Siber Muhbir

Malwarebytes'ten Jérôme Segura, Salı günü yaptığı bir analizde, "Bu, daha önce Windows için ayrılmış olan ana sosyal mühendisliklerden birinin yalnızca coğrafi konum açısından değil, aynı zamanda işletim sistemi açısından da dallandığını ilk kez görüyor olabilir" dedi.

İlk olarak Nisan 2023'te belgelenen Atomic Stealer (diğer adıyla AMOS), abonelik temelinde ayda 1.000 ABD dolarına satılan ticari bir hırsız kötü amaçlı yazılım ailesidir. Web tarayıcılarından ve kripto para cüzdanlarından veri çekme yetenekleriyle birlikte gelir.

Ardından Eylül 2023'te Malwarebytes, kötü amaçlı Google reklamlarından yararlanan ve TradingView olarak bilinen bir finansal grafik platformu arayan macOS kullanıcılarını kötü amaçlı yazılımı indirmeleri için kandıran bir Atomic Stealer kampanyasını detaylandırdı.

Öte yandan ClearFake, hırsızları ve diğer kötü amaçlı yazılımları dağıtma umuduyla sahte web tarayıcısı güncelleme bildirimleri sunmak için güvenliği ihlal edilmiş WordPress sitelerini kullanan yeni bir kötü amaçlı yazılım dağıtım operasyonudur.

TA569 (diğer adıyla SocGholish), RogueRaticate (FakeSG), ZPHP (SmartApeSG) ve EtherHide gibi bu amaçla sahte tarayıcı güncellemeleriyle ilgili temaları kullandığı bilinen daha büyük bir tehdit aktörleri havuzuna en son eklenen oyundur.

Kasım 2023 itibarıyla ClearFake kampanyası, neredeyse aynı enfeksiyon zincirine sahip macOS sistemlerini hedefleyecek şekilde genişletildi ve saldırıya uğramış web sitelerinden yararlanarak Atomic Stealer'ı bir DMG dosyası biçiminde teslim etti.

Gelişme, hırsız kötü amaçlı yazılımların, kötü amaçlı reklamlar, arama motorunun kötü amaçlı web sitelerine yönlendirmeleri, arabadan indirmeler, kimlik avı ve yayılma için SEO zehirlenmesi yoluyla meşru yazılımlar için sahte veya zehirli yükleyici dosyalarına güvenmeye devam ettiğinin bir işaretidir.

Segura, "AMOS gibi hırsızların popülaritesi, yükü küçük ayarlamalarla farklı kurbanlara uyarlamayı oldukça kolaylaştırıyor" dedi.

Lumma Stealer, Kalıcı Google Çerezlerini Çıkarmanın Bir Yolunu Bulduğunu İddia Ediyor

Açıklama ayrıca, kötü amaçlı yazılımı virüslü makinede "insan" davranışı tespit edilene kadar beklemeye zorlayan yeni bir trigonometri tabanlı anti-sandbox tekniği kullanan LummaC2 hırsızına yapılan güncellemeleri de takip ediyor.

Kötü amaçlı yazılımın operatörleri, güvenliği ihlal edilmiş bilgisayarlardan Google Hesabı çerezlerini toplamak için kullanılabileceğini iddia ettikleri ve sahibi şifreyi değiştirse bile süresi dolmayacak veya iptal edilmeyecek yeni bir özelliği de tanıtıyorlar.

Hudson Rock'ın kurucu ortağı ve CTO'su Alon Gal, LinkedIn'deki bir dizi gönderide, "Bu, siber suç dünyasında büyük bir değişime neden olacak ve bilgisayar korsanlarının daha da fazla hesaba sızmasına ve önemli saldırılar gerçekleştirmesine olanak tanıyacak" dedi.

"Sonuç olarak, bu çerezler daha kalıcı görünüyor ve saldırıya uğrayan insanlar tarafından kullanılan Google hizmetlerinin akışına yol açabilir ve bir şifre değişikliğinin oturumu geçersiz kılmadığı iddiası doğruysa, çok daha büyük sorunlara bakıyoruz."