Satacom’un Son Kampanyası, Kripto Para Çalan Tarayıcı Uzantısını Yayıyor

Chrome, Brave ve Opera tarayıcıları için hazırlanmış berbat maksatlı bir uzantı, Kaspersky tarafından keşfedilen yeni Satacom kampanyasının bir modülü olarak bulaştığı sistemlerden kripto para çalmak için kullanılıyor. Nisan Mayıs aylarında yaklaşık 30 bin kullanıcı bu uzantı tarafından maksat alınma riskiyle karşı karşıya kaldı. Saldırganlar, kullanıcıların Coinbase ve Binance dahil olmak üzere hedeflenen kripto para borsalarının web sitelerinde gezinirken uzantının tespit edilmemesini sağlayacak bir dizi tedbir de aldı. Uzantı, tehdit aktörlerinin kelam konusu web siteleri tarafından bireylere gönderilen süreç bildirimlerini gizleyerek gizlice kripto paralarını çalmalarını sağlıyor. Kampanyayla ilgili detaylı bir rapor Securelist web sitesinde paylaşıldı.

Yeni kampanyanın 2019'dan beri faal olan ve çoğunlukla üçüncü parti web sitelerine yerleştirilmiş makus gayeli reklamlar aracılığıyla sunulan ünlü berbat gayeli yazılım ailesi Satacom Downloader ile irtibatı olduğu belirtiliyor. Bu gayeyle kurgulanan irtibatlar yahut reklamlar, kullanıcıları Satacom Downloader içeren bir arşiv belgesini indirmeyi teklif eden uydurma evrak paylaşım hizmetlerine ve öbür berbat gayeli sayfalara yönlendiriyor. Bu son kampanyada, indirilen şey makus maksatlı tarayıcı uzantısı oluyor. 

Son kampanya, kripto paraları çalan ve faaliyetlerini gizleyen bir tarayıcı uzantısı yüklüyor

Kampanyanın öncelikli hedefi, hedeflenen kripto para borsası web sitelerine yönelik web enjeksiyonları gerçekleştirerek kurbanların hesaplarından Bitcoin (BTC) çalmak. Bununla birlikte berbat maksatlı yazılım öbür kripto para ünitelerini gaye alacak biçimde kolaylıkla değiştirilebiliyor. Yazılım, Chrome, Brave ve Opera üzere Chromium tabanlı tarayıcılara bir uzantı yükleyerek dünya genelinde kripto para yatırımcısı olan ferdi kullanıcıları hedeflemeye ve gayesine ulaşmaya çalışıyor. Kaspersky telemetri dataları, Nisan ve Mayıs aylarında yaklaşık 30 bin kişinin kampanya tarafından gaye alınma riski altında olduğunu ortaya koydu. Son iki ayda bu tehditten en çok etkilenen ülkeler Brezilya, Meksika, Cezayir, Türkiye, Hindistan, Vietnam ve Endonezya oldu.

Saldırıya uğrayan kullanıcı sayısına nazaran başta gelen ülkeler, Nisan-Mayıs 2023

Kötü emelli uzantı, kullanıcı hedeflenen kripto para ünitesi web sitelerinde gezinirken tarayıcı manipülasyonları gerçekleştiriyor. Kampanya Coinbase, Bybit, Kucoin, Huobi ve Binance kullanıcılarını amaç alıyor. Uzantı kripto para çalmanın yanı sıra birincil faaliyetini gizlemek için ek aksiyonlar gerçekleştiriyor. Örneğin, süreçlerin e-posta onaylarını gizliyor ve kripto para web sitelerinden gelen mevcut e-posta dizilerini değiştirerek gerçek olanlara benzeyen geçersiz diziler oluşturuyor.

PowerShell betiği gözlemlendi

Bu kampanyada tehdit aktörleri teslimat için Satacom indiricisini kullandıklarından, resmi uzantı mağazalarına gizlice girmenin yollarını bulmaya gereksinim duymuyor. Birinci bulaşma, kullanıcının indirmek istediği yazılımları (genellikle kırılmış sürümlerini) fiyatsız olarak indirmesine müsaade veren yazılım portallarını taklit eden bir web sitesinden indirilen ZIP arşiv evrakı ile başlıyor. Satacom ekseriyetle kişinin makinesine çeşitli ikili evraklar indiriyor. Kaspersky araştırmacıları, son kampanyada bunlar ortasında ziyanlı tarayıcı uzantısının kurulumunu gerçekleştiren bir PowerShell betiği gözlemledi.

Sonrasında bir dizi makus niyetli hareket, kullanıcı internette gezinirken uzantının gizlice çalışmasını sağlıyor. Sonuç olarak tehdit aktörleri web enjeksiyonlarını kullanarak Bitcoin’i kurbanın cüzdanından kendi cüzdanlarına aktarabilir hale geliyor.

Kaspersky Makûs Emelli Yazılım Analisti Haim Zigel, şunları söylüyor: "Siber hatalılar, uzantıyı komut evrakı değişiklikleri yoluyla denetim etme yeteneği ekleyerek geliştirdiler. Bu, öbür kripto para ünitelerini de basitçe hedeflemeye başlayabilecekleri manasına geliyor. Üstelik uzantı tarayıcı tabanlı olduğu için Windows, Linux ve macOS platformlarını maksat alabiliyor. Tedbir olarak, kullanıcıların çevrimiçi hesaplarını rastgele bir kuşkulu aktifliğe karşı tertipli olarak denetim etmelerini ve kendilerini bu üzere tehditlerden korumak için emniyetli güvenlik tahlilleri kullanmalarını öneriyoruz."

Kötü emelli yazılımın detaylı teknik analizini Securelist adresinde bulabilirsiniz.

Kaspersky uzmanları, kripto para ünitelerini çaldırmadan inançlı bir biçimde süreç yapabilmeniz için şunları öneriyor:

• Kimlik avı dolandırıcılığına karşı dikkatli olun. Dolandırıcılar çoklukla kimlik avı e-postalarını yahut uydurma web sitelerini kullanarak insanları giriş bilgilerini yahut özel anahtarlarını ifşa etmeleri hedefiyle kandırma yoluna masraf. Web sitesinin adresini her vakit iki sefer denetim edin ve kuşkulu irtibatları açmayın. 
• Özel anahtarlarınızı paylaşmayın. Özel anahtarlarınız kripto para cüzdanınızın kilidini açar. Bunları bilinmeyen tutun ve asla kimseye vermeyin. 
• Kendinizi eğitin. Kripto paranızı inançta tutmak için en son siber tehditler ve en âlâ uygulamalar hakkında bilgi sahibi olun. Kendinizi muhafaza konusunda ne kadar çok şey öğrenirseniz, siber hücumları önlemek için o kadar donanımlı olursunuz.
• Yatırım yapmadan evvel araştırma yapın. Rastgele bir kripto para ünitesine yatırım yapmadan evvel projeyi ve gerisindeki takımı güzelce araştırın. Projenin yasal olduğundan emin olmak için projenin web sitesini, teknik incelemesini ve toplumsal medya kanallarını denetim edin. 
• Güvenilir güvenlik tahlilleri kullanın: Emniyetli bir güvenlik tahlili, aygıtlarınızı çeşitli tehdit cinslerinden koruyacaktır. Kaspersky Premium, bilinen ve bilinmeyen tüm kripto para dolandırıcılığının yanı sıra bilgisayarınızın süreç gücünün kripto para madenciliği yapmak için yetkisiz bireylerce kullanımını önler.

Kaynak: (BYZHA) Beyaz Haber Ajansı