Yıllardır “third-party.com”, example.com gibi, belgeleri ve kod örneklerini dolduran uydurma web adreslerinden biriydi. Birisi bu adı kaydetti ve The Hacker News’in 24 Eylül’de Manifold Security’nin araştırmasına dayanarak bildirdiğine göre adres artık Windows ziyaretçilerine bir ClickFix tuzağı sunuyor. Benzer iki yer tutucu adres ise Mac ziyaretçilerine korkutma yazılımı (scareware) ve bir yatırım dolandırıcılığı gösteriyor.
Ne oldu
‘example[.]com’un aksine third-party[.]com IANA tarafından ayrılmış değil. Herkes kaydedebilirdi ve biri kaydetti. Bu adı sabit olarak kullanan her belge, test ve beceri artık okuyucuları saldırganın altyapısına yönlendiriyor.
Ax Sharma, Manifold Security araştırma direktörü, The Hacker News’in aktardığı şekliyle
Manifold’a göre alan adı en az Haziran 2026’dan bu yana tuzağını sunuyor. Windows ziyaretçileri, panolarına sessizce bir komut koyan ve onlara bu komutu yapıştırıp çalıştırmalarını söyleyen sahte bir Cloudflare denetimi görüyor; komut, uzaktaki bir PowerShell yükünü indirip çalıştırıyor. Mac ziyaretçileri ise macOS’un desteklenmediğini söyleyen bir hata alıyor. Bir GitHub araması, alan adını, onu örnek uç nokta olarak gösteren yapay zekâ ajan becerileri ve MCP sunucularının (yapay zekâ asistanlarına araç kazandıran eklentiler) belgeleri dahil 1.700’den fazla herkese açık depoda buluyor. Alan adı artık VirusTotal ve Google Safe Browsing’de güvenli değil olarak işaretleniyor.
Manifold ardından ayrılmış olmayan, yer tutucu tarzında 13 alan adı daha buldu. Bunlardan ikisi, yoursite.com ve your-domain.com, macOS ziyaretçilerine dolandırıcılık gösterirken diğer ziyaretçiler sıradan bir park sayfası görüyor. Güvenlik araştırmacısı Cody Nash’e göre bir Mac tarayıcısında your-domain.com, dört virüs bulunduğunu iddia eden ve sahte bir McAfee yenilemesi satan sahte bir “MacOS Security Center” gösteriyordu; yoursite.com ise bir yatırım planının reklamını yapan sahte bir ZDF haber makalesi gösteriyordu. Bu ikisi yüz binlerce GitHub dosyasında ve yüzlerce ajan becerisinde geçiyor.
Neden önemli, sade bir dille
İnsanlar örnek bağlantıların üzerinden göz gezdirip geçer; kodu denetleyen araçlar da öyle. Manifold’un belirttiği gibi bir dosya taraması, bir web sitesinin ne göndermeye karar verdiğini göremez: sayfa, analiz makinelerinden bakıldığında zararsız görünüyordu ve yalnızca doğru türdeki ziyaretçi için düşmanca bir hâl alıyordu. Artık yapay zekâ ajanları belgeleri okuyup bizim adımıza bağlantıları izlediğine göre, “zararsız” bir yer tutucu, kimsenin güvenmeyi amaçlamadığı bir talimat kaynağına dönüşebilir.
Bu hilenin Mac sürümü genellikle nasıl görünür
Bu vakada Mac ziyaretçileri bir “bu komutu yapıştırın” tuzağı yerine korkutma yazılımıyla karşılaştı, ama komut hilesinin bir Mac biçimi de var ve onu tanımaya değer. Bir sayfa size Terminal’i açmanızı, ardından bir şeyi “düzeltmek”, “doğrulamak” ya da “yüklemek” için tek bir satır yapıştırmanızı söyler. Satır genellikle bilerek okunamaz yapılmıştır: çözülen uzun bir harf ve rakam dizisi ya da bir web adresinden bir betik indirip hemen çalıştıran kısa bir komut.
İşe yaramasının nedeni basit: bir komutu kendiniz yazdığınızda ya da yapıştırdığınızda macOS bunu sizin kararınız olarak kabul eder. Gatekeeper açtığınız uygulamaları denetler, Terminal’de çalıştırdığınız her satırı değil. Hiçbir meşru web sitesi, destek sayfası ya da güvenlik denetimi, görüntülenmek için Terminal’e bir komut yapıştırmanızı gerektirmez. Biri bunu isterse, o istek uyarı işaretinin kendisidir.
Ne yapmalı
- Bir web sayfasının panonuza koyduğu bir komutu, neyi düzelttiğini iddia ederse etsin, asla yapıştırmayın. ClickFix hilesinin tamamı bu; Windows’ta da Mac’te de.
- Mac’inizde virüs olduğunu söyleyip size koruma satmayı teklif eden bir sayfa dolandırıcılıktır. Sekmeyi kapatın.
- Belge, test ya da ajan becerisi yazıyorsanız ayrılmış example.com, example.org veya example.net adlarını kullanın ve yourcompany.com ya da your-api.com gibi akla yatkın görünen adreslerin herkes tarafından kaydedilebileceğini unutmayın.
- Yapay zekâ ajanları ya da MCP sunucuları çalıştırıyorsanız, yükledikleri beceri ve belgelerdeki bağlantıları denetleyin.
FireAI’ın yeri ve yeri olmadığı yer
- FireAI, yapay zekâ asistanları ve başlattıkları yerel araç sunucuları dahil her uygulamanın yaptığı her bağlantıyı dünya haritasında gösterir. Hiç duymadığınız bir alan adına ulaşan bir ajan görünür olur ve bunu hangi uygulamanın yaptığını görebilirsiniz.
- Bir alan adını tek bir uygulama ya da tüm uygulamalar için engelleyebilirsiniz; böylece kötü olduğu bilinen bir yer tutucu Mac’inizden ulaşılamaz kalır.
- Yeni uygulamalar ve komut satırı araçları ilk bağlantılarından önce sorar; Çok temkinli modda Apple’ın kendi araçlarının, yani yapıştırılan bir komutun bir yük indirmek için kullanacağı araçların bile onaylanması gerekir.
- Clipboard Armor, bir uygulamanın panonuz değiştikten saniyeler sonra gerçekleşen ilk bağlantısını işaretler; panoyu zehirleyen bir sayfanın ürettiği zamanlama budur.
FireAI’ın yapmadığı şey: web sayfalarını okumaz ya da bir sitenin size gösterdiğini değerlendirmez; bu yüzden tarayıcınızın içindeki sahte bir güvenlik uyarısını fark etmez. O kısım size düşüyor ve artık ele veren işareti biliyorsunuz. FireAI’ı indirin ve 17 gün ücretsiz deneyin. FireAI, HisnLabs tarafından geliştirilmiştir.