İçerik Tablosu
Aktif bir tehdit tespit edildi: fortivpn.com.tr alan adı üzerinden dağıtılan sahte FortiClient-VPN.hta dosyası, kurumsal kullanıcıların kimlik bilgilerini çalmak için tasarlanmış bir phishing ve credential theft (kimlik bilgisi hırsızlığı) kampanyasıdır.
Bu yazıda tehdidin teknik analizini, nasıl çalıştığını ve korunma yollarını ele alıyoruz.
Tehdit Nedir?
fortivpn.com.tr adresinden indirilen FortiClient-VPN.hta dosyası statik olarak incelendiğinde şu tablo ortaya çıktı:
Dosya, gerçek Fortinet FortiClient VPN uygulamasının bağlantı ekranını birebir taklit ediyor. Kullanıcı bu sahte ekrana:
- VPN sunucu bilgisini
- Kullanıcı adını
- Parolasını
girdiğinde tüm veriler üçüncü taraf bir sunucuya iletiliyor. Ardından kullanıcıya sahte bir “sürüm desteklenmiyor” hata mesajı gösterilerek işlemin başarısız olduğu izlenimi yaratılıyor.
Kullanıcı hata mesajını görüp sayfayı kapatıyor. Saldırgan ise kurumsal VPN kimlik bilgilerini ele geçirmiş oluyor.
Dosya SHA-256 Hash Değeri: b0c2d7aa1fd8707b3a6e237aa53ba63b7faca3672b2a07410ff9c1f5e98287f1
Bu hash değerini antivirüs veya threat intelligence platformlarında sorgulayarak dosyanın sisteminizde bulunup bulunmadığını kontrol edebilirsiniz.
Saldırı Nasıl Çalışıyor?
1. Sahte Alan Adı
Saldırganlar fortivpn.com.tr alan adını kayıt ettirmiş. Bu alan adı Fortinet’in resmi alan adı olan fortinet.com ile karıştırılmaya müsait — özellikle hızlı tarama sırasında fark edilmesi güç.
2. HTA Dosyası Nedir?
.hta (HTML Application) dosyaları, Windows üzerinde HTML ve JavaScript kodlarını doğrudan çalıştırabilen uygulamalardır. Tarayıcı güvenlik kısıtlamalarını atlatarak sistem kaynaklarına daha geniş erişim sağlayabilirler. Bu özellik, saldırganlar tarafından zararlı kod çalıştırmak için sıklıkla kullanılır.
3. Kimlik Bilgisi Toplama
Sahte FortiClient arayüzü, kullanıcıyı meşru bir VPN bağlantı ekranında olduğuna inandırır. Girilen kimlik bilgileri saldırgana ait uzak sunucuya HTTP POST isteğiyle iletilir.
4. Sosyal Mühendislik: Hata Mesajı
“Sürüm desteklenmiyor” mesajı zekice tasarlanmış bir tuzaktır. Kullanıcı parolasını yanlış girdiğini değil, yazılım uyumsuzluğu olduğunu düşünür. Şüphe uyandırmadan sayfayı kapatır. Saldırı tamamlanmıştır.
Bu Saldırı Neden Tehlikeli?
Kurumsal VPN Kimlik Bilgileri Kritik Değer Taşır
Ele geçirilen VPN kullanıcı adı ve parolası, saldırgana kurumsal ağa doğrudan erişim kapısı açar. Buradan:
- İç ağda yatay hareket (lateral movement)
- Kritik sistemlere ve veritabanlarına erişim
- Fidye yazılımı dağıtımı
- Veri sızdırma
gerçekleştirilebilir. VPN kimlik bilgisi hırsızlığı, büyük veri ihlallerinin ve fidye yazılımı saldırılarının en yaygın başlangıç noktalarından biridir.
Görsel Aldatıcılık Yüksek
FortiClient’in gerçek arayüzü birebir kopyalanmış. Teknik bilgisi olmayan bir kullanıcının sahte ile gerçeği ayırt etmesi son derece güçtür.
.hta Uzantısı Dikkat Çekmeyebilir
Birçok kullanıcı .exe dosyalarına karşı dikkatli olurken .hta uzantılı dosyaların da tehlikeli olabileceğinden habersizdir. Bazı güvenlik yazılımları .hta dosyalarını varsayılan olarak taramayabilir.
Etkilenen Kullanıcılar Ne Yapmalı?
Bu dosyayı çalıştırdıysanız veya sahte formu doldurduysanız aşağıdaki adımları derhal uygulayın:
Adım 1 — Parolaları Hemen Değiştirin
VPN hesabınızın parolasını ve aynı parolayı kullandığınız tüm kurumsal hesapları derhal değiştirin. Parola değişikliği yapılmadan geçen her dakika saldırganın aktif erişim süresi anlamına gelir.
Adım 2 — Aktif VPN Oturumlarını Sonlandırın
Mevcut tüm aktif VPN oturumlarını kapatın. Saldırgan ele geçirdiği kimlik bilgileriyle aktif oturum açmış olabilir.
Adım 3 — Hesap Hareketlerini Kontrol Edin
VPN ve kurumsal sistemlerdeki erişim loglarını inceleyin. Tanımadığınız IP adreslerinden, olağandışı saatlerde veya alışılmadık lokasyonlardan giriş denemesi var mı kontrol edin.
Adım 4 — IT Ekibinizi Bilgilendirin
Olayı mutlaka IT ekibinize bildirin. Sistemin geniş çaplı etkilenip etkilenmediğini değerlendirmek için adli analiz gerekebilir.
Adım 5 — Dosyayı İmha Edin
FortiClient-VPN.hta dosyasını sisteminizden tamamen kaldırın. SHA-256 hash değerini (b0c2d7aa1fd8707b3a6e237aa53ba63b7faca3672b2a07410ff9c1f5e98287f1) güvenlik araçlarınızda kara listeye ekleyin.
Korunma Yolları
Yazılımı Her Zaman Resmi Kaynaktan İndirin
FortiClient VPN ve diğer tüm kurumsal yazılımları yalnızca üreticinin resmi web sitesinden indirin.
- FortiClient resmi: fortinet.com
- fortivpn.com.tr, forticlient.net gibi alan adları resmi değildir
Alan Adını Dikkatlice Kontrol Edin
İndirme bağlantısı size e-posta, mesajlaşma uygulaması veya arama motoru üzerinden geldiyse alan adını harfi harfine kontrol edin. Benzer görünen alan adları (typosquatting) bu tür kampanyaların temel aracıdır.
.hta Dosyalarını Çalıştırmayın
Güvenilir bir kaynaktan geldiğinden emin olmadığınız .hta uzantılı dosyaları kesinlikle çalıştırmayın. Bu dosya türünü Windows’ta varsayılan olarak devre dışı bırakmayı değerlendirin.
MFA Zorunlu Kılın
VPN erişiminde çok faktörlü kimlik doğrulama (MFA) etkinleştirilmişse, kimlik bilgileri çalınsa bile saldırgan oturum açamaz. MFA, bu tür credential theft saldırılarının en etkili savunmasıdır.
Çalışan Farkındalık Eğitimi
Teknik korumalar ne kadar güçlü olursa olsun, kullanıcı farkındalığı ilk savunma hattıdır. Sahte yazılım indirme tuzakları, phishing simülasyonları ve düzenli eğitimlerle çalışanlarınızın bu tehditleri tanıması sağlanmalıdır.
EDR/XDR ile Uç Nokta Koruması
Gelişmiş uç nokta koruması (EDR/XDR), .hta dosyalarının davranışını analiz ederek zararlı aktiviteyi tespit edebilir. Geleneksel antivirüs bu tür tehditlere karşı yetersiz kalabilir.
Tehdit İstihbaratı: Bu Kampanya Hakkında Ne Biliyoruz?
Analiz bulgularına göre bu kampanya:
- Hedef kitle: Kurumsal FortiClient VPN kullanıcıları
- Dağıtım vektörü: Büyük olasılıkla phishing e-postaları, sahte arama motoru reklamları veya sosyal mühendislik
- Amaç: Credential theft (kimlik bilgisi hırsızlığı) — toplanan kimlik bilgilerinin doğrudan kullanımı veya dark web’de satışı
- Teknik karmaşıklık: Orta düzey — ancak görsel aldatıcılığı yüksek
Bu tür kampanyalar genellikle hedefli saldırıların (APT) ilk aşaması veya fırsatçı credential stuffing operasyonlarının parçasıdır.
Sonuç
Sahte yazılım dağıtımı yoluyla kimlik bilgisi çalma, 2026’da en yaygın siber saldırı vektörlerinden biri olmaya devam ediyor. fortivpn.com.tr üzerinden dağıtılan bu FortiClient taklidi, kurumsal VPN kullanıcılarını hedef alan aktif bir tehdittir.
Şüpheli bir dosya çalıştırdıysanız veya tehdit analizine ihtiyaç duyuyorsanız MBR Teknoloji güvenlik ekibiyle iletişime geçin.
Kaynakça: Emir Dal, IT Takım Lideri — MBR Teknoloji
