Her OT saldırısının saldırı zincirinde bir dosyası vardır: ICS/OT Tehdit Ortamı, 2024–2026

Son iki yılda, endüstriyel kontrol sistemlerine ve operasyonel teknolojiye yönelik saldırılar, teorik bir risk olmaktan çıkıp operasyonel bir gerçekliğe dönüştü. Devletler artık kritik altyapıların içinde sadece hazırlık aşamasında kalmıyor; harekete geçiyorlar. OT ortamlarını hedef alan devlet destekli aktörler için tercih edilen silah, fidye yazılımından silici yazılımların yerini aldı. Neredeyse tüm büyük olayları birbirine bağlayan tek bir ortak nokta var: Kimsenin denetlemediği bir güven sınırını aşan kötü amaçlı bir dosya.

Bu makale, 2024'ten 2026'nın başlarına kadar uzanan ICS/OT tehdit ortamını, APT isimleri ve CVE numaralarından oluşan bir liste olarak değil, bir hikâye şeklinde ele almaktadır. Öncelikle genel bir bakışla başlıyoruz: neler oldu ve ne zaman gerçekleşti. Ardından, bu olayların arkasında kimlerin olduğunu ve nasıl gerçekleştirdiklerini inceliyoruz; son olarak da, modern bir ICS silme saldırısının iç yüzünü göstermek için bir olayı ayrıntılı olarak ele alıyoruz.

Önemli rakamlar

• 2025 yılında, 119 fidye yazılımı grubu OT ortamlarını aktif olarak hedef aldı; bu rakam, 2024'teki 80 gruba kıyasla %49 artışa tekabül ediyor

• Fidye yazılımı saldırılarının kurbanlarının üçte ikisinden fazlası imalatçılardan oluşuyordu; bu, en çok hedef alınan tek sektör

• Volt Typhoon, bir ABD elektrik şirketinin OT ağı içinde 300 günden fazla bir süre boyunca fark edilmeden faaliyet gösterdi

• Sadece 2024–2025 yıllarında ICS/OT hedeflerine yönelik altı siber saldırı kampanyası gerçekleştirildi; bu sayı, benzer herhangi bir döneme kıyasla daha fazla

Bu saldırıların arkasında kimlerin olduğu veya nasıl işlediklerini analiz etmeden önce, bunları bir zaman çizelgesi üzerinde incelemek faydalı olacaktır. Aşağıdaki tablo, bu dönemdeki tüm önemli ICS/OT olaylarını — sektör, tehdit aktörü ve coğrafi bölgeye göre sınıflandırılmış olarak — göstermektedir; böylece konuyu daha derinlemesine incelemeden önce genel bir fikir edinebilirsiniz.

Hız giderek artıyor. Yalnızca 2 endemik sistemlere (ICS/OT) yönelik siber saldırı kampanyalarının sayısı, 2025 yılında önceki tüm yılların toplamından daha fazla oldu. Coğrafi yayılım genişleyerek Ukrayna-Rusya cephesinin ötesine geçip Polonya gibi NATO üye ülkelerine, Norveç dahil Batı Avrupa’ya ve İsrail dahil Orta Doğu’ya uzandı. Sektör çeşitliliği de enerji ve su sektörlerinin ötesine geçerek sağlık, telekomünikasyon ve imalat sektörlerine yayıldı.

Bu saldırılar farklı ülkeleri, sektörleri ve kurbanları hedef alıyor — ancak hepsi aynı şekilde başlıyor: Kimsenin farkına varmadığı bir dosya ile. Bunlardan sadece birini çalıştırın, yok etmek için tasarlandığını hemen anlayabilirsiniz.

Yukarıdaki zaman çizelgesi yoğun görünüyor, ancak rastgele değil. Olaylar, her biri kendine özgü motivasyonları, yetenekleri ve tercih ettikleri hedefleri olan az sayıdaki aktör grubu etrafında yoğunlaşıyor.

Rusya — hâlâ en yaygın ICS tehdidi

Bu dönemde ICS sistemlerini hedef alan faaliyetlerin en büyük kısmını Rusya ile bağlantılı aktörler oluşturuyor; bu aktörler, farklı rollere sahip çok sayıda grup aracılığıyla faaliyet gösteriyor.

Sandworm (ELECTRUM), dünyadaki en yetkin endüstriyel kontrol sistemleri (ICS) odaklı saldırgan olmaya devam ediyor. Aralık 2025’te Polonya’nın elektrik şebekesine yönelik düzenledikleri saldırı kampanyası, kojenerasyon tesisleri ile rüzgâr ve güneş enerjisi gibi yenilenebilir enerji dağıtım sistemleri dahil olmak üzere yaklaşık 30 dağıtık enerji tesisini hedef aldı. Bu olay, dağıtık enerji kaynaklarını geniş ölçekte hedef alan ilk büyük çaplı koordineli siber saldırı olarak tarihe geçti.

Söz konusu saldırıda kullanılan DynoWiper kötü amaçlı yazılımı, enerji altyapısına yönelik bir Windows PE siliciydi. Bu yazılım, dağıtık enerji kaynakları (DER) tesislerindeki Windows tabanlı bilgisayarları sildi ve bazı OT ve ICS ekipmanlarını onarılamayacak şekilde devre dışı bıraktı. Her ne kadar elektrik kesintisi yaşanmamış olsa da, saldırganlar şebeke operasyonları için hayati önem taşıyan operasyonel teknoloji sistemlerine erişim sağladı.

Daha önce, PathWiper kampanyası kapsamında, MBR ve MFT yok eden MFT tüm sürücülerdeki dosyaların üzerine yazan bir PE siliciyle eşleştirilmiş bir VBScript dropper kullanılarak Ukrayna’nın kritik altyapısı hedef alınmıştı. 2024 yılında ise, Ukrayna’nın telekom altyapısına karşı bir Linux ELF silici olan AcidPour’u devreye soktular ve enerji ile su sistemlerini hedef alan bir tedarik zinciri saldırısı düzenlediler.

KAMACITE, destekleyici altyapı katmanı olarak işlev görmektedir. 2025 yılında, GRU ile bağlantılı bu grubun ABD’deki endüstriyel hedefleri keşif amaçlı taradığı gözlemlenmiştir; bu durum, tarihsel olarak ELECTRUM’un yıkıcı operasyonlarından önce gerçekleştirilen hazırlık faaliyetlerini yansıtmaktadır.

Çin — sabırlı, derin ve genişleyen bir etki alanı

Çin’in yaklaşımı, Rusya’nınkinden temelden farklıdır. Rus aktörler yok ederken, Çinli aktörler varlıklarını sürdürür.

VOLTZITE (Volt Typhoon) yazılımının, bir ABD elektrik şirketinin OT ağı içinde 300 günden fazla bir süre boyunca varlığı tespit edildi; bu süre zarfında GIS verileri ve OT sistem yapılandırmaları çalındı. Bu, sadece casusluk amacıyla yapılmış bir eylem değildi. Önceden yerleştirilme şekli, ABD elektrik altyapısına gelecekte yönelik bir kesintiye hazırlık yapıldığına işaret ediyor.

2025 yılında, SYLVANITE ilk erişim aracısı, Ivanti VPN cihazları, F5 cihazları ve diğer uç altyapıdaki güvenlik açıklarını hızla istismar etti. Bu erişim noktaları daha sonra, OT sistemlerine daha derin sızmalar gerçekleştirmek üzere VOLTZITE boru hattına aktarıldı. Hedefler, elektrik ve su hizmetlerini de kapsayacak şekilde genişletildi.

2025 yılında ortaya çıkan ve yeni izlemeye alınan AZURITE grubu, Çin bağlantılı OT hedefli saldırıların tırmanışını temsil ediyor. AZURITE, ABD, Avustralya ve Avrupa’daki imalat, savunma ve otomotiv sektörlerinde bulunan OT mühendislik iş istasyonlarını aktif olarak hedef alıyor. Grup, ağ şemaları, alarm verileri ve süreç yapılandırmalarını ele geçirmeye odaklanıyor.

İran — fiziksel şiddete varan sınırın aşılması

Bu dönemde İran devlet destekli aktörler, fırsatçı yaklaşımdan fiziksel süreçleri kasıtlı olarak hedef almaya doğru belirgin bir dönüşüm geçirdiler.

CyberAv3ngers (BAUXITE / IRGC), 2023–2024 yıllarında Pennsylvania’daki bir basınç artırma istasyonundaki bir PLC’yi doğrudan ele geçirmek de dahil olmak üzere, ABD’deki çeşitli su tesislerinde 75’ten fazla cihazı ele geçirdi. Cihazların ürün yazılımı güncelleme paketlerine gömülmüş MQTT tabanlı komuta ve kontrol mekanizmasına sahip bir Linux ikili dosyası olan IOCONTROL kötü amaçlı yazılımı, OT cihazlarını ele geçirmek için özel olarak tasarlandı. 2025 yılında BAUXITE grubu, İsrail'in enerji ve depolama altyapısına karşı BlueWipe-SewerGoo silici varyantlarını kullanmıştır.

PYROXENE (IRGC-CEC, APT35 ile örtüşen faaliyetler), 2025 yılında İsrail ve Arnavutluk’taki kritik altyapı ve devlet ağlarını hedef aldı. Grup, PE silici yüklerini dağıtmak için sosyal mühendislik ve tedarik zinciri saldırılarını bir arada kullandı.

Handala, hacktivizm ile devlet destekli yıkım arasındaki belirsiz sınırı temsil ediyor. Birçok tehdit istihbaratı şirketi tarafından İran İstihbarat ve Güvenlik Bakanlığı’nın desteklediği “Void Manticore” adlı bir tehdit aktörünün paravanı olarak değerlendirilen grup, 2023 yılının sonlarında ortaya çıktı ve o zamandan beri İsrailli hedeflere karşı sürekli silme saldırıları düzenliyor.

Kullandıkları araç seti teknik açıdan oldukça gelişmiştir. Genellikle akıcı bir İbraniceyle yazılmış olan kimlik avı e-postaları, bir AutoIT komut dosyasını çalıştıran bir NSIS yükleyicisi iletir; bu komut dosyası ise siliciyi meşru bir Windows işlemine enjekte eder. Son yük, dosyaları rastgele verilerle üzerine yazar, güvenlik açığı bulunan bir sürücüyü kullanarak ayrıcalıkları yükseltir ve verileri yok API Telegram’ın API aracılığıyla sistem bilgilerini dışarı aktarır.

Bu yükleyici pek çok hareketli parçadan oluşuyor — dosyalar bölünmüş, sahte isimler verilmiş ve komutlar çalışırken bir araya getirilmiş. Ancak her adım, aslında sadece bir dosyanın daha bırakılıp çalıştırılması anlamına geliyor. Örneği çalıştırmak, silici herhangi bir şeyi silmeden önce tüm süreci ortaya çıkarıyor.

Farklı aktörlerin, sektörlerin ve coğrafyaların yer aldığı tüm bu olaylarda, tutarlı bir dizi örüntü ortaya çıkmaktadır.

Silecekler, en yaygın yıkıcı araç haline gelmiştir

Bu, ICS ve OT tehdit faaliyetlerinde gözlenen en önemli eğilimdir. Sadece 2024–2025 yıllarında, endüstriyel ve kritik altyapı ortamlarını hedef alan en az altı farklı silme kampanyası gerçekleştirilmiştir: Polonya'nın enerji sektörünü hedef alan DynoWiper, Ukrayna'nın kritik altyapısını hedef alan PathWiper, Ukrayna'nın telekom sektörünü hedef alan AcidPour, İsrail'in enerji sektörünü hedef alan BAUXITE veya BlueWipe-SewerGoo, İsrail ve Arnavutluk'taki hükümet ve kritik altyapıyı hedef alan PYROXENE ve küresel sağlık sektörünü hedef alan Handala.

Siliciler giderek daha hedefli hale geliyor. DynoWiper, özellikle Polonya’daki enerji altyapısına yönelik olarak kullanıldı; dağıtık enerji tesislerindeki Windows tabanlı bilgisayarların verilerini sildi ve bazı OT ekipmanlarını geri dönüşü olmayan bir şekilde devre dışı bıraktı. PathWiper, dosyaların üzerine yazmadan MFT MBR ve MFT yok ederek kurtarmayı olabildiğince zorlaştırıyor. AcidPour ise gömülü Linux cihazlarını hedef alıyor ve OT ekipmanlarında kullanılan UBI birimlerini ve Device Mapper bölümlerini siliyor.

Handala’nın Stryker saldırısı, farklı bir tür evrim örneği sergiledi. Saldırganlar, özel olarak geliştirilmiş kötü amaçlı yazılımları geniş ölçekte dağıtmak yerine, Microsoft Intune adlı meşru bir kurumsal yönetim aracını kötüye kullanarak, kayıtlı cihazların tümüne aynı anda toplu silme komutu gönderdi. Bu, kuruluşun kendi altyapısını fiilen bir silaha dönüştürdü. Bunlar, OT için yeniden amaçlandırılmış genel amaçlı araçlar değildir. Etkilediği ortamlar için özel olarak tasarlanmış veya bu amaçla kullanıma sokulmuş araçlardır.

ICS'ye özgü kötü amaçlı yazılımlar giderek daha sofistike hale geliyor

FrostyGoop, bir dönüm noktası olarak özel bir ilgiyi hak ediyor. Ocak 2024’te Lviv bölgesel ısıtma sistemine yönelik olarak kullanıma sokulan bu yazılım, üretim ortamında Modbus TCP protokolünü doğrudan istismar eden ilk kötü amaçlı yazılımdı. Go dilinde yazılmış ve Windows PE ikili dosyası olarak derlenmiş olan yazılım, mühendislik ağı üzerinden dağıtıldı ve bir dosya aktarımı yoluyla BT’den OT’ye geçti. Saldırı sonucunda, sıfırın altındaki sıcaklıklarda 600’den fazla apartman binası iki gün boyunca ısıtmasız kaldı.

FrostyGoop'un önemi, Modbus TCP'nin dünya çapında endüstriyel ortamlarda yaygın olarak kullanılmasıdır. Bu kötü amaçlı yazılım, saldırganların artık sadece OT sistemlerine bitişik Windows iş istasyonlarını hedeflemenin ötesine geçtiklerini ortaya koydu. Artık endüstriyel protokollerle doğrudan iletişim kuran kodlar yazıyorlar.

FrostyGoop'un amacı, yüklediği kodun tam da içinde yatıyor — içe aktardığı kütüphanelerin tek bir amacı var: endüstriyel kontrolörlerle iletişim kurmak

ICS ve OT saldırılarındaki ortak eğilimler, tutarlı bir gerçeğe işaret ediyor: Bilinmeyen ve tespit edilmesi zor tehditler, ortamlara dosya olarak giriyor, güven sınırlarını aşıyor ve geleneksel savunma sistemlerinin tepki veremeden çalıştırılıyor. Bu saldırıları durdurmak için hem derinlemesine davranış analizi hem de kötü niyetli eylemlerin gerçekleştirilmeden önce öngörülmesi gerekiyor.

MetaDefender , dosyalarda gizlenmiş bilinmeyen ve tespit edilmeye karşı dirençli tehditleri ortaya çıkarmak üzere tasarlanmış, OPSWATbütünleşik sıfırıncı gün tespit çözümüdür. Uyarlanabilir sanal ortam, tehdit istihbaratı, tehdit puanlama ve makine öğrenimi tabanlı benzerlik aramasını tek bir tespit sürecinde birleştirerek her dosya için güvenilir bir sonuç sunar.

Aether, dosyaları sanal bir ortamda çalıştırarak, statik araçların tespit edemediği fidye yazılımı mantığı, kod enjeksiyonu, analiz önleme teknikleri ve çok aşamalı yükler gibi gizli davranışları ortaya çıkarır. Bu bulguları milyarlarca tehdit göstergesiyle karşılaştırarak riskleri belirler, varyantları ortaya çıkarır ve faaliyetleri bilinen saldırgan teknikleriyle eşleştirir.

Bu yaklaşım, kuruluşların temizlenemeyen veya değiştirilemeyen yürütülebilir dosyalar, komut dosyaları, arşivler ve yama dosyalarındaki sıfırıncı gün tehditlerini tespit etmesini sağlar. Ayrıca, dinamik analizin zorunlu olduğu ve dosya bütünlüğünün korunması gereken düzenlemelere tabi sektörlerdeki uyumluluk gerekliliklerini de destekler.