Akademi
TerimAltyapı

Komuta ve kontrol sunucusu

Command and Control (C2)

Saldırganın bulaşmış cihazlarla haberleştiği sunucu: çalınan veri buraya gönderilir, yeni komut ve ek yük buradan alınır.

Akış

  1. 1Adresi bulur
  2. 2Yapılandırmayı alır
  3. 3Veriyi gönderir
  4. 4Ek yük indirir
İlgili aileler
Lumma Stealer, Vidar, Raccoon Stealer
MITRE ATT&CK
TA0011 · Command and Control
Kaynak
10 kaynak
01

Genel bakış

MITRE ATT&CK, komuta ve kontrolü ayrı bir taktik olarak tanımlar: saldırganın ele geçirdiği sistemlerle iletişim kurup onları yönetme yolları. Saldırganlar bu trafiği çoğunlukla olağan ağ trafiğine benzetmeye çalışır. MITRE ATT&CK

Infostealer’larda C2’nin işi kısadır ama kritiktir: cihazdan toplanan parolalar, oturum çerezleri ve cüzdan verileri tek pakette bu sunucuya gönderilir. Saldırgan veriyi bir yönetim panelinde görür; süzer, satar ya da kendisi kullanır. MITRE ATT&CK

02

Nasıl çalışır

  1. 1

    Adresi bulur

    Zararlı yazılım C2 adresini kendi içinde taşır ya da adresi Steam profili, Telegram kanalı gibi meşru bir sayfadaki metinden okur. Bu ara noktaya “dead drop resolver” denir; adres değişince yalnız o metin güncellenir. MITRE ATT&CK

  2. 2

    Yapılandırmayı alır

    Bazı aileler neyi toplayacaklarını sunucudan öğrenir: hangi tarayıcılar, hangi cüzdanlar, hangi dosya uzantıları. Raccoon’un ikinci sürümü yapılandırmasını C2’den alır. Malpedia (Fraunhofer FKIE)

  3. 3

    Veriyi gönderir

    Toplanan veri genellikle tek bir arşiv hâlinde, olağan web trafiği gibi görünen HTTP veya HTTPS istekleriyle gönderilir. MITRE ATT&CK

  4. 4

    Ek yük indirir

    Sunucu cihaza ikinci bir zararlı yazılım indirtebilir. Bir infostealer bulaşması böylece fidye yazılımı ya da uzaktan erişim aracı için kapı olur. MITRE ATT&CK

03

Gerçek örnekler

Lumma Stealer: altyapıya el konulması

Lumma Stealer profili

Mayıs 2025’te Microsoft’un Dijital Suçlar Birimi, ABD’de alınan mahkeme kararıyla Lumma altyapısının omurgasını oluşturan yaklaşık 2.300 alan adına el koydu ya da erişimini kesti. Microsoft, 16 Mart–16 Mayıs 2025 arasında dünya genelinde 394.000’den fazla Windows bilgisayarın Lumma’ya bulaştığını tespit ettiğini açıkladı. Microsoft On the Issues

Lumma Stealer: altyapının geri dönüşü

Lumma Stealer profili

Operasyondan sonra Lumma altyapısı yeniden kuruldu. C2 alan adlarına el konulması tek başına bir aileyi bitirmez; geliştirici yeni alan adlarıyla devam edebilir. Trend Micro

Vidar: C2 adresi sosyal profillerde

Vidar profili

Vidar, C2 adresini Telegram, Steam veya Mastodon profillerindeki metinden çözer. Çalışması için gereken meşru kitaplıkları (ör. sqlite3.dll, nss3.dll) da C2’den indirir. Malpedia (Fraunhofer FKIE)

04

Nasıl fark edilir

  • Bir sürecin Steam topluluk profili ya da Telegram sayfası açıp hemen ardından tanınmayan bir alan adına POST isteği göndermesi, ara çözümleyici kullanımının tipik izidir. MITRE ATT&CK
  • Tarayıcı olmayan bir sürecin kısa sürede tek seferlik büyük bir yükleme yapması; özellikle yeni kaydedilmiş ya da CDN arkasındaki alan adlarına. MITRE ATT&CK
  • Tehdit istihbaratı akışlarındaki bilinen C2 alan adı ve IP adreslerine giden bağlantılar. MITRE ATT&CK
05

Ne yapılmalı

  • DNS ve vekil sunucu kayıtlarını bilinen C2 göstergeleriyle eşleştirin; eşleşen cihazı ağdan ayırıp inceleyin. MITRE ATT&CK
  • C2’ye bağlanmış bir cihazda çalınan veri saldırgana ulaşmış sayılır. Cihazı temizlemek yetmez: o cihazda kayıtlı parolaları değiştirin, oturumları sonlandırın. MITRE ATT&CK
  • Sunucuların ve iş istasyonlarının internete çıkışını yalnız gereken hedeflerle sınırlayın; bilinmeyen alan adlarına doğrudan çıkışı kapatın. MITRE ATT&CK
06

MITRE ATT&CK

TA0011Command and ControlT1071.001Application Layer Protocol: Web ProtocolsT1102.001Web Service: Dead Drop ResolverT1041Exfiltration Over C2 ChannelT1105Ingress Tool Transfer
07

İlgili aileler ve terimler

Aileler

Lumma StealerAktifVidarAktifRaccoon StealerAktif

Rapor

Infostealer Tehdit Raporu — Ekim 2026

Terimler

InfostealerVeri sızdırmaPanel kiralamaEle geçirilme göstergesi
08

Kaynaklar

  1. 1Command and Control (TA0011) · MITRE ATT&CK
  2. 2Application Layer Protocol: Web Protocols (T1071.001) · MITRE ATT&CK
  3. 3Web Service: Dead Drop Resolver (T1102.001) · MITRE ATT&CK
  4. 4Exfiltration Over C2 Channel (T1041) · MITRE ATT&CK
  5. 5Ingress Tool Transfer (T1105) · MITRE ATT&CK
  6. 6Disrupting Lumma Stealer: Microsoft leads global action against favored cybercrime tool · Microsoft On the Issues, 2025-05-21
  7. 7Lumma Stealer returns · Trend Micro, 2025
  8. 8Vidar — aile kaydı ve rapor dizini · Malpedia (Fraunhofer FKIE)
  9. 9Raccoon Stealer — aile kaydı ve rapor dizini · Malpedia (Fraunhofer FKIE)
  10. 10Filter Network Traffic (M1037) · MITRE ATT&CK
Essential paketinden itibaren

Infostealer Detection

Kurumunuzun sızıntı yüzeyini tek ekranda görün: kaç bulgu, hangi önem derecesinde, hangi alan adında.

Ürünü incelePaketleri karşılaştırın