Kripto para birimi hırsızlığı yapan bir kötü amaçlı yazılım kampanyası, kendi popülaritesini taklit ederek, bubi tuzaklı "araçları" sahte GitHub yıldızlarıyla, şişirilmiş indirme sayılarıyla ve yapay zeka destekli YouTube eğitimleriyle süsleyerek yayılıyor.
Check Point Research'ün yeni analizi, operasyonun hem Windows hem de macOS için oluşturulmuş, kopyalanan kripto cüzdan adreslerini saldırganın kendi cüzdanıyla değiştiren bir "kırpıcı" olan Rust tabanlı bir pano korsanına kadar izini sürdü.
Yemler, kolay para vaat eden "son teknoloji" araçlar, kripto keskin nişancı botları ve kısayolların peşinde koşan tüccarları ve kumarbazları hedef alan, kazayla oynanan kumar oyunlarını tahmin ettiğini iddia eden "tahminciler"dir. Bir WordPress kimlik avı sayfası, kurbanları indirmelere yönlendiren bir merkez görevi görür.
Kampanya, meşru görünmek için gösterdiği çabayla öne çıkıyor. Check Point, aktörün çeşitli platformlarda sosyal kanıt üretmek için sahte hesaplardan oluşan "Hayalet Ağlar"dan yararlandığını söyledi:
Teknik Analiz
Sahte yıldızlar ve çatallarla doldurulmuş depolara sahip altı veya daha fazla GitHub hesabı
SourceForge projeleri, Android sürümü olmamasına rağmen çoğu Android cihazlardan olmak üzere 44.485 indirmeyi gösteriyor
Yapay zeka tarafından oluşturulan anlatıcıları, sahte izlenme artışlarını ve koordineli övgüleri kullanan bir YouTube kanalı
Uzmanların Görüşleri
Yerleştirilen "güvenli" oy ve yorumları taşıyan VirusTotal girişleri
VirusTotal hilesi en yeni yöntemlerden biridir. Check Point, düşük antivirüs algılama oranlarıyla birlikte yerleştirilen "güvenli" oyların itibara dayalı savunmaları dosyaları temizleme konusunda kandırabileceği konusunda uyardı.
Aktör, meşru haber sitelerinde, bazıları muhtemelen ücretli, diğerleri ise güvenliği ihlal edilmiş olabilecek yayın organlarında tanıtım gönderileri bile yayınladı.
Detaylar ve Etkileri
Pano korsanları hakkında daha fazlasını okuyun: Yeni SilabRAT Truva Atı, Kripto Çalmak İçin Oturumları Ele Geçiriyor
Sistem Güvenliği
Kötü Amaçlı Yazılım Ne Yapar?
Kötü amaçlı yazılımın kendisi basittir. Bir kurban sahte aracı çalıştırdığında yükleyici, kalıcılık için kendini kopyalayan ve başlangıçta çalışan Rust kesme aracını çalıştırıyor.
Sonuç ve Değerlendirme
Buradan, kripto cüzdan adresine benzeyen herhangi bir şey için panoyu izliyor ve bir tane tespit ettiğinde bunu sessizce, çoğu Bitcoin olmak üzere 15.500'den fazla adresin gömülü listesinden alınan bir saldırgan cüzdanıyla değiştiriyor.
MacOS'ta bu yapı, sosyal mühendislik açısından bir değişiklik katıyor: kullanıcılara Apple'ın karantina bayrağını kaldırma ve imzasız uygulamayı çalıştırmak için Gatekeeper'ı atlama konusunda yol gösteren paketlenmiş bir "kilidini açma" komut dosyası.
Önemli Gelişmeler
Her iki sürüm de kalıcılık için çabalıyor ve macOS sürümü, kendisini yeniden yazan ve manuel olarak kaldırılmaya devam etmek için ikili dosyayı klonlayan 30 saniyelik bir gözlemci çalıştırıyor.
Check Point, vakayı saldırganların güven oluşturma biçiminde bir değişiklik olarak çerçeveledi. Aktör, kötü amaçlı yazılımı gizlemek yerine onu olumlu sinyallerle çevreliyor, böylece kurban dosyayı çalıştırdığında normal bir uygulama gibi hissediyor.
Firma, "Bu teknikler, bilgi hırsızlarını veya diğer kötü amaçlı yazılım ailelerini dağıtan ve teşvik eden diğer türdeki aktörler tarafından da suistimal edilebilir, bu da sonuçta daha olgun ortamlarda tam fidye yazılımı risklerine yol açabilir" diye uyardı.
"Başka bir deyişle, aynı sahte itibar ve geniş tanıtım taktikleri, zaman içinde daha fazla zarar veren yükler sağlamak için yeniden kullanılabilir."
