Bülten 23 Eylül-12 Ekim: Sözlüğü Koşan Blok Bayrak Değiştirdi, Filo Yerinde Kaldı

Bayrak değişimi, aynı IP bloğunun farklı bir ASN adına duyurulmaya başlamasıdır. SSH sözlüğüne yapay zekâ ajanı adlarını ekleyen 109.160.32.0/24 bloğu 30 Eylül 2026’da AS197170 (TechTies) adından AS198364 (Banatsync) adına geçti ve saldırıya devam etti. 5-12 Ekim’de Banatsync, honeypot olaylarının yüzde 19,8’ini, SSH potu olaylarının yüzde 40,5’ini üretti.

Yönetici Özeti

23 Eylül bülteni parola sözlüğüne ajan adlarını ekleyen filoyu 109.160.32.0/24 bloğunda ve AS197170 adı altında yakalamıştı. Bu bültenin ana sorusu basit: o filo ne yaptı? Cevap bir gemi hikâyesine benziyor. Gemi aynı, mürettebat aynı, yalnız bayrak değişti. Dönemin beş bulgusu:

1. Blok bayrak değiştirdi, filo yerinde kaldı. 109.160.32.0/24, 30 Eylül 16:00 UTC’de AS197170’ten AS198364’e geçti. Bloktaki aktif adres sayısı 55’ten 87’ye çıktı ve ajan adlarını denemeyi sürdürdü.
2. Sözlük 1.494’ten 3.306 ada çıktı, ama büyümenin kaynağı tek operatör. Banatsync’in iki bloğu 3.092 farklı ad denedi; dünyanın geri kalanı toplam 325 ad denedi.
3. Nisan’dan beri sabit kalan SSH playbook’u sıfıra düştü. Temmuz bülteninde “Nisan’dan beri kelimesi kelimesine aynı” diye belgelediğimiz komut zinciri bu pencerede hiç görülmedi.
4. Ülke payı yine sallandı. Türkiye yüzde 3,1’den yüzde 21,3’e çıktı, Almanya yüzde 34,1’den yüzde 1,8’e indi. Arkasında iki tek adres ve bir operatör var.
5. Toplu doğum olayları yüzde 85 azaldı ve Türkiye barındırma tedariki geri dönmedi. Bu bültende ayrıca önceki bültenden bir rakamı düzeltiyoruz.

109.160.32.0/24 bloğu şimdi kimin adına duyuruluyor?

30 Eylül 2026 16:00 UTC’den beri AS198364 (Banatsync) adına. RIPEstat yönlendirme geçmişine göre blok 1 Eylül’den 30 Eylül 15:59 UTC’ye kadar AS197170 (TechTies) tarafından duyuruldu. İki ASN aynı yolda: 12 Ekim’de RIPEstat’ın gözlediği 371 BGP yolunun hepsinde blok AS198364’ten çıkıyor ve yolun bir önceki halkası AS197170.

Yolun bir önceki halkası da bilgi veriyor. Banatsync’in duyurduğu altı IPv4 prefiksinin beşi başka yukarı akımlardan çıkıyor; yalnız bu blok TechTies üzerinden gidiyor:

“Kayıt yok” temiz demek değildir; bu prefiksler sensörlerimize çarpmadı. Bloğun TechTies üzerinden çıkmaya devam etmesi, geçişin bir transit ilişkisi içinde olduğunu düşündürür; bunu kanıtlamıyoruz.

Honeypot kayıtları bu geçişi iki ayrı aktör gibi okur. IoC veritabanında bloktaki 115 farklı adres iki etikete bölünmüş durumda:

• AS197170 etiketli 57 adres: hiçbiri 30 Eylül’den sonra görülmedi.
• AS198364 etiketli 58 adres: 57’si 1 Ekim 06:30 UTC’den sonra görüldü. Bunların 23’ü 30 Eylül’den önce, TechTies döneminde doğmuştu; 35’i sonra doğdu, yani filo 12 günde günde ortalama üç yeni adres ekledi.

Aynı adresler ASN etiketine göre sayıldığında şu tablo çıkar:

ASN’e göre bakan bir pano TechTies’ı yüzde 33 küçülürken, Banatsync’i yüzde 147 büyürken görür ve iki ayrı hikâye anlatır. Bloğa göre bakan bir pano tek hikâye görür: aynı filo 55 adresten 87 adrese çıktı. 7-23 Eylül sütunundaki 55, 23 Eylül bülteninin bildirdiği “55 aktif adres” ile birebir örtüşüyor.

TechTies durmadı. AS197170 bugün 14 prefiks duyuruyor. Taşınan blok hariç, bu bloklarda 23 Eylül’den bu yana 26 adres görüldü: 45.156.87.0/24 (7), 45.153.34.0/24 (6), 85.11.167.0/24 (4), 94.26.106.0/24 (3), 91.92.47.0/24 (2), 91.92.40.0/24 (2), 91.92.42.0/24 ve 93.152.221.0/24 (birer). Sonuncusu 12 Ekim’de kaydedildi.

Bu ilk el değiştirme değil. 14 Temmuz bülteni senkron SSH kümesinin Romanya ikilisinden TechTies ikilisine, oradan Banatsync üçlüsüne geçtiğini belgelemişti ve şu sonuca varmıştı: kaynak adresler değişiyor, davranış değişmiyor. 12 Ekim bulgusu aynı tezin yeni bir türü: bu kez adres bile değişmedi, yalnız üzerindeki etiket değişti.

Banatsync şu anda ne kadar gürültü üretiyor?

Banatsync, 5-12 Ekim penceresinin en gürültülü operatörü: 52 adresten 292.826 olay, yani dış kaynaklı olayların yüzde 19,8’i ve SSH potu (Cowrie) olaylarının yüzde 40,5’i. İkinci sırada tek bir adresin ürettiği 239.225 olay var.

İlk dört operatör olayların yüzde 53,2’sini üretti. Tabloda iki satır adres sayısıyla öne çıkıyor:

• AS201880, tek adres: 38.125.54.100, 8 Ekim 22:34 ile 9 Ekim 01:07 UTC arasında, yani 2 saat 33 dakikada 239.225 olay üretti. Olaylar 25, 443 ve 8080 portlarına neredeyse eşit bölünmüştü (her biri yaklaşık 80 bin), AbuseIPDB puanı 0. Bu örüntü bir posta ve vekil sunucu taramasına benziyor.
• AS200456, tek adres: 188.132.230.188, 5 Ekim 12:03 ile 10 Ekim 01:10 UTC arasında 118.920 olay ve 15.873 kez root kullanıcı adıyla giriş denemesi üretti.

Bu iki adres birlikte tüm olayların yüzde 24,2’sine eşit. Bir adresin tek başına bir ülkenin payını değiştirebilmesi, ülke payını bir tehdit göstergesi olarak okumanın sınırını çiziyor; bir sonraki bölüm bunun rakamlarını veriyor.

NERZEN satırında bir ayrıntı daha var: GeoIP veritabanı AS203545’i bir gerçek kişi adıyla listeliyor, IoC kaydımız ve RIPE ise NERZEN diyor. Hangi etiketin doğru olduğundan bağımsız olarak not düşelim: aynı ASN iki veri kaynağında iki farklı adla geçiyor.

Sözlük neden iki katına çıktı, claude neden düştü?

Sözlüğü büyüten tek bir operatör: Banatsync’in iki bloğu (109.160.32.0/24 ve 77.239.124.0/24, toplam 35 adres) 3.092 farklı kullanıcı adı denedi; dünyanın geri kalanı toplam 325 ad denedi. Farklı ad sayısı 1.494’ten 3.306’ya çıkınca tek tek adların payı küçüldü: claude 163’ten 27’ye düştü, ama ajan adlarının yüzde 97’si hâlâ aynı iki bloktan geliyor.

Üç okuma çıkıyor.

Ajan adları azalmadı, seyreldi. Dokuz ajan adı (claude, openclaw, n8n, codex, agent, ai, ollama, cursor, jupyter) 5-12 Ekim’de toplam 108 kez denendi; deepseek ile birlikte 109. Bunların 106’sı, yani yüzde 97’si Banatsync’in iki bloğundan geldi. 23 Eylül bülteninde “hiç denenmedi” diye yazdığımız ollama listeye girdi (8 adresten 8 deneme); copilot ve mcp hâlâ yok. claude artık jenkins, docker, kubernetes, ansible toplamından (58) fazla değil, 27 deneme ile onun yarısında.

Sözlüğün büyük kısmı ajan adı değil. Banatsync’in 109.160.32.0/24 bloğu 31 adresten 16.257 deneme ve 2.410 farklı ad üretti. İlk beşte delegate (484 deneme, yalnız 5 adres) ve support (356 deneme, 35 adres) yer alıyor; ikisi de ajan adı değil, genel hizmet hesabı adı.

Denemelerin yüzde 85,7’si üç aktörden. Banatsync’in iki bloğu 19.823 deneme (yüzde 43,6), AS200456’daki tek adres 15.873 (yüzde 34,9, hepsi root), Hetzner’deki 62.238.13.104 adresi 5-6 Ekim’de 3.304 (yüzde 7,3, hepsi root) üretti. Adres başına hız sınırı bu dağılımda iki aktörü yakalar, filoyu kaçırır: Banatsync bloğunda adres başına yaklaşık 500 deneme düşüyor ve bu 31 adrese yayılıyor.

Ülke payı neden yeniden sallandı?

Çünkü ülke payı, o hafta en gürültülü birkaç adresin etiketidir. Türkiye payı yüzde 3,1’den yüzde 21,3’e çıktı ve bunun yüzde 37,8’i tek bir adresten (AS200456) geldi. Almanya yüzde 34,1’den yüzde 1,8’e indi. İki hafta içinde ülke tablosu baştan yazıldı; arkasında iki tek adres ve bir operatör var.

Üç büyük etiketin kaynağı:

Bulgaristan satırı bu bültenin ana bulgusuyla örtüşüyor: Bulgaristan etiketli trafiğin neredeyse tamamı, bayrak değiştiren blok. Almanya’nın çöküşü ise geçen bültenin Almanya yüzde 34,1 bulgusunun kalıcı bir pay olmadığını gösteriyor. Ülke filtresiyle savunma kuran bir kurum, iki hafta arayla birbirinden tamamen farklı iki tablo görürdü. Bu konuyu karar çerçevesiyle Siberkale’deki yazı işliyor.

Eski SSH playbook’u nerede?

Bu pencerede yok. Temmuz bülteninde “Nisan’dan beri kelimesi kelimesine aynı” diye belgelediğimiz ve 16-23 Eylül’de 590 oturumda koşan chattr/lockr komut zinciri 5-12 Ekim’de sıfır kez görüldü; zincire eşlik eden 345gs5662d34 kimlik çifti de denenmedi. Giriş sonrası davranış artık yoklama: tek komutluk uname ve dokuz satırlık bir işletim sistemi parmak izi betiği.

Yerine gelen davranışlar:

Banatsync adresleri girişten sonra bir ya da iki uname çalıştırıp çekiliyor (35 adres, 41 komut). Kullanıcı adı sözlüğü büyüdü, giriş sonrası iş küçüldü. Bu, bu pencerede filonun işinin istismardan çok envanter çıkarma olduğuna işaret ediyor. /ip cloud print ise SSH potuna bir MikroTik komutu yazıldığını gösteriyor: yoklamayı yapan araç hedefin Linux mu RouterOS mu olduğunu bilmeden komut deniyor.

Kapılar, imzalar ve istemciler

Sensör tipine göre olay dağılımı (dış kaynaklı):

Toplam olay, önceki bültenlerle aynı yöntemle (iç trafik dahil) 3,52 milyondan 3,17 milyona indi. Mailoney 4,9 katına çıktı: 101 benzersiz adres, ilk üç blok 196.251.121.0/24 (5.775 olay, AS403005, Seyşeller etiketli), 178.16.55.0/24 (2.006) ve 102.220.161.0/24 (1.312). Dionaea 5.928’den 380’e indi (yüzde 94).

Suricata’nın en çok işaretlediği imzalar:

Üç yeni imza dikkat çekiyor. .env dosyası arayan istek 29 kaynaktan 1.270 kez geldi; vekil sunucu denemesi (CONNECT) 43 kaynaktan, curl kullanıcı aracısı ise yalnız 7 kaynaktan 3.006 kez. MySQL tarama imzası ilk sekizden düştü: 23 Eylül’de zirvedeki yerini kaybettiğini yazmıştık, şimdi listeden çıktı.

SSH istemci sürümleri:

Go ile yazılmış özel araçlar yine ezici çoğunlukta ve payını artırdı. libssh_0.9.6 ailesinin 6.180 oturumdan sıfıra inmesi, 23 Eylül bülteninde sıraladığımız istemcilerden birinin tamamen sessizleştiğini gösteriyor.

Toplu doğan bloklara ne oldu?

Azaldılar: aynı /24 içinde tek saatte 40 veya daha fazla yeni adresin doğduğu olaylar Temmuz-Ağustos’ta günde ortalama 2,1 iken Eylül’de 0,3’e, Ekim’in ilk 12 gününde 0,33’e indi. Yüzde 85’ten fazla düşüş, Türkiye barındırma tedarikinin Eylül’de sıfırlanmasıyla aynı zamana denk geliyor.

Temmuz-Ağustos olaylarının 64’ü (yüzde 49) iki barındırıcıya ait: ÖNEM Bilişim (AS215238) 46 olay ve 3.011 adres, POYRAZ (AS210574) 18 olay ve 818 adres. İkisi de 23 Eylül bülteninde Eylül’de sıfırlanan sekiz barındırıcının arasındaydı.

Eylül sonundan bu yana kalan toplu doğumlar:

Bu bültenin en keskin ölçümü son satırlar: TUBE-HOSTING bloğunun 192 adresi 105 saniye içinde ilk kez göründü ve 192’sinin de AbuseIPDB puanı sıfırdı; datema 21 blokta 282 adresle ortaya çıktı ve 282’sinin puanı sıfırdı. FOTONTELECOM tek istisna: 155 adresin hepsi puanlıydı.

Türkiye barındırma tedariki bu penceredeki ölçümde de geri dönmedi:

23 Eylül bülteninde sıfırlanan sekiz barındırıcının (SPD-Net, ÖNEM, KEYUBU, POYRAZ, HostLAB, HOSTLAYICI, HostingDünyam ve AS216084) 23 Eylül’den bu yana görülen toplam adresi 1 (HostingDünyam, 10 Ekim). Bu 913 Türkiye etiketli adresin 279’u datema’nın 4 Ekim patlamasından geliyor.

23 Eylül’den bu yana yeni giren adres sayısı 5.475 (günde yaklaşık 278); önceki 19 günde (4-22 Eylül) 6.771 (günde 356). Yeni adreslerin yüzde 48,8’inin kayıtlı AbuseIPDB puanı sıfır.

Önceki bültende NERZEN için verdiğimiz artış neyi ölçüyordu?

Bir alt sınırı ölçüyordu, artışı değil; bunu artık yeniden üretim denemesiyle biliyoruz. 23 Eylül bülteninin sekiz barındırıcı tablosunu aynı yöntemle (Türkiye etiketli adresler, son görülme tarihine göre pencerelere bölünmüş) bugünkü kayıtlardan yeniden ürettik ve en fazla bir adres farkla tuttu. Aynı sayımı NERZEN için tekrarladığımızda 429 ve 1.133 yerine 299 ve 660 çıkıyor; fark, adreslerin 23 Eylül’den sonra yeniden görülüp son görülme tarihlerinin ileri taşınmasından geliyor. Bu yöntemde canlı kalan bir adres yalnız son pencerede görünür, eski pencere eksik sayılır ve artış olmasa da artış çıkar.

Son sütundaki 779 her iki görülme tanımında da kesindir: son görülmesi 23 Eylül’ün sonrasında olan bir adres, pencerede gerçekten görülmüştür. Yeni adres girişi satırı ise hiçbir zaman değişmez. Türkiye payının çöküşü ve sekiz barındırıcının sessizleşmesi yöntemden bağımsız ölçümlerdir: bu adreslerin son görülme tarihi 23 Eylül’den eskidir ve hangi tanım kullanılırsa kullanılsın yeni pencerede görünmezler.

Savunma için ne değişti?

Dört şey.

Kararı ASN numarasına değil prefikse yazın ve prefikslerin origin’ini izleyin. 109.160.32.0/24 örneğinde AS197170’i engelleyen bir kural 30 Eylül’de bloğu bıraktı. Prefiks kuralı çalışmaya devam eder, ama blok yeni bir ASN altında yeni komşularla görünür. Engelleme listesindeki her prefiksin origin ASN’ini günde bir kez ölçmek otuz satırlık bir iştir; betik ve örnek çıktılar Erdem Özyurt’un yazısında verildi.

Kayıtlarda ASN’i iki sütun olarak tutun. İlk görülmedeki ASN ve bugünkü ASN. Tek sütun, bu bültendeki gibi bir bloğu iki aktöre böler. Gözlemimize göre Tellal IoC kayıtlarında ASN, adres yeniden görüldüğünde güncel değerle yenileniyor; tarihsel analizlerde bunu hesaba katıyoruz.

Hız sınırını adres değil /24 bazında uygulayın. Banatsync bloğunda adres başına yaklaşık 500 deneme düşüyor ve bu 31 adrese yayılıyor; adres bazlı eşik bu filoyu görmez, /24 bazlı eşik ilk saatte yakalar.

SSH’ta parola girişini kapatın. delegate ve uploader gibi hizmet hesabı adları 5-12 Ekim’de başarılı girişe dönüştü (727 başarılı girişin 201’i delegate, 67’si uploader, 150 adresten); parola kimlik doğrulaması kapalıysa bu giriş mümkün değildir. Ajan hesaplarının ayrıntılı düzeni için sunucu sertleştirme yazısı geçerli.

Yöntem ve Kapsam

Ham sensör rakamları T-Pot honeypot kümesinin Elasticsearch dizinlerinden, 5 Ekim 00:00 ile 12 Ekim 16:30 UTC arasında sabit bir üst sınırla alındı, böylece ölçüm tekrarlanabilir. Kimlik, ülke ve operatör sayımlarında iç ağ kaynakları (RFC1918) hariç tutuldu ve karşılaştırma rakamları önceki bültende yayımlanan değerlerdir; önceki pencerenin ham verisi retention dışında kaldığı için yeniden ölçülemez. Ülke etiketi GeoIP veritabanından, operatör adı olay kaydındaki AS sahibi alanından gelir.

“Görülen adres” tanımı: 23 Eylül’den bu yana görülen adres sayısı, son görülme tarihi 23 Eylül’ün sonrasında olan adreslerdir ve kesindir. Daha eski bir pencerenin sayısı için IoC tablosunda yalnız ilk ve son görülme bulunduğundan iki sınır verilir: alt sınır, son görülmesi o pencerede olanlar; üst sınır, ilk ve son görülme aralığı pencereyle çakışanlar. BGP origin geçmişi ve yol bilgisi, RIPEstat’ın routing-history ve bgp-state uçlarından 12 Ekim 2026’da okundu. “Toplu doğum olayı”, aynı /24 içinde bir takvim saatinde ilk kez görülen 40 veya daha fazla adres demektir; saat sınırını aşan bir doğum iki olay sayılabilir.

ASN sahibi, trafiği üreten aktörün kendisi olmayabilir; ağın operatörünü gösterir. Bir adresin kiralanmış, ele geçirilmiş ya da müşteriye ait olması mümkündür. Sensör adresleri, yönetim portları ve iç altyapı bilgisi tüm çıktılardan çıkarılmıştır.

Bu bültendeki göstergelerin tam listesi, adres bazlı zenginleştirme ve makine okunur besleme paket aboneliği kapsamındadır: erişim talebi.

Önceki pencereler: 23 Eylül bülteni, 31 Ağustos bülteni, 13 Ağustos bülteni ve Banatsync’in ilk görüldüğü 14 Temmuz bülteni.

SiberKale Tellal · Threat Intelligence · tellal.net