Siber güvenlik araştırmacıları, Hugging Face platformunda en çok indirilen depolar arasında yer alan bir repoda gizlenmiş kötü amaçlı yazılım keşfetti. HiddenLayer tarafından 7 Mayıs'ta tespit edilen 'Open-OSS/privacy-filter' isimli depo, OpenAI'ın meşru Privacy Filter sürümünün adını taklit ediyordu (typosquatting). Repo, 18 saat içinde 244 binden fazla indirme ve 667 beğeni alarak trend listesinde üst sıralara çıktı; ancak bu rakamların yapay olarak şişirildiği belirtiliyor.
Saldırı zinciri altı aşamadan oluşuyor. Kullanıcılar kötü amaçlı depoya yönlendiriliyor ve repoyu klonlayıp 'start.bat' (Windows) veya 'python loader.py' (Linux/macOS) dosyasını çalıştırmaları isteniyor. Python betiği, base64 ile kodlanmış bir string içeriyor ve bu string, Rust tabanlı bir infostealer'ı (bilgi çalıcı) indirip çalıştırıyor.
Infostealer, tespit edilmemek için çok katmanlı teknikler kullanıyor. Windows API'lerini gizleyerek statik analizi atlatıyor, debugger ve sanal makine (VirtualBox, VMware, QEMU, Xen) tespiti yapıyor, ayrıca Windows Antimalware Scan Interface (AMSI) ve Event Tracing for Windows (ETW) özelliklerini devre dışı bırakarak davranışsal tespiti engelliyor.
Kötü amaçlı yazılım, tarayıcı şifreleri ve oturum çerezleri, Discord token'ları, kripto para cüzdanları, Telegram oturumları ve daha birçok hassas bilgiyi hedef alıyor. HiddenLayer, repoyu klonlayıp dosyaları çalıştıran kullanıcıların sistemlerini tamamen ele geçirilmiş kabul etmeleri gerektiğini vurguluyor.
Uzmanlar, etkilenen sistemlerin izole edilmesini ve tüm tarayıcı şifreleri, oturum çerezleri, OAuth token'ları, SSH anahtarları, FTP kimlik bilgileri (özellikle FileZilla) ve bulut sağlayıcı token'larının döndürülmesini öneriyor. Ayrıca, çalınan oturum çerezleri çok faktörlü kimlik doğrulamayı (MFA) aşabildiğinden, şifre kaydedilmemiş olsa bile tarayıcı oturumlarının güvenliği ihlal edilmiş sayılmalı.
Kripto para cüzdanları için temiz bir cihazda yeni cüzdan oluşturulması ve fonların taşınması, Discord oturumlarının geçersiz kılınıp şifrelerin sıfırlanması, raporlanan IOC'lerin engellenmesi ve geçmiş bağlantıların taranması da alınması gereken diğer önlemler arasında. Infostealer'lar, siber suç ekonomisini beslemeye devam ediyor; geçtiğimiz ay KELA verileri, 3.9 milyon enfekte cihazdan en az 347 milyon kimlik bilgisinin çalındığını ortaya koydu.
Kaynak: infosecurity-magazine.com
