Bu saldırıda kullanılan ClickFix hack yöntemi ile yapılan en büyük saldırı Berlin şehir yönetimine (Senat) yönelik Rhysida ransomware grubunun 2026 Ağustos saldırısı, şimdiye kadar bilinen en büyük ve en etkili ClickFix vakası Berlin tarihinin en büyük siber saldırısı olarak nitelendiriliyor. Yaklaşık 5,8 TB veri çalındı .Dark web’de yaklaşık 1,44 milyon dosya yayınlandı. Fidye talebi: 30 Bitcoin (Yaklaşık 2,3 milyon dolar). Berlin ödemeyi reddetti “Devlet şantaja boyun eğmez” açıklaması yapıldı ve veriler 4 Eylül 2026’da yayınlandı. Sonradan ek paketler de çıktı. Veriler hala inceleniyor. Potansiyel kimlik hırsızlığı, dolandırıcılık ve güvenlik riskleri devam ediyor. Berlin’de kriz birimleri kuruldu, etkilenen vatandaşlara ve çalışanlara bildirim yapılıyor.Çalınan veriler arasında:Personel dosyaları, maaş bordroları, kimlik taramaları, disiplin işlemleri, sözleşmeler (46.500’den fazla iddia edildi) , E-postalar, telefon numaraları, bazı düz metin şifreler , kritik altyapı bilgileri (su şebekesi zafiyet analizleri, acil durum planları, enerji/tesis bilgileri) , güvenlik açısından hassas belgeler Saldırı Nasıl oldu ; 1- Senato çevre idaresindeki bir çalışan phishing e-postasındaki bağlantıya tıkladı. Sayfa sahte Cloudflare “insan olduğunuzu doğrulayın” CAPTCHA’sı gösterdi. 2- Sayfadaki JavaScript, kullanıcının haberi olmadan kötü amaçlı komutu panoya kopyaladı. Kullanıcıya şu talimatlar verildi:"Win + X tuşlarına bas "aşağıda ekran görüntüsü gibi 3- PowerShell komutu arka planda ilk aşama zararlı yazılımı indirdi. 4- LoremIpsumLoader (AxolotLoader olarak da biliniyor) kullanıldı — Rhysida ile ilişkilendirilen loader. 5- Ek payload’lar PNG görsellerine steganografi ile gizlenerek indirildi. 6- Kayıt defteri (registry) anahtarlarıyla kalıcılık sağlandı. Bunlar hep ilk indirmeden sonra otomatik yapıldı 7- SOCKS proxy kuruldu → saldırganlar kurumsal ağa tünel açtı. 8- 7-12 Ağustos 2026 arasında veri dışarı aktarıldı (saldırı daha önce başlamıştı). 9- Saldırı uzun süre fark edilmedi çünkü izleme ve loglama yetersizdi. Tek bir çalışanın “CAPTCHA’yı çözeyim” diye komutu yapıştırması tüm zinciri başlattı. Bu olay, ClickFix’in artık sadece bireysel değil, devlet kurumlarını hedefleyen ransomware grupları tarafından da kullanıldığını gösteriyor. Benzer teknikler HBO Max Reddit hesabı ele geçirme, Brevo pazarlama platformu üzerinden 100.000+ siteye yayılma ve 5.400+ WordPress sitesinin blockchain üzerinden payload sunması gibi kampanyalarda da görüldü, ancak Berlin vakası etki büyüklüğü açısından öne çıkıyor. @utkusen youtube.com/watch?v=keD6przL…

@CryptoKemal olayına bir web güvenlikçisi gözüyle baktığımda tablo şu: Bu ClickFix yöntemiyle gerçekleşmiş bir PK çalınma olayı ÖZETİ : Sahte CAPTCHA JavaScript ile komutu panoya koyuyor; kullanıcı Win+R ve Ctrl+V yaptıktan sonra zararlı kodu kendi eliyle çalıştırıyor. Saldırı zinciri şöyle işler: 1️⃣ Kullanıcıya gerçek Cloudflare doğrulamasını taklit eden sahte bir “I’m not a robot” sayfası gösteriliyor. 2️⃣ Sayfadaki JavaScript, panoya PowerShell veya benzeri bir Windows komutu yerleştiriyor. 3️⃣ Kullanıcıdan doğrulama bahanesiyle Win+R → Ctrl+V → Enter yapması isteniyor. 4️⃣ Kullanıcı bu komutu çalıştırdığında tarayıcıdaki site doğrudan bilgisayarı hacklemiyor; kullanıcı, Windows’un meşru mshta.exe/PowerShell bileşenine uzaktaki zararlı HTA, JS veya VBS loader’ını çalıştırma yetkisi vermiş oluyor. 5️⃣ İndirilen ikinci aşama payload bir infostealer/RAT ise browser cookie’lerini, aktif session’ları, password manager verilerini, local storage kayıtlarını, wallet extension vault’larını veya Fomo hesap oturumunu hedefleyebilir. Burada hedef Cüzdan PK si Fomo destek kayıtlarında Solana ve Base wallet’larının kısa aralıklarla “export” edilmiş görünmesi de bu senaryoyla teknik olarak uyumlu. Saldırgan Fomo session’ını veya hesabı ele geçirdiyse wallet export fonksiyonunu kullanarak private key’e ulaşmış olabilir. Buradaki kritik nokta şu: Passkey, 2FA ; private key bir kez dışarı aktarıldıysa artık koruma sağlamaz. 31.944 NST düşük aktif likiditeyi süpürerek 286SOL’a çevriliyor. Burada %28 e yakın bir kayma gerçekleşiyor (31.944 NST’nin işlem öncesi aktif NST rezervinin yaklaşık %39 büyüklüğünde ) Ortalama kayıp %28 iken son fiyatın yaklaşık %49 düşebilmesinin nedeni, bütün NST’lerin son fiyattan satılmamasıdır: Emir havuz eğrisini adım adım aşağı süpürür. Bu tür bir satış tam bir saldırgan / hacker satışı çünkü ; Saldırgan açısından amaç en iyi fiyatı almak değil, çaldığı varlığı mümkün olduğunca hızlı şekilde SOL’a çevirmek olduğu için yüksek slippage kullanmış veya havuzdaki fiyat etkisini önemsememiş Kemal’in anlattığı saldırı yöntemi son dönemlerde hackerların en çok kullandığı komplike bir yöntem 2026’da aktif biçimde kullanılan, medya ve güvenlik şirketlerince belgelenmiş ClickFix saldırı modeliyle tam uyumlu. Aşağıdaki ekran görüntüsü gibi bir ekran geldi muhtemelen Kemal a , Win+R ye basınca boooom , buna çok dikkat edin arkadaşlar