{"id":14917,"date":"2026-09-23T12:21:19","date_gmt":"2026-09-23T09:21:19","guid":{"rendered":"https:\/\/www.kaspersky.com.tr\/blog\/?p=14917"},"modified":"2026-09-23T12:21:19","modified_gmt":"2026-09-23T09:21:19","slug":"exotic-file-formats-detection-gaps-iso-one-xll-svg","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.tr\/blog\/exotic-file-formats-detection-gaps-iso-one-xll-svg\/14917\/","title":{"rendered":"Egzotik dosyalar: Beklenmedik siber tehdit kaynaklar\u0131"},"content":{"rendered":"

Sald\u0131r\u0131 akt\u00f6rleri, OAuth belirte\u00e7 h\u0131rs\u0131zl\u0131\u011f\u0131ndan<\/a> yapay zeka ajanlar\u0131na y\u00f6nelik sald\u0131r\u0131lara<\/a> kadar s\u00fcrekli olarak yeni sald\u0131r\u0131 y\u00f6ntemleri geli\u015ftiriyor; ancak klasik y\u00f6ntemler de kitap\u00e7\u0131klar\u0131ndan asla tamamen \u00e7\u0131km\u0131yor. Herhangi bir g\u00fcnde, bir \u00e7al\u0131\u015fan e-postaya do\u011frudan eklenmi\u015f ya da e-postaya yerle\u015fik bir ba\u011flant\u0131n\u0131n arkas\u0131nda pusuda bekleyen bir zararl\u0131 yaz\u0131l\u0131mla kar\u015f\u0131la\u015fabilir. Bu sald\u0131r\u0131lar\u0131n ba\u015far\u0131l\u0131 olmas\u0131 h\u00e2l\u00e2 bir \u00f6l\u00e7\u00fcde yarat\u0131c\u0131l\u0131k gerektiriyor ve son y\u0131llarda sald\u0131rganlar giderek daha s\u0131ra d\u0131\u015f\u0131 dosya bi\u00e7imleri kullanmaya ba\u015flad\u0131. Kullan\u0131c\u0131lar bu formatlar\u0131 tehlikeli olarak alg\u0131lam\u0131yor; daha da \u00f6nemlisi, bir\u00e7ok EDR ve e-posta g\u00fcvenli\u011fi \u00e7\u00f6z\u00fcm\u00fc bu formatlar\u0131 taramaktan tamamen ka\u00e7\u0131n\u0131yor. Oysa bu dosyalar\u0131n zararl\u0131 yaz\u0131l\u0131m yaymak veya kimlik bilgilerini \u00e7almak i\u00e7in son derece etkili oldu\u011fu kan\u0131tlanm\u0131\u015f durumda.<\/p>\n

A\u015fa\u011f\u0131da, ger\u00e7ek hayattaki sald\u0131r\u0131larda kullan\u0131ld\u0131\u011f\u0131 g\u00f6zlemlenmesine ra\u011fmen, kurulu\u015funuzun tespit stratejisinde g\u00f6zden ka\u00e7an noktalar olu\u015fturabilecek dosya t\u00fcrleri yer almaktad\u0131r.<\/p>\n

Disk g\u00f6r\u00fcnt\u00fcleri<\/h2>\n

Bu, en geni\u015f ve en tehlikeli ba\u011flanma kategorisidir. Bir disk g\u00f6r\u00fcnt\u00fcs\u00fc, \u00e7ok \u00e7e\u015fitli sald\u0131r\u0131 senaryolar\u0131na uyarlanm\u0131\u015f, tamamen haz\u0131rlanm\u0131\u015f ve do\u011fru \u015fekilde yap\u0131land\u0131r\u0131lm\u0131\u015f bir dosya k\u00fcmesini i\u00e7erebilir. Ayr\u0131 bir birim (ba\u011f\u0131ms\u0131z sanal disk) olarak ba\u011flan\u0131r ve bu i\u015flem s\u0131ras\u0131nda genellikle i\u015fletim sistemine entegre edilmi\u015f ara\u00e7lar kullan\u0131l\u0131r. Ma\u011fdurun herhangi bir dosyay\u0131 ay\u0131klamas\u0131na ya da diskte \u015f\u00fcpheli klas\u00f6rler olu\u015fturmas\u0131na gerek yoktur.<\/p>\n

En \u00e7ok y\u00f6nl\u00fc format, k\u00f6keni multimedya CD\u2019lerinin alt\u0131n \u00e7a\u011f\u0131na dayanan ISO\u2019dur. ISO g\u00f6r\u00fcnt\u00fcleri, Dosya Gezgini gibi basit ara\u00e7lar ya da komut sat\u0131r\u0131 arabirimi arac\u0131l\u0131\u011f\u0131yla, ek yard\u0131mc\u0131 programlara gerek kalmadan t\u00fcm ba\u015fl\u0131ca i\u015fletim sistemlerinde do\u011frudan a\u00e7\u0131labilir. \u0130\u015fte tam da bu nedenle, siber su\u00e7lular e-posta eki olarak ISO dosyalar\u0131 g\u00f6ndermekten<\/a> hi\u00e7 \u00e7ekinmiyorlar.<\/p>\n

Biraz daha az yayg\u0131n olan IMG kapsay\u0131c\u0131lar\u0131 ise macOS veya Linux\u2019ta ek bir araca gerek kalmadan ba\u011flanabilir; ancak Windows\u2019ta OSFMount gibi k\u00fc\u00e7\u00fck ve \u00fccretsiz bir yard\u0131mc\u0131 program\u0131n y\u00fcklenmesi ya da son Windows s\u00fcr\u00fcmlerinde yerle\u015fik olarak bulunan WSL2\u2019nin (Windows Subsystem for Linux) kullan\u0131lmas\u0131 gerekir. \u0130\u00e7eri\u011fi ayn\u0131 olan bir dosya da DD uzant\u0131s\u0131n\u0131 ta\u015f\u0131yabilir.<\/p>\n

Sald\u0131rganlar ayr\u0131ca, Windows\u2019a \u00f6zg\u00fc bir sanal disk bi\u00e7imi olan VHD\u2019yi de kullanmaktad\u0131r<\/a>; bu bi\u00e7im genellikle Linux sistemlerinde de (qemu-nbd veya guestmount arac\u0131l\u0131\u011f\u0131yla) \u00e7al\u0131\u015fmaktad\u0131r. macOS\u2019ta, bunu ba\u011flamak i\u00e7in ek bir yard\u0131mc\u0131 program gerekir (yine, qemu-nbd yayg\u0131n olarak tercih edilen bir se\u00e7enektir). Yama uygulanmam\u0131\u015f Windows sistemlerinde, diskin ba\u011flanmas\u0131ndan sonra kurban\u0131n ba\u015fka bir i\u015flem yapmas\u0131na gerek olmad\u0131\u011f\u0131n\u0131 unutmay\u0131n: Ger\u00e7ek sald\u0131r\u0131larda aktif olarak istismar edilen bir zay\u0131f nokta olan CVE-2025-24993<\/a>, g\u00f6r\u00fcnt\u00fcn\u00fcn ba\u011flanmas\u0131n\u0131n hemen ard\u0131ndan sald\u0131rgan\u0131n kodunun \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131n\u0131 tetikler.<\/p>\n

B\u00fct\u00fcnl\u00fck a\u00e7\u0131s\u0131ndan, VMware taraf\u0131ndan kullan\u0131lan disk g\u00f6r\u00fcnt\u00fcs\u00fc bi\u00e7imi olan VMDK\u2019n\u0131n da tespit edilmesine de\u011fer; ancak yayg\u0131n olarak kullan\u0131lan t\u00fcm i\u015fletim sistemlerinde bu bi\u00e7imi ba\u011flamak i\u00e7in ek yaz\u0131l\u0131m gerekti\u011finden, s\u0131radan kullan\u0131c\u0131lara y\u00f6nelik sald\u0131r\u0131larda b\u00fcy\u00fck \u00f6l\u00e7\u00fcde etkisiz kalmaktad\u0131r.<\/p>\n

Bu g\u00f6r\u00fcnt\u00fc formatlar\u0131n\u0131n t\u00fcm\u00fc, yaln\u0131zca \u00f6zel ara\u00e7larla de\u011fil, 7-Zip veya RAR gibi standart ar\u015fiv programlar\u0131yla da g\u00f6r\u00fcnt\u00fclenebilir ve a\u00e7\u0131labilir. Sonu\u00e7 olarak, kullan\u0131c\u0131n\u0131n bu tuza\u011fa d\u00fc\u015fme olas\u0131l\u0131\u011f\u0131, umuldu\u011fundan daha y\u00fcksektir.<\/p>\n

G\u00f6r\u00fcnt\u00fc dosyalar\u0131, pek bilinmeyen ve potansiyel olarak tehlikeli bir format olmalar\u0131n\u0131n yan\u0131 s\u0131ra, sald\u0131rganlara bir avantaj daha sa\u011flar: Windows\u2019ta disk g\u00f6r\u00fcnt\u00fclerinden \u00e7\u0131kar\u0131lan dosyalarda genellikle \u201cMark of the Web\u201d bayra\u011f\u0131 bulunmaz ve bu nedenle ek sistem uyar\u0131lar\u0131n\u0131 tetiklemeden \u00e7al\u0131\u015ft\u0131r\u0131labilirler.<\/p>\n

EPP\/EDR<\/a> \u00e7\u00f6z\u00fcmlerinin sanal makineleri ve disk g\u00f6r\u00fcnt\u00fclerini taramas\u0131 gereken bir neden daha vard\u0131r: Bu formatlar, bir sald\u0131r\u0131n\u0131n sonraki a\u015famalar\u0131nda da kullan\u0131l\u0131r. Dosya sistemi \u00fczerindeki aktif faaliyetleri izleme ara\u00e7lar\u0131ndan gizlemek amac\u0131yla, fidye yaz\u0131l\u0131m\u0131 \u00e7eteleri bazen \u015fifreleme s\u00fcrecinin tamam\u0131n\u0131 kurban\u0131n bilgisayar\u0131nda kurulan bir sanal makine i\u00e7inde y\u00fcr\u00fct\u00fcrler. RagnarLocker fidye yaz\u0131l\u0131m\u0131 t\u00fcr\u00fc bu ama\u00e7la VirtualBox\u2019\u0131 kullan\u0131rken<\/a>, CRON#TRAP sald\u0131r\u0131 kampanyas\u0131 ise bir QEMU ortam\u0131na dayanmaktayd\u0131<\/a>.<\/p>\n

MS Office dosyalar\u0131<\/h2>\n

Hay\u0131r, bu konu makro i\u00e7eren DOC dosyalar\u0131yla ilgili de\u011fildir. Microsoft, bu klasik sald\u0131r\u0131 y\u00f6nteminden o kadar b\u0131km\u0131\u015f ki, indirilen belgelerdeki makrolar art\u0131k tamamen engellenir<\/a> ve bunlar\u0131n etkinle\u015ftirilmesi i\u00e7in kullan\u0131c\u0131n\u0131n epey \u00e7aba sarf etmesi gerekir. Ancak Office, d\u00fczinelerce dosya bi\u00e7imine dayanmaktad\u0131r ve daha az yayg\u0131n olanlardan baz\u0131lar\u0131, sald\u0131rganlara h\u00e2l\u00e2 ara s\u0131ra avantaj sa\u011flamaktad\u0131r.<\/p>\n

Hem kullan\u0131c\u0131lar hem de g\u00fcvenlik \u00e7\u00f6z\u00fcmleri a\u00e7\u0131s\u0131ndan daha az bilinenler ise OneNote dosyalar\u0131d\u0131r (.one). Bunlar temelde basit notlard\u0131r, ancak sadece resimler ve ba\u011flant\u0131larla s\u0131n\u0131rl\u0131 kalmay\u0131p VBS\/WSF\/BAT komut dosyalar\u0131n\u0131 da i\u00e7eren yerle\u015fik ekler ta\u015f\u0131yabilirler. Notun i\u00e7inde bir ek genellikle bir simge olarak g\u00f6r\u00fcn\u00fcr, ancak sald\u0131rganlar bunun \u00fczerine \u201cG\u00f6r\u00fcnt\u00fcle\u201d d\u00fc\u011fmesi i\u00e7eren bir mesaj\u0131n bulundu\u011fu bir resim yerle\u015ftirir<\/a>.<\/p>\n

Sald\u0131rganlar aras\u0131nda pop\u00fcler olan bir ba\u015fka Office bi\u00e7imi de Excel eklentisidir. Bu dosyalar .xll uzant\u0131s\u0131n\u0131 kullan\u0131r, ancak asl\u0131nda tam anlam\u0131yla Windows dinamik ba\u011flant\u0131 k\u00fct\u00fcphaneleri (DLL\u2019ler) olup, bu nedenle kapsaml\u0131 i\u015flevlere sahip olabilirler. Ma\u011fdurlar, fatura gibi g\u00f6r\u00fcnen k\u00f6t\u00fc ama\u00e7l\u0131 bir e-posta al\u0131rlar. Simge, dosyan\u0131n Excel\u2019de a\u00e7\u0131laca\u011f\u0131n\u0131 g\u00f6sterir. G\u00fcvenlik uyar\u0131s\u0131n\u0131 g\u00f6z ard\u0131 etmek, bilgi h\u0131rs\u0131z\u0131 vir\u00fcs bula\u015fmas\u0131na<\/a> yol a\u00e7abilir.<\/p>\n

SVG \u201cgrafikleri\u201d<\/h2>\n

SVG (\u00d6l\u00e7eklenebilir Vekt\u00f6r Grafikleri) format\u0131n\u0131n a\u00e7\u0131klamas\u0131 tamamen zarars\u0131z g\u00f6r\u00fcn\u00fcr. Nitekim, SVG dosyalar\u0131n\u0131n %99\u2019u logolar ve arabirim simgelerinden olu\u015fmaktad\u0131r. Ancak PNG veya JPG\u2019den farkl\u0131 olarak, SVG dosyalar\u0131 temelde XML belgeleridir ve noktalar, \u00e7izgiler ve dolgular\u0131n yan\u0131 s\u0131ra JavaScript de i\u00e7erebilirler. K\u00f6t\u00fc ama\u00e7l\u0131 kullan\u0131m potansiyeli a\u00e7\u0131s\u0131ndan SVG, tam bir web sayfas\u0131ndan \u00e7ok da geri kalmamaktad\u0131r. Ger\u00e7ek hayattaki sald\u0131r\u0131larda<\/a>, SVG dosyalar\u0131, a\u00e7\u0131l\u0131r a\u00e7\u0131lmaz kullan\u0131c\u0131y\u0131 bir kimlik av\u0131 sayfas\u0131na y\u00f6nlendirebilir veya Base64 ile kodlanm\u0131\u015f bir blo\u011fu tam HTML bi\u00e7imine d\u00f6n\u00fc\u015ft\u00fcrerek kimlik av\u0131 sayfas\u0131n\u0131 do\u011frudan g\u00f6r\u00fcnt\u00fcleyebilir.<\/p>\n

SVG dosyalar\u0131, kullan\u0131c\u0131lar\u0131n dosya y\u00fcklemesine izin veren kurumsal portallar i\u00e7in belirgin bir risk olu\u015fturmaktad\u0131r. Bir portal\u0131n \u0130\u00e7erik G\u00fcvenlik \u0130lkesi (CSP) yeterince k\u0131s\u0131tlay\u0131c\u0131 de\u011filse ve birisinin zararl\u0131 bir SVG dosyas\u0131 y\u00fcklemesine izin veriyorsa, dosyaya yerle\u015fik JavaScript, sayfadaki \u00e7erezleri \u00e7alabilir, yetkisiz i\u00e7erik ekleyebilir ve benzeri sald\u0131r\u0131lar ger\u00e7ekle\u015ftirebilir.<\/p>\n

Poliglot dosyalar<\/h2>\n

Poliglot dosya bi\u00e7imleri kendi ba\u015flar\u0131na o kadar da s\u0131ra d\u0131\u015f\u0131 de\u011fildir, ancak bu dosyalar ilk bak\u0131\u015fta anla\u015f\u0131ld\u0131\u011f\u0131ndan daha fazlas\u0131n\u0131 bar\u0131nd\u0131r\u0131r. Bunlara poliglot denmesinin nedeni, sald\u0131rganlar\u0131n birden fazla \u015fekilde ge\u00e7erli olarak yorumlanabilen dosyalar olu\u015fturmalar\u0131d\u0131r. \u00d6rne\u011fin, bu dosya ayn\u0131 anda hem ge\u00e7erli bir ZIP ar\u015fivi hem de ge\u00e7erli bir y\u00fcr\u00fct\u00fclebilir dosya olabilir. Bunun amac\u0131, tamamen g\u00fcvenlik \u00e7\u00f6z\u00fcmleri taraf\u0131ndan tespit edilmekten ka\u00e7\u0131nmak ve kullan\u0131c\u0131y\u0131 yan\u0131ltmakt\u0131r. Poliglotlar konusunu ayr\u0131 bir blog yaz\u0131s\u0131nda<\/a> ayr\u0131nt\u0131l\u0131 olarak ele alm\u0131\u015ft\u0131k.<\/p>\n

Bu derlememizde a\u00e7\u0131k ara \u00f6ne \u00e7\u0131kan, IcedID bilgi h\u0131rs\u0131z\u0131n\u0131 yayan k\u00f6t\u00fc niyetli bir sald\u0131r\u0131 kampanyas\u0131d\u0131r<\/a>. Ma\u011fdurlar, a\u00e7\u0131ld\u0131\u011f\u0131nda bir ISO disk g\u00f6r\u00fcnt\u00fcs\u00fc haline gelen bir ZIP eki i\u00e7eren e-postalar al\u0131rlar. Bu dosya daha sonra bir CHM dosyas\u0131na (Windows Yard\u0131m bi\u00e7imi) a\u00e7\u0131l\u0131r; bu dosya da bir mshta (Microsoft HTML Application host) uygulamas\u0131 olarak do\u011fru \u015fekilde i\u015flenir ve ard\u0131ndan ana zararl\u0131 yaz\u0131l\u0131m y\u00fck\u00fcn\u00fc indirir.<\/p>\n

Ola\u011fand\u0131\u015f\u0131 dosyalara kar\u015f\u0131 savunma<\/h2>\n

Bu sald\u0131r\u0131lar, g\u00fcvenlik \u00e7\u00f6z\u00fcmlerinin ya al\u0131\u015f\u0131lmad\u0131k dosya bi\u00e7imlerini taramad\u0131\u011f\u0131 ya da bunlar\u0131 sadece y\u00fczeysel olarak tarad\u0131\u011f\u0131 varsay\u0131m\u0131na dayanmaktad\u0131r. Bu tehdidi \u00f6nlemek, kendi altyap\u0131n\u0131zla ilgili olarak bu varsay\u0131mdan hareket etmemekle ba\u015flar:<\/p>\n