OkoBot: Kripto cüzdanlarına yönelik yeni tehditler

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT) uzmanları, kripto para cüzdanlarının içeriklerini hedef alan, daha önce bilinmeyen bir kötü amaçlı yazılımın kullanıldığı birçok saldırıyı ortaya çıkardı. Şirketten alınan bilgilere göre, 'OkoBot' olarak adlandırılan bu yeni kötü amaçlı yazılım altyapısı, yerel dosyaları toplama, uzaktan komut çalıştırma, izinsiz tarayıcı eklentileri indirme, kripto para cüzdanlarını çalma, kurtarma ifadelerini ve kimlik bilgilerini ele geçirme gibi çeşitli eylemleri gerçekleştirebilen 20'den fazla zararlı yük ve implant içeriyor. Kampanyada kullanılan yeni implantlardan biri, kötü amaçlı eklentileri yüklemek ve gizlemek için tarayıcı belleğini değiştiren bir yükleyici olarak dikkat çekiyor. OkoBot ayrıca, tuş vuruşlarını ve hedef uygulamanın penceresindeki video akışını kaydedebilen yeni bir 'OkoSpyware' modülü barındırıyor. Mevcut veriler, kampanyanın bilinen bir siber suç grubuyla 'yüksek kesinlikle' ilişkilendirilmesine olanak tanımıyor; ancak kullanılan teknikler ve bilgi hırsızı yazılımlar, Rusça konuşan tehdit aktörleri tarafından sıkça tercih ediliyor. Yapılan teknik analizlerde kod içerisinde Rusça izleri de tespit edildi. Şu ana kadar 25'ten fazla ülkede yüzlerce kullanıcının hedef alındığı belirtilen kampanyada, en fazla etkilenmiş ülkeler arasında Brezilya, Vietnam, Kanada, Meksika ve Türkiye yer alıyor. Kampanyanın bulguları, Kaspersky'nin Orta Doğu, Türkiye ve Afrika (META) bölgesine yönelik yıllık Siber Güvenlik Haftası etkinliğinde paylaşıldı. Bulaşma süreci, genellikle tehdit aktörlerinin kullanıcıları kandırarak zararlı kod çalıştırmasını sağladığı toplum mühendisliği odaklı ClickFix saldırıları ve meşru yazılım kılığında GitHub üzerinden dağıtılan kötü amaçlı yazılımlar ile gerçekleştiriliyor. Araştırmacılar, inceleme sırasında yaygın olarak kullanılan veri tabanı yönetim araçlarından biri için hazırlanmış sahte bir yükleyici örneğine de rastladı. OkoBot, her cüzdan türü için farklı tasarımlar kullanıyor. Kötü amaçlı yazılım çerçevesi, etkin sistem süreçlerini izleyen bazı kripto varlıkları yönetmek için kullanılan resmi uygulamalara implant enjekte eden 'SeedHunter' adlı bir bileşen içeriyor. SeedHunter, sisteme bağlı bir Trezor veya Ledger donanım cüzdanı tespit ettiğinde, kancalanmış işlevleri devreye sokarak kullanıcının 'seed phrase'ini ele geçirmeyi hedefleyen önceden kodlanmış bir kimlik avı sayfası görüntülüyor. Bu tasarımlar, kullanıcıların seed phrase'lerini girmesini sağlamak üzere hazır bir şekilde bulunuyor. Kaspersky uzmanları, doğrulanmamış kaynaklardan gelen kodların çalıştırılmaması, güvenlik yazılımlarının devre dışı bırakılmaması, işletim sistemi ve uygulamaların güncel tutulması, güçlü ve benzersiz parolalar kullanılması, çok faktörlü kimlik doğrulamanın etkinleştirilmesi ve kurtarma ifadeleri gibi hassas bilgilerin güvenilir parola yöneticilerinde saklanması gibi önlemlerde bulundu. Kaspersky GReAT Rusya ve Bağımsız Devletler Topluluğu (BDT) Birimi Başkanı Dmitry Galov, OkoBot kampanyasının bir yılı aşkın süredir aktif olduğunu ifade etti. Gözlemlenen bulaşma yollarının, yazılım geliştiricilerin ana hedefleri arasında yer aldığını güçlü bir biçimde gösterdiğini belirten Galov, 'Özellikle yazılımın sürekli gelişimi ve altyapısının aktif biçimde güncellenmesi, ciddi bir endişe kaynağı. Yayılma çabalarının devam etmesiyle kampanyanın yakın gelecekte daha fazla kullanıcıya ulaşma ve yeni ülkelere yayılma potansiyeli bulunuyor.' diye değerlendirdi.