Kaspersky araştırmacıları, kripto para cüzdanlarını hedef alan alışılmadık türden bir macOS zararlı yazılım türünü ortaya çıkardı.

Şirketten yapılan açıklamaya göre, Kaspersky, yeni keşfedilen "Truva atı"nın iki yönden alışılmadık özelliklere sahip olduğunu belirtiyor.

Buna göre, birincisi, kötü amaçlı Python betiğini yürütmek için DNS kayıtlarını kullanıyor. İkincisi sadece kripto cüzdanlarını çalmakla kalmıyor, cüzdan uygulamasını kendi virüslü sürümüyle değiştiriyor. Bu, cüzdanlarda saklanan kripto para birimine erişmek için kullanılan gizli ifadenin de çalmasına yol açıyor.

Kötü amaçlı yazılım macOS'un 13.6 ve üzeri sürümlerini hedef alıyor ve hem Intel hem de Apple Silikon ile çalışan cihazlarda, özellikle daha yeni işletim sistemi sürümü kullanıcılarına odaklandığını gösteriyor.

Ele geçirilmiş disk imajları, bir aktivatör ve aranan uygulamayı içeriyor. İlk bakışta zararsız gibi görünen aktivatör, kullanıcı şifresini girdikten sonra ele geçirilen uygulamayı etkinleştiriyor.

Kullanıcının farkında olmadan güvenliği ihlal edilmiş uygulamayı etkinleştirilmesi sağlanıyor

Saldırganlar, uygulamanın önceden ele geçirilmiş sürümlerini kullanarak, çalıştırılabilir dosyaları kullanıcı aktivatörü çalıştırana kadar işlevsiz hale getirecek şekilde değiştiriyor.

Bu taktik, kullanıcının farkında olmadan güvenliği ihlal edilmiş uygulamayı etkinleştirmesini sağlıyor.

Yamadan sonra kötü amaçlı yazılım, kötü amaçlı etki alanı için DNS TXT kaydı alarak ve buradan Python betiğinin şifresini çözerek birincil yükünü çalıştırıyor. Ardından komut dosyası, yine bir Python komut dosyası olan bulaşma zincirinin bir sonraki aşamasını indirmeye çalışıyor.

Bir sonraki yükün amacı sunucudan alınan keyfi komutları çalıştırmak. Yapılan araştırma sırasında hiçbir komut alınmasa ve arka kapı düzenli olarak güncelleniyor olsa da kötü amaçlı yazılım kampanyasının hala geliştirilmekte olduğu açıkça ortada. Kodların incelenmesi, ilgili komutların muhtemelen kodlanmış Python betikleri olduğunu gösteriyor.

Bahsedilen işlevlerin yanı sıra, komut dosyası, "apple-analyzer.com" alan adını içeren iki önemli özellik barındırıyor. Her iki işlev de kripto para cüzdanı uygulamalarının varlığını kontrol etmeyi ve bunları belirtilen alan adından indirilen sürümlerle değiştirmeyi amaçlıyor.

Bu taktiğin hem Bitcoin hem de Exodus cüzdanlarını hedef aldığı ve bu uygulamaları kötü niyetli olanlarla değiştirdiği gözlemlendi.

"Şüpheli sitelerden dosya indirmekten kaçının"

Açıklamada görüşlerine yer verilen Kaspersky Güvenlik Araştırmacısı Sergey Puzan, korsan yazılımlarla bağlantılı macOS'un kötü amaçlı yazılımı, bu alandaki ciddi risklerin altını çizdiğini belirtti.

Puzan, "Siber suçlular, kullanıcıların bilgisayarlarına kolayca erişmek ve parola girmelerini sağlayarak yönetici ayrıcalıkları elde etmek için korsan uygulamaları kullanıyor. Saldırıyı hazırlayanlar, DNS sunucusu kaydına bir Python betiği gizlemek şeklinde alışılmadık bir yaratıcılık sergiliyor ve bu da kötü amaçlı yazılımın ağ trafiğindeki gizlilik düzeyini artırıyor. Kullanıcılar, özellikle kripto para cüzdanları konusunda ekstra dikkatli olmalı. Şüpheli sitelerden dosya indirmekten kaçınmalı ve daha iyi koruma için güvenilir siber güvenlik çözümleri kullanmalı." ifadelerini kullandı.

Kaspersky araştırmacıları, Truva atına karşı önerilerde bulundu

Kaspersky araştırmacıları, Truva atlarına karşı güvende kalmak ve kripto varlıklarınızı korumak için bazı önlemlerin alınması noktasında tavsiyede bulunuyor.

Buna göre, uygulamaların yalnızca Apple App Store gibi resmi mağazalardan indirmenin daha güvenli olduğu belirtiliyor. Bu tip mağazalardaki uygulamaların yüzde 100 güvenli olmadığı, ancak en azından mağaza yöneticileri tarafından kontrol edilebilir ve belli filtreleme sistemleri olduğu için güvenli bir alan olarak tavsiye ediliyor.

Araştırmacılar, güvenilir bir güvenlik çözümünün yüklenmesini öneriyor. Böylece, güvenli çözümlerin sorunların çoğunun otomatik olarak çözeceğini ve gerekirse kullanıcıyı uyaracağını vurguluyor.

Güncellemeler çıktıkça işletim sisteminin ve önemli uygulamalarının güncellenmesi uyarısında bulunan araştırmacılar, birçok güvenlik sorununun yazılımların güncellenmiş sürümleri yüklenerek çözülebileceğini aktarıyor.

Kaspersky araştırmacıları, tohum cümlesinin güvence altına alınması gerektiğinin altını çizerek, donanım cüzdanının kurulurken, tohum cümlesinin yazıldığından ve güvenli bir şekilde saklanıldığından emin olunmasını öneriyor. Ayrıca, araştırmacılar, Kaspersky Premium gibi güvenilir bir güvenlik çözümünün kullanıcıların mobil cihazında veya bilgisayarında saklanan kripto bilgileri koruyacağına dikkati çekiyor.

Son olarak, araştırmacılar, kullanıcıların güçlü parolalar kullanmasını önerirken, kolay tahmin edilebilir parolalar kullanmaktan veya diğer hesaplardaki parolaların tekrar kullanılmasında kaçınılmasını hatırlatıyor.

Parolaların etkili ve güvenli bir şekilde yönetilmesi için Kaspersky Password Manager kullanabiliyor.