme ve karmaşık anti-analiz rutinleri barındırır. 2026 yılı itibarıyla en aktif MaaS operasyonlarından biri olarak kurumsal hedeflere yönelik kampanyalarda sıkça görülmektedir.

Infostealer Malware Vakalarından Nasıl Korunulur? (Kurumsal ve Bireysel Stratejiler)

Infostealer saldırılarına karşı korunma, yalnızca tek bir antivirüs yazılımı kurmakla sağlanamaz. Tehdidin yapısı gereği kimlik katmanını, uç nokta seviyesini ve ağ trafiğini kapsayan çok katmanlı bir savunma (defense-in-depth) stratejisi uygulanmalıdır. Hem bireysel kullanıcıların dijital hijyen kurallarına uyması hem de kurumların merkezi güvenlik politikalarını sıkılaştırması gereklidir.

Kurumsal organizasyonlarda "kullanıcı parolasını korur" varsayımı terk edilmeli, kimlik bilgilerinin her an çalınabileceği ihtimali üzerinden Sıfır Güven prensipleri işletilmelidir.

Kurumsal Ağlar İçin EDR ve XDR Sistemlerinin Önemi

Geleneksel Antivirüs (EPP) çözümleri bilinen dosya imzalarına odaklanırken, Uç Nokta Tespit ve Yanıt (EDR) ve Genişletilmiş Tespit ve Yanıt (XDR) sistemleri sistem davranışlarını gerçek zamanlı analiz eder. Bir işlemin (process) tarayıcı veritabanı dosyalarını okumaya çalışması, belleğe yetkisiz kod enjekte etmesi veya bilinmeyen bir IP adresine şifreli veri aktarması gibi anomaliler EDR tarafından anında tespit edilerek ilgili süreç sonlandırılır ve uç nokta ağdan izole edilir.

Çok Faktörlü Kimlik Doğrulama (MFA) Hayat Kurtarır

Temel düzeyde SMS veya mobil uygulama onaylı MFA kullanımı, sadece çalınan statik şifrelerin kullanılmasını engellemede etkilidir. Ancak token ve çerez hırsızlığına karşı tam koruma sağlamak için FIDO2/WebAuthn tabanlı donanımsal güvenlik anahtarları (YubiKey vb.) veya "Kimlik Avına Dayanıklı MFA" (Phishing-Resistant MFA) standartlarına geçilmelidir. Bu standartlar, kimlik doğrulama sürecini doğrudan bağlanılan web sitesinin alan adıyla kriptografik olarak eşleştirdiğinden, saldırgan çerezi ele geçirse dahi oturumu yeniden üretemez.

Sıfır Güven (Zero Trust) Mimarisine Geçiş

Sıfır Güven yaklaşımında, ağın içindeki hiçbir kullanıcı veya cihaz varsayılan olarak güvenilir kabul edilmez. "Asla güvenme, her zaman doğrula" ilkesi gereği:

• Koşullu Erişim (Conditional Access) politikaları uygulanmalıdır (Yalnızca şirket tarafından yönetilen ve uyumlu cihazlardan oturum açılmasına izin verilmesi).

• Oturum süreleri kısaltılmalı ve kritik işlemlerde yeniden kimlik doğrulaması istenmelidir.

• Cihaz uyumluluk durumu (compliance check) her oturum açma isteğinde dinamik olarak değerlendirilmelidir.

Çalışan Farkındalığı ve Güvenlik Eğitimleri

Teknik kontroller ne kadar güçlü olursa olsun, insan faktörü en zayıf halka olmaya devam etmektedir. Kurum personeline düzenli olarak güncel oltalama teknikleri, sahte yazılım indirme riskleri ve parola korumalı eklerin tehlikeleri hakkında uygulamalı eğitimler ve habersiz simülasyonlar verilmelidir. Kişisel cihazların (BYOD) kurumsal ağa kontrolsüz erişimi engellenmelidir.

Parola Yöneticilerinin Kullanımı ve Düzenli Güncellemeler

Parolaların web tarayıcılarının dahili hafızasında saklanması kesinlikle engellenmelidir (Group Policy veya MDM profilleri aracılığıyla devre dışı bırakılabilir). Bunun yerine kurumsal standartlara uygun, bağımsız ve veritabanını güçlü ana şifreleme anahtarlarıyla koruyan özel parola yöneticileri (1Password, Bitwarden vb.) kullanılmalıdır. Bu araçlar, tarayıcı veri tabanlarının aksine işletim sistemi seviyesindeki basit dosya okuma saldırılarına karşı çok daha yüksek koruma sağlar.

Sistemde Infostealer Olduğu Nasıl Anlaşılır? (Belirtiler)

Infostealer yazılımları sistemde kalıcı hasar bırakmak yerine görünmez kalmayı tercih ettiği için, enfeksiyonu geleneksel yollarla fark etmek zordur. Ancak dikkatli bir sistem ve hesap izleme süreciyle bazı dolaylı göstergeler (Indicators of Compromise - IoC) yakalanabilir.

Bireysel kullanıcılar ve BT yöneticileri, cihaz ve hesap seviyesinde ortaya çıkan olağan dışı davranışları düzenli olarak denetlemelidir.

Beklenmedik Hesap Girişleri ve Şüpheli Ağ Trafiği

Sistemde bir infostealer çalışmasının en net göstergeleri şunlardır:

• Yetkisiz Oturum Açma Bildirimleri: Kullanmadığınız coğrafi konumlardan veya farklı cihaz/tarayıcı türlerinden e-posta, sosyal medya veya kurumsal hesaplarınıza giriş yapıldığına dair güvenlik uyarıları almak.

• Sosyal Medya ve İletişim Hesaplarından Otomatik Mesajlar: Telegram, Discord veya LinkedIn hesaplarınızdan rehberinizdeki kişilere bilginiz dışında şüpheli bağlantılar veya dosyalar gönderilmesi.

• Ağ Trafiğinde Anomali: Görev Yöneticisi veya Ağ İzleme araçlarında, arka planda çalışan bilinmeyen işlemlerin (@@CODE0@@, @@CODE1@@ veya rastgele isimli .exe dosyaları) sürekli olarak bilinmeyen IP adreslerine veya Telegram API uç noktalarına veri göndermesi.

• Güvenlik Yazılımının Devre Dışı Kalması: Windows Güvenliği veya kurulu antivirüs yazılımının gerçek zamanlı koruma modülünün kullanıcı müdahalesi olmadan kapanması veya ayarlarının değiştirilmesi.

• Kripto Transferlerinde Değişiklik: Kopyaladığınız bir cüzdan adresinin, yapıştırma işlemi sırasında farklı bir karaktere dönüşmesi (Pano hırsızlığı modülü belirtisi).

Infostealer Bulaşması Durumunda Yapılması Gerekenler (Olay Müdahalesi)

Bir sistemde infostealer varlığı tespit edildiğinde veya şüphesi oluştuğunda, hızlı ve sıralı bir olay müdahalesi (incident response) protokolü uygulanmalıdır. Hatalı adımlar atmak (örneğin enfekte cihaz üzerinden parola değiştirmek), yeni parolaların da saldırganın eline geçmesine neden olur.

Sürecin temel amacı, veri sızıntısını derhal durdurmak, çalınan kimlik bilgilerini geçersiz kılmak ve kurumsal ağdaki yanal yayılım riskini ortadan kaldırmaktır.

Ağ Bağlantısını Kesme ve Zararlı Analizi

Zararlı tespit edildiği anda atılacak ilk adım, cihazın yerel ağ (LAN), Wi-Fi ve Bluetooth bağlantılarını derhal kesmektir. Bu işlem, zararlının henüz aktarmadığı verilerin C2 sunucusuna iletilmesini durdurur ve kurumsal ağdaki diğer cihazlara sıçrama riskini ortadan kaldırır. Kurumsal ortamlarda cihaz fiziksel olarak kapatılmamalı, adli bilişim (forensics) incelemesi ve RAM analizi yapılabilmesi için uyku/hibernation moduna alınmadan ağdan izole edilmelidir.

Oturumların Sonlandırılması ve Parola Sıfırlama İşlemleri

Parola ve oturum sıfırlama işlemleri kesinlikle enfekte olmuş cihaz üzerinden yapılmamalıdır. Tamamen güvenli olduğundan emin olunan ikincil bir cihaz (örneğin güncel bir mobil telefon veya temiz bir iş istasyonu) kullanılmalıdır:

1. Oturumları İptal Edin (Revoke Sessions): Başta e-posta (Google Workspace, Microsoft 365), bulut sağlayıcıları, VPN ve kurumsal paneller olmak üzere tüm platformlarda "Diğer tüm oturumları kapat / Sign out of all sessions" komutu verilerek çalınan çerezler anında geçersiz kılınmalıdır.

2. Parolaları Değiştirin: Tüm hesap parolaları, bir parola yöneticisi kullanılarak en az 16 karakterli, karmaşık ve benzersiz olacak şekilde güncellenmelidir.

3. MFA Anahtarlarını Sıfırlayın: Authenticator uygulamalarına bağlı hesaplarda gizli anahtarın sızmış olma ihtimaline karşı 2FA kurulumları yenilenmelidir.

4. Finansal Kontroller: Kripto cüzdanlarındaki varlıklar derhal yeni oluşturulmuş güvenli bir cüzdana aktarılmalı, kredi kartları banka ile görüşülerek geçici olarak kullanıma kapatılmalıdır.

Veri Hırsızlığını Proaktif Yaklaşımla Engellemek

Infostealer yazılımları, siber suçluların kimlik tabanlı saldırılarında en kritik cephanesini oluşturmaktadır. Geleneksel çevre güvenliği (firewall vb.) anlayışının yetersiz kaldığı günümüz mimarilerinde, güvenlik stratejisinin odak noktası "Uç Nokta" ve "Kimlik (Identity)" olmak zorundadır.

Zararlı yazılımların yayılma hızına ve gelişmiş atlatma tekniklerine karşı kurumların reaktif değil, proaktif bir duruş sergilemesi gerekir. Tehdit istihbaratı servislerinden yararlanarak karanlık web sızıntılarını düzenli olarak izlemek, şirket alan adına ait kimlik bilgilerinin ifşa olup olmadığını denetlemek ve kimlik avına dayanıklı modern kimlik doğrulama modellerini hayata geçirmek, veri hırsızlığı riskini minimize etmenin en etkili yoludur. Dijital varlıkların korunması, sürekli güncellenen teknik altyapı ile bilinçli kullanıcı kültürünün bir araya gelmesiyle mümkündür.