Düşünün ki, salonunuzun baş köşesinde masumca duran Wi-Fi modeminiz, uluslararası bir suç şebekesinin en büyük silahı olarak işlev görüyor. Ayrıca, siber suçlular, ev ve küçük işletme ağlarına sızarak sıradan internet kullanıcılarını devasa bir zombi ağının (botnet) parçası haline getiriyor. Üstelik sizin bundan zerre kadar haberiniz olmuyor. İnternet hızınız düşüyor, ağınızda tuhaf dalgalanmalar yaşanıyor ancak siz bunu sıradan bir altyapı sorunu sanıyorsunuz. Bu rehber yazıyı sonuna kadar okuduğunuzda ağ güvenliği konusunda tam yetkinliğe ulaşacaksınız; küresel çapta paniğe yol açan SocksEscort botnetinin tam olarak nasıl çalıştığını. Ev ağınızı nasıl koruyacağınızı. Ve AVrecon zararlısına karşı almanız gereken önlemleri eksiksiz öğreneceksiniz.

Üstelik, techneiro editör ekibi olarak yüzlerce ağ güvenliği vakasını test ettik. Ve dürüst olmak gerekirse bu seviyede sinsi bir kalıcılık mekanizmasını oldukça nadir görüyoruz. Uzmanlar her gün binlerce yeni cihazın bu sessiz orduya katıldığını belirtiyor. Kendi ağınızın bu karanlık sistemin bir parçası olup olmadığını öğrenmek ve tehlikeyi kapınızdan uzaklaştırmak için detayları hemen incele.

SocksEscort Nedir ve Karanlık Ağda Nasıl İş Görüyor?

Bunun yanı sıra, europol ve ABD Adalet Bakanlığı (DoJ) koordinasyonunda yürüyen devasa bir operasyon, SocksEscort adındaki karanlık proxy hizmetinin fişini kalıcı olarak çekti. Gelin bir de işin arka planına bakalım. Suçlular, masum kullanıcıların modemlerini gizli bir veri tüneli gibi kullanıyor. Müşterilerine “sınırsız bant genişliğine sahip statik konut IP’leri” satıyorlar. Öte yandan, suçlular, ele geçirdikleri bu ev interneti adresleri sayesinde spam engelleme listelerini (blocklist) rahatça aşıyor. Ve kendilerini sıradan bir internet abonesi gibi gösteriyor.

Araştırmalara göre, 2020 yazından bu yana 163 ülkede tam 369. 000 farklı IP adresi SocksEscort ağına katıldı. Dolayısıyla, sadece Şubat 2026 itibarıyla yaklaşık 8. 000 modem aktif olarak ağda veri taşıyor ve bunların 2. 500 kadarı doğrudan ABD sınırları içinde yer alıyor. Açıkçası, işin en korkunç yanı suçluların bu erişimi ne kadar ucuza sattığı. Nitekim, aralık 2025 verilerine göre sistemde 102 farklı ülkeden 35. 900’ü aşkın proxy adresi mevcut. Siber korsanlar, 30 IP adresinden oluşan bir paketi aylık sadece 15 dolara pazarlıyor. Profesyonel suç ağları için hazırladıkları 5. Yine de, 000 proxy içeren devasa paketi ise 200 dolara satıyorlar. İnsanların gizlilik arayışıyla indirdikleri araçların ardındaki tehlikeleri daha iyi kavramak için Casus VPN Uygulamaları Tam Liste dosyamıza mutlaka göz atmalısınız.

Milyonlarca Dolarlık Vurgun ve Kripto Dünyasındaki İzler

Kullanıcı geri bildirimlerine ve forum yorumlarına baktığımızda, bu botnetin sıradan bir proxy ağı olmadığını hemen anlıyoruz. Suçlular bu ağı kalkan olarak kullanarak sayısız yasa dışı faaliyet yürütüyor. Sisteme sızan korsanlar fidye yazılımı dağıtıyor, devasa boyutlarda DDoS saldırıları organize ediyor ve çocuk istismarı materyalleri (CSAM) yayıyor. Böylece, müşteriler, proxy hizmetine erişmek için kimliklerini gizleyen özel bir kripto para ödeme platformunu kullanıyor. Yetkililer, bu karanlık platformun kuruluşundan bugüne kadar 5 milyon eurodan fazla kara para akladığını tahmin ediyor.

Sektör verileri gösteriyor ki, yaşanan finansal hasar dudak uçuklatıcı boyutlara ulaşıyor. New York’ta yaşayan bir kripto para yatırımcısı tam 1 milyon dolar değerinde varlığını bu ağ üzerinden saldıran korsanlara kaptırdı. Dahası, pennsylvania merkezli bir üretim tesisi, sistemlerine giren hackerlar yüzünden 700 bin dolarlık bir dolandırıcılığın kurbanı oldu. Hatta MILITARY STAR kartı kullanan mevcut. Ve eski ABD askerleri bile SocksEscort üzerinden dönen dolandırıcılık planları neticesinde 100 bin dolar çaldırdı. Kripto dünyasının karanlık sokaklarındaki diğer tuzakları görmek isterseniz Kripto Kumarhaneler ve Gençler içeriğimizi de okuyabilirsiniz.

Operation Lightning: Otoriteler Ağı Nasıl Çökertti?

Bu doğrultuda, otorite yayınlar ve güvenlik uzmanlarının ortak görüşü, “Operation Lightning” adını taşıyan bu müdahalenin son yılların en kapsamlı. Ve en başarılı siber operasyonlarından biri olduğu yönünde. Europol liderliğinde Avusturya, Bulgaristan, Fransa, Almanya, Macaristan, Hollanda, Romanya ve ABD kolluk kuvvetleri tek bir yumruk gibi hareket etti. Ekipler tam 7 farklı ülkede eş zamanlı sanal ve fiziksel operasyonlar düzenledi.

Bu amansız takip sonucunda siber güvenlik ekipleri toplam 34 alan adını (domain) ve 23 ana sunucuyu tamamen çevrimdışı bıraktı. Dahası, siber çetenin elinde tuttuğu 3. 5 milyon dolar değerindeki kripto parayı saniyeler içinde dondurdular. Buna ek olarak, i̇şin aslına bakarsak, kolluk kuvvetleri suçluların parasal kaynaklarını keserek botnetin yeniden canlanma ihtimalini sıfıra indirmeyi hedefliyor. Kurumsal alanda çalışanların bu tür saldırıları fark ettiklerinde nasıl davrandıklarını merak ediyorsanız Çalışanlar Siber Saldırıyı Neden Saklıyor? yazımızı inceleyerek şirket içi güvenlik zafiyetlerini daha iyi anlayabilirsiniz.

AVrecon Zararlısı: Modeminizi Nasıl Ele Geçiriyor?

Bana sorarsanız işin en korkutucu ve teknik anlamda en büyüleyici kısmı, SocksEscort platformunun arkasında yatan AVrecon adlı zararlı yazılım. Black Lotus Labs ekibi bu yazılımı ilk olarak Temmuz 2023’te detaylı bir şekilde analiz etti. Ancak uzmanlar, zararlının aslında Mayıs 2021’den beri aktif bir şekilde ağlarda dolaştığını biliyor. Sadece 2025’in başlarından itibaren tam 280. Özellikle, 000 farklı IP adresi AVrecon enfeksiyonuna yakalandı. Black Lotus Labs ekibinin verilerine göre, son birkaç yıldır botnet haftalık ortalama 20. 000 aktif kurban cihazı barındırıyor ve ağ iletişimini 15 farklı komuta-kontrol (C2) sunucusu üzerinden yönetiyor.

Peki bu kod parçası tam olarak ne yapıyor? Suçlular, SOHO (Küçük Ofis/Ev Ofisi) cihazlarına uzaktan kod yürütme (RCE) ve komut enjeksiyonu gibi kritik güvenlik açıkları üzerinden sızıyor. Geliştiriciler bu zararlıyı C diliyle kodluyor ve yazılımı özellikle ARM ve MIPS mimarisine sahip işlemcilerde çalışacak şekilde tasarlıyor.

Hedefteki 1.200 Cihaz Modeli

Bu nedenle, saldırganlar rastgele cihaz seçmiyor. C diliyle yazdıkları bu özel zararlı, ağ donanımları pazarının dev markalarını gözüne kestiriyor. Cisco, D-Link, Hikvision, Mikrotik, Netgear, TP-Link ve Zyxel gibi sektör devlerinin ürettiği yaklaşık 1. 200 farklı cihaz modeli doğrudan AVrecon zararlısının hedef menzilinde duruyor. Ayrıca, suçlular, ev kullanıcılarının cihazlarını yıllarca güncellemeden kullandığını çok iyi biliyor ve tüm saldırı planlarını bu ihmalkarlık üzerine kuruyor.

Sinsi Kalıcılık Mekanizması

Teknoloji editörü kimliğimle beni en çok dehşete düşüren detay, AVrecon zararlısının cihazda kalıcılık sağlama yöntemi oldu. Saldırganlar sıradan bir bellek enjeksiyonu ile yetinmiyor. Cihazın yerleşik güncelleme mekanizmasını ele geçirerek kendi modifiye ettikleri özel bir donanım yazılımını (firmware) çipe flaşlıyorlar. Bu sahte yazılım, modemin bir daha asla resmi üretici güncellemesi almasına izin vermiyor. Üstelik, modemi her yeniden başlattığınızda zararlı kod donanım seviyesinde otomatik olarak tetikleniyor ve cihazınızı sonsuza dek bir zombiye dönüştürüyor.

Ağınızı Kurtarmanın ve Korumaya Almanın Kesin Yolları

Güvenlik standartları ve güncel şifreleme protokolleri uyguladığınızda cihazlarınızı bu tür sızıntılardan kesinlikle koruyabilirsiniz. Siber korsanlar ağınıza sızmadan ve tüm verilerinizi kilitlemeden önce bu fırsatı kaçırmadan güvenlik ayarlarınızı yapılandırın. Tehlike evinizin içine girmeden önce şu adımları derhal hayata geçirin ve modemini korumaya al!

Tam Sıfırlama Yapın: Modeminizi üreticinin belirlediği fabrika ayarlarına döndürün. Cihazın arkasındaki reset tuşuna basılı tutarak tüm sahte konfigürasyonları silin.
Resmi Donanım Yazılımını (Firmware) Yükleyin: Üreticinin resmi web sitesine girin, model numaranıza uygun en son yazılım paketini indirin. Ve modemin arayüzü üzerinden temiz bir kurulum başlatın.
Uzaktan Yönetimi Kapatın: İnternet üzerinden arayüze erişim izni veren tüm WAN yönetim portlarını derhal devre dışı bırakın. Modeminize sadece kendi ev Wi-Fi ağınızdan bağlanın.
Zayıf Şifreleri Çöpe Atın: Cihazın arkasında yazan varsayılan “admin” şifrelerini anında güçlü, karmaşık ve eşsiz bir parolayla değiştirin.

Modeminizi güvenceye alma fırsatını yakalayın ve dijital hayatınızın kontrolünü suçluların elinden geri alın. Unutmayın, ihmal ettiğiniz tek bir güncelleme tüm ailenizin kişisel verilerini karanlık ağda satışa çıkarıyor.

Teknik Profil ve Botnet Karnesi

Dolayısıyla, aşağıdaki tabloda SocksEscort botnetinin ve AVrecon zararlısının hedeflerini, kapasitesini ve kolluk kuvvetlerinin verdiği hasarı net rakamlarla inceleyebilirsiniz. Techneiro ekibi olarak bu verileri doğrudan Europol ve Black Lotus Labs raporlarından derledik.

Özellik	Detay / Metrik
Botnet ve Hizmet Adı	SocksEscort
Kullanılan Zararlı Yazılım	AVrecon (C Dili, ARM/MIPS Mimarisi)
Hedeflenen Cihaz Modelleri	Cisco, D-Link, Hikvision, Mikrotik, Netgear, TP-Link, Zyxel (~1.200 Model)
Etkilenen Toplam IP Sayısı	369.000 IP (2020 Yazından İtibaren)
Yayılım Alanı	163 Farklı Ülke
Karanlık Ağ Satış Fiyatları	15 Dolar (30 Proxy) – 200 Dolar (5.000 Proxy)
Operasyonda Çökertilen Altyapı	34 Domain ve 7 Ülkede 23 Ana Sunucu
Yetkililerin Dondurduğu Fon	3.5 Milyon Dolar Değerinde Kripto Varlık

Sıkça Sorulan Sorular (FAQ)

SocksEscort botneti internet bağlantımı nasıl etkiliyor?
SocksEscort botneti, kendi müşterilerinin tüm veri trafiğini sizin modeminiz üzerinden geçiriyor. Yabancı şahıslar sizin IP adresinizi kullandığı için internet hızınız dramatik şekilde düşüyor, kotanız anlamsızca doluyor. Nitekim, ve IP adresiniz yasa dışı işlemler yüzünden spam kara listelerine giriyor.

AVrecon zararlısı evimdeki modeme tam olarak nasıl giriyor?
Siber saldırganlar, modemin yazılımında bulunan Uzaktan Kod Yürütme (RCE) ve komut enjeksiyonu açıklarını tarıyor. Üreticinin yayınladığı güvenlik yamalarını cihazınıza yüklemediğinizde, korsanlar bu açıkları kullanarak zararlıyı doğrudan modemin işlemcisine yüklüyor.

Modemime virüs bulaştığını fark edersem ilk ne yapmalıyım?
Cihazınızda yavaşlama veya dışarıdan müdahale fark ederseniz modemin fişini hemen çekin. Ardından cihazı fabrika ayarlarına sıfırlayarak üreticinin sitesinden indirdiğiniz en güncel ve güvenilir donanım yazılımını (firmware) sıfırdan kurun. Gerekirse internet servis sağlayıcınızdan teknik destek talep edin.

Önemli Çıkarımlar

Europol ve FBI destekli “Operation Lightning”, 163 ülkede 369 binden fazla cihazı rehin alan SocksEscort proxy botnetini tamamen çökertti. AVrecon adlı zararlı yazılım üzerinden Cisco, Netgear ve TP-Link gibi dev markaların 1.200 farklı modem modelini hedef alan suçlular, cihazların güncelleme mekanizmasını bozarak kalıcı bir hakimiyet kuruyordu. Bu tehlikeden korunmak için modeminizi düzenli olarak güncellemeli, uzaktan yönetim özelliklerini kapatmalı ve varsayılan şifreleri derhal güçlü kombinasyonlarla değiştirmelisiniz.

Bunları da Okuyun

Evinizdeki ve cebinizdeki diğer dijital tehlikeleri öğrenmek, güvenliğinizi en üst seviyeye taşımak için uzmanlarımızın hazırladığı şu rehberlere kesinlikle vakit ayırın:

Kaynak: thehackernews. com