Bülten 16-23 Eylül: Saldırı Sözlüğüne 'claude' Girdi, Türkiye Tedariki Dağıldı

16 Eylül ile 23 Eylül UTC arasında SiberKale honeypot ağına 3.518.575 olay düştü. Bu pencerenin en önemli bulgusu bir hacim rekoru değil, bir kelime: saldırganların SSH parola sözlüğüne yapay zekâ kodlama ajanlarının kullanıcı adları girdi. claude bir haftada 163 kez denendi ve bu sayı jenkins, docker, kubernetes ve ansible denemelerinin toplamından fazla.

Yönetici Özeti

31 Ağustos bülteni sahnede insan kalmadığını ölçmüştü. Bu pencere bir adım ötesini gösteriyor: makineler artık yalnız saldırmıyor, hedef listelerini de güncelliyorlar. Dönemin dört bulgusu:

1. Sözlük büyüdü. SSH potuna gelen 40.864 kimlik denemesinde 1.494 farklı kullanıcı adı denendi. Bunların arasında claude (163), openclaw (93), ai (32), agent (13) ve cursor (13) var.
2. Genişleme tarihi belli: 20 Eylül. openclaw, agent, cursor, ai, gitlab ve kubernetes kullanıcı adlarının tamamı ilk kez 20 Eylül sabahı 04:58 ile 06:17 UTC arasında denendi. Sözlük tek seferde güncellendi.
3. Türkiye tedariki dağıldı. TR barındırmalı olay payı yüzde 64’ten yüzde 3,1’e indi. Sekiz Türk barındırıcı 25 Ağustos ile 12 Eylül arasında sessizleşti.
4. Boşluğu kimse doldurmadı. Türkiye etiketli yeni adres girişi günde 455’ten 17’ye düştü (yüzde 96); dünyanın geri kalanında günde 247, 336 ve 255 ile aynı düzeyde kaldı. Dış kaynaklı olay hacmi yaklaşık 17 milyondan yaklaşık 2 milyona indi.

1. Sözlüğe Ne Eklendi

SSH ve Telnet potuna gelen kimlik denemelerinde kullanıcı adı dağılımının tepesi değişmedi. Değişen, listenin ortası.

Kıyas noktası önemli: claude kullanıcı adı, bu pencerede jenkins (62), docker (43), kubernetes (14) ve ansible (22) denemelerinin toplamından daha fazla denendi. On yıllık bir CI/CD ekosisteminin kullanıcı adları, on sekiz aylık bir ajan ekosisteminin kullanıcı adının gerisinde kaldı.

Denenen parolalar sözlüğün ne kadar ilkel olduğunu da gösteriyor:

claude   : claude, 1, 123, 123456, 12345678
openclaw : openclaw, 1, 123, 1234, 12345
agent    : agent
cursor   : cursor

Yani saldırgan, kullanıcı adının kendisini parola olarak deniyor. Bu bir istismar değil, envanter çıkarma hareketidir: hangi sunucuda bu isimde bir hesap var ve o hesap varsayılan bırakılmış mı sorusunu ölçüyor. Ölçtüğü an bir listeye yazıyor. Bu listenin ikinci turda ne işe yaradığını 13 Ağustos bülteninde görmüştük.

Buna karşılık ollama, copilot ve mcp kullanıcı adları ile model sağlayıcı firma adları hiç denenmedi. Sözlük genişlemesi rastgele değil, seçici: yalnız sunucuda gerçekten sistem kullanıcısı açan araçların adları eklenmiş.

2. Sözlüğü Kim Güncelledi

Yapay zekâ kullanıcı adlarını deneyen kaynakların tamamı tek bir adres bloğundan geliyor: 109.160.32.0/24, AS197170 (TechTies Inc.).

Bu filonun davranışı dikkat çekici bir disiplin gösteriyor:

Her adresin tam olarak aynı sayıda deneme yapması ve tam olarak aynı sözlüğü koşması, bunun merkezden yönetilen tek bir iş kuyruğu olduğunu gösterir. Filo 18 gün önce doğdu, kamuya açık itibar listelerinin çoğu onu hâlâ tanımıyor ve 20 Eylül sabahı sözlüğünü güncelledi.

ASN’in kendisi ise yeni değil: AS197170 veritabanımızda 6 Nisan 2026’dan beri kayıtlı, 284 adres ve 2,33 milyon vuruşla. Adresleri coğrafi olarak Hollanda (201), Bulgaristan (63) ve Almanya (18) görünüyor. Yani tek operatör, üç ülke etiketi. Bu sayılar 23 Eylül itibarıylaydı.

3. Türkiye Payı Neden Çöktü

31 Ağustos bülteninde Türkiye barındırmalı kaynaklar 10.984.647 olayla toplamın yüzde 64’ünü üretiyordu. Bu pencerede tablo tanınmayacak kadar değişti:

Düşüş yalnız oransal değil, mutlak: Türkiye kaynaklı olay sayısı 10,98 milyondan 62 bine indi. Ve düşüş Türkiye ile sınırlı kalmadı. İki bültenin ülke tablolarındaki olay sayısı ve paylardan türetilen dış kaynaklı toplam olay hacmi (iç trafik hariç) 24-31 Ağustos’ta yaklaşık 17,2 milyon, 16-23 Eylül’de yaklaşık 2,0 milyondu: yüzde 88’lik bir düşüş. Türkiye dışındaki kaynakların hacmi de yaklaşık 6,2 milyondan 1,9 milyona indi.

IoC veritabanı aynı kırılmayı yöntemden bağımsız bir ölçümle gösteriyor: yeni adres girişi. Bir adres veritabanına ilk girdiği anda first_seen damgasını alır ve bu damga sonradan değişmez; bu yüzden haftalık yeni adres sayısı kesin bir seridir.

Kırılma 7 Eylül haftasında: Türkiye etiketli yeni adres 2.536’dan 249’a, sonraki iki haftada 15 ve 13’e indi. Pencere bazında Türkiye etiketli giriş 13 Ağustos-7 Eylül’de günde 455 iken 7-23 Eylül’de günde 17’ye düştü (yüzde 96 azalma); Türkiye dışında ise günde 247, 336 ve 23 Eylül’den sonra 255 ile aynı düzeyde kaldı. 23 Eylül’den sonraki Türkiye etiketli girişin büyük bölümü, 4 Ekim’de bir saat içinde açılan 279 datema adresidir.

Kırılma tek tek barındırıcılarda okunuyor. Aşağıdaki tablo sekiz barındırıcının Türkiye etiketli adres tabanını ve son görülme tarihini verir:

Sekiz barındırıcının toplam 14.851 Türkiye etiketli adresi 25 Ağustos ile 12 Eylül arasında son kez görüldü; tek istisna 10 Ekim’de görülen bir HostingDünyam adresi. Bu bültenin ilk hâlindeki “12.582 aktif adres sıfırlandı” ifadesi bu tablonun bir alt kümesiydi: yalnız 13 Ağustos-7 Eylül penceresinde son kez görülen adresleri sayıyordu. Bir kampanyanın bu kadar temiz kapanması olağan değildir; bu kalıp, ya toplu bir abonelik iptalini ya da barındırıcı tarafında bir temizlik işlemini gösterir. Ölçüm tarafını da gözden geçirdik: ops kayıtlarımızda 25 Ağustos-12 Eylül arasında sensör ağına dokunan bir değişiklik görünmüyor; ama kayıt dışı bir değişikliğin olmadığını kanıtlayamayız.

4. Boşluğu Kim Doldurdu? Kimse

Bu bölümün ilk hâli tersini söylüyordu; bu yüzden baştan kuruldu. Soru, yeni gelen adreslerin kimin elinde toplandığı ise ölçülecek şey yeni adres girişidir (first_seen, kesin). Üç pencerede: 13 Ağustos-7 Eylül (25 gün), 7-23 Eylül (16 gün) ve 23 Eylül-12 Ekim (19,7 gün).

Günlük ortalamaya çevrildiğinde Türkiye dışı giriş günde 247, 336 ve 255 adres; Türkiye etiketli giriş günde 455, 17 ve 22. Boşluk doldurulmadı: Türkiye’den kaybolan günde yaklaşık 440 adresin yerine hiçbir operatörün girişi artmadı. NERZEN’in günlük yeni adresi 38’den 21’e, sonra 9’a indi.

İlk hâlindeki tablo neden artış gösteriyordu? O tablo her operatörün adreslerini son görülme tarihine göre pencerelere bölüyordu. Bu yöntemde canlı kalan bir adres yalnız son pencerede görünür; eski pencere eksik sayılır ve artış olmasa da artış çıkar. Aynı sayım bugün tekrarlandığında sayılar değişiyor: NERZEN 429 yerine 299, 1.133 yerine 660; Türkiye etiketli toplam 22.203 yerine 22.068, 769 yerine 585. Fark, adreslerin 23 Eylül’den sonra yeniden görülüp son görülme tarihlerinin ileri taşınmasından geliyor. NYRU Services örneği yöntemin sakıncasını en açık gösteriyor: ilk tablo onu 0’dan 255’e yükselen bir aktör gösteriyordu; oysa NYRU’nun 253 adresi 13 Ağustos-7 Eylül’de doğmuştu ve 7-23 Eylül’de yeni adres girişi sıfırdı. Aktif ve değişmeyen bir operatör, “sıfırdan yükselen” gibi okunmuştu.

NERZEN yine de ayrı bir okuma istiyor: AS203545’in adresleri Türkiye (1.041), ABD (502), Estonya (137) ve Seyşeller (67) olarak etiketli. Estonya’nın 16-23 Eylül’deki yüzde 9’luk payı için bunun anlamı net: Estonya etiketli ve bu pencereyle çakışan 107 adresin 104’ü (yüzde 97,2) NERZEN’e ait. Estonya’nın payı Estonya’dan değil, tek bir operatörün etiketinden geliyor.

Sonuç: Türkiye payındaki çöküş bir konsolidasyon değil, bir tedarik kaybıdır. Tek bir kaynak grubu (Türkiye barındırıcıları) 7 Eylül haftasında yeni adres üretmeyi bıraktı, geri kalan dünya aynı düzeyde kaldı ve toplam olay hacmi yaklaşık yüzde 88 düştü. Ülke payı bu hikâyeyi iki yönde de yanlış okutur: “saldırılar bitti” der ya da “başka bir operatöre kaydı” der; ikisi de ölçülen şey değildir. Ülke payı, hacimle, yeni adres girişiyle ve operatör bazında birlikte okunmalıdır.

5. Kapılar, İmzalar, Playbook

Sözlük değişse de saldırının gövdesi değişmedi.

Honeypot tipine göre olay dağılımı:

Cowrie potuna 1.142 benzersiz kaynak adres bağlandı. Suricata’nın en çok işaretlediği imzalar:

SSH istemci sürümleri, sahnede kimin olduğunu tek başına anlatıyor:

Go ile yazılmış özel araçlar tüm oturumların ezici çoğunluğunu üretiyor. OpenSSH istemcisi, yani bir insanın masasındaki program, listenin çok altında.

Giriş sonrası komut dizisi de önceki bültenlerle aynı madenci playbook’u:

cd ~; chattr -ia .ssh; lockr -ia .ssh     ← rakip erişimi kilitle   (590)
uname -a                                   ← çekirdek ve mimari      (347)
cat /proc/cpuinfo | grep name | wc -l      ← kaç çekirdek            (337)
free -m | grep Mem                         ← bellek                  (337)
crontab -l                                 ← kalıcılık kontrolü      (336)

MySQL tarama imzası üç haftalık platosunu koruyor ama zirvedeki yerini kaybetti; bu pencerede SSH keşfi ve web tarama önde.

6. Savunma İçin Ne Değişti

Bu pencerenin dört pratik sonucu var.

Ajan kullanıcı adları artık hedef listesinde. Sunucularında yapay zekâ kodlama ajanı çalıştıran her kurum, o ajanın sistem kullanıcısını ürün adıyla adlandırmamalı ve o hesaba parola ile SSH girişini kapatmalıdır. claude, openclaw, agent ve cursor adlarına gelen başarısız giriş denemesi, sunucunun rastgele taramada değil hedefli bir listede olduğunun işaretidir.

Ülke filtreleri bu tabloda yanıltır. Olayların yüzde 62’si Almanya ve ABD kaynaklı; ikisi de kurumsal trafiğin normal kaynağı. 5-12 Ekim’de aynı ağ tamamen farklı bir tablo gösterdi: Almanya yüzde 1,8, Türkiye yüzde 21,3 ve Türkiye payının yüzde 37,8’i tek adres. Engelleme kararı prefiks, operatör ve davranış düzeyine taşınmalıdır.

İtibar listeleri geç kalıyor. 13 Ağustos ile 23 Eylül arasında veritabanımıza giren 23.263 yeni adresin yüzde 85,5’i AbuseIPDB’de sıfır puanlı. Sözlüğü güncelleyen filo 18 günlük ve listelerin çoğunda hâlâ yok. İlk temas verisi, biriktirilmiş şikâyet verisinden bu yüzden farklıdır.

ASN listesi de eskir. Yeni adres girişine göre en yoğun 10 ASN’i engellemek, bir sonraki pencerede gelen yeni adreslerin yalnız yüzde 14’ünü (13 Ağustos-7 Eylül listesi, 7-23 Eylül’e) ve yüzde 35’ini (7-23 Eylül listesi, 23 Eylül-12 Ekim’e) kapsadı; en yoğun 50 ASN yüzde 53’ünü. Karar ASN numarasına değil prefikse yazılmalı ve prefikslerin origin ASN’i izlenmelidir: 109.160.32.0/24 örneğinde ASN 30 Eylül’de değişti.

Yöntem ve Kapsam

Ham sensör rakamları T-Pot honeypot kümesinin Elasticsearch dizinlerinden, ölçüm anındaki retention penceresinin tamamı alınarak üretildi (16 Eylül 00:00 - 23 Eylül 20:15 UTC). Kullanıcı adı ve coğrafya sayımlarında iç ağ kaynakları (RFC1918) hariç tutuldu ve tüm kıyas rakamları aynı filtreyle yeniden ölçüldü. ASN ve adres geçmişi karşılaştırmaları kalıcı IoC veritabanından alındı. Sensör adresleri ve iç altyapı bilgisi tüm çıktılardan çıkarılmıştır.

12 Ekim revizyonunda IoC sayımları iki biçimde verilir. “Yeni adres girişi”, adresin first_seen damgasının pencerede olmasıdır; kesindir ve zamanla değişmez. “Görülen adres”, son görülmesi pencerede olan adrestir; son (açık uçlu) pencerede kesindir, eski pencerelerde ise yeniden görülen adresleri kaçırır. Eski tabloları yeniden üretme denemesi: sekiz barındırıcı tablosu bugünkü kayıtlarla en fazla bir adres farkla yeniden üretildi (Türkiye etiketli adresler, son görülme penceresine göre bölünmüş); 13 Ağustos-23 Eylül yeni adres sayısı 23.263 yerine 23.270, AbuseIPDB’de sıfır puanlı oranı yüzde 85,5 yerine yüzde 86,0 çıktı. NERZEN, Google Cloud, Microsoft, Tencent ve NYRU satırları aynı yöntemle yeniden üretilemedi, çünkü bu operatörlerin adresleri 23 Eylül’den sonra yeniden görüldü; bu da yöntemin işaretidir. Dış kaynaklı toplam olay hacmi, yayımlanan ülke tablolarındaki olay sayısı ve paylardan türetildi.

Bu bültendeki göstergelerin tam listesi, adres bazlı zenginleştirme ve makine okunur besleme paket aboneliği kapsamındadır: erişim talebi.