Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT) uzmanları, kripto para cüzdanı pencerelerinin içeriğini yakalama yeteneğine sahip, daha önce bilinmeyen bir kötü amaçlı yazılımın kullanıldığı çok sayıda saldırıyı ortaya çıkardı.

Şirketten yapılan açıklamaya göre, "OkoBot" olarak adlandırılan bu gelişmiş yeni kötü amaçlı yazılım altyapısı, yerel dosyaları toplama, uzaktan komut çalıştırma, izinsiz tarayıcı eklentileri indirme, kripto para cüzdanlarını çalma, kurtarma ifadelerini ve kimlik bilgilerini ele geçirme, video kaydı alma gibi çok çeşitli eylemleri gerçekleştirmek üzere tasarlanmış 20'den fazla zararlı yük ve implanttan oluşuyor.

Kampanyada kullanılan yeni implantlardan biri, kötü amaçlı eklentileri yüklemek ve gizlemek amacıyla tarayıcı belleğini değiştiren bir yükleyici olarak öne çıkıyor. OkoBot ayrıca tuş vuruşlarını ve hedef uygulamanın penceresindeki video akışını kaydedebilen yeni bir "OkoSpyware" modülü içeriyor.

Mevcut veriler, kampanyanın bilinen bir siber suç grubuyla "yüksek kesinlikle" ilişkilendirilmesine henüz olanak tanımamasına rağmen kullanılan teknikler ve bilgi hırsızı yazılımlar, Rusça konuşan tehdit aktörleri tarafından yaygın olarak tercih ediliyor. Teknik analizlerde, kod içerisinde Rusça izlerine de rastlandı. Bugüne kadar 25'ten fazla ülkede yüzlerce kullanıcıyı hedef aldığı belirtilen kampanyadan en fazla etkilenen ülkeler arasında Brezilya, Vietnam, Kanada, Meksika ve Türkiye yer alıyor.

Kampanyanın bulguları, Kaspersky'nin Orta Doğu, Türkiye ve Afrika (META) bölgesine yönelik yıllık Siber Güvenlik Hafta sonu etkinliğinde paylaşıldı. Buna göre, bulaşma süreci, genellikle tehdit aktörlerinin kullanıcıları kandırarak zararlı kod çalıştırmasını sağladığı toplum mühendisliği odaklı ClickFix saldırıları ve meşru yazılım süsü verilerek GitHub üzerinden dağıtılan kötü amaçlı yazılımlarla gerçekleşiyor. Araştırmacılar, inceleme sırasında, yaygın olarak kullanılan veri tabanı yönetim araçlarından biri için hazırlanmış sahte bir yükleyici içeren örneğe de rastladı.

Her cüzdan türü için farklı bir tasarım kullanılıyor

Kötü amaçlı yazılım çerçevesi, etkin sistem süreçlerini izleyen bazı kripto varlıkları yönetmek için kullanılan resmi uygulamalara implant enjekte eden "SeedHunter" adlı bir kötü amaçlı yazılım bileşeni içeriyor. SeedHunter, sisteme bağlı bir Trezor veya Ledger donanım cüzdanı tespit ettiğinde, kancalanmış işlevleri devreye sokarak kullanıcının "seed phrase"ini ele geçirmeyi amaçlayan, önceden kodlanmış bir kimlik avı sayfası görüntülüyor. Her cüzdan türü için farklı bir tasarıma sahip söz konusu sayfalar, kullanıcıların seed phrase'lerini girmesini sağlamak üzere hazır konumda bulunuyor.

Kaspersky uzmanları, doğrulanmamış kaynaklardan gelen kodların çalıştırılmaması, güvenlik yazılımlarının devre dışı bırakılmaması, işletim sistemi ve uygulamalarının güncel tutulması, güçlü ve benzersiz parolalar kullanılması, çok faktörlü kimlik doğrulamanın etkinleştirilmesi ve kurtarma ifadeleri gibi hassas bilgilerin güvenilir parola yöneticilerinde saklanması tavsiyelerinde bulundu.

Açıklamada görüşlerine yer verilen Kaspersky GReAT Rusya ve Bağımsız Devletler Topluluğu (BDT) Birimi Başkanı Dmitry Galov, OkoBot kampanyasının bir yılı aşkın süredir aktif olduğunu belirtti.

Gözlemlenen bulaşma yollarının, yazılım geliştiricilerin ana hedefleri arasında yer aldığını güçlü bir şekilde gösterdiğini vurgulayan Galov, "Özellikle yazılımın aralıksız gelişimi ve altyapısının aktif biçimde güncellenmesi, ciddi bir endişe kaynağı. Yayılma çabalarının devam etmesiyle kampanyanın yakın gelecekte daha fazla kullanıcıya ulaşma ve yeni ülkelere yayılma potansiyeli bulunuyor." değerlendirmesinde bulundu.

Bitcoin ve kripto para yatırımlarınız için Stablex.