Microsoft, USB bellekler üzerinden kendi kendine yayılan ve kripto para cüzdanlarına ait kimlik bilgilerini çalmayı amaçlayan yeni bir malware ailesi tespit etti. Şirketin Crypto Clipper adını verdiği bu worm, finansal motivasyonla çalışan klasik bir veri hırsızından çok, sınırlı kaynakla çalışan ve uzaktan kod çalıştırma imkanı sunan hafif bir backdoor gibi davranıyor.
Zararlı yazılım, cihazların clipboard alanını izleyerek cüzdan adresleri veya seed phrase, yani kurtarma ifadeleri gibi desenleri arıyor. Eşleşme bulduğunda yalnızca metin verisini çalmakla kalmıyor, aynı zamanda 10 saniyelik süre içinde beş ekran görüntüsü alıyor. Çalınan kimlik bilgileri ve görüntüler Tor üzerinden saldırgan kontrolündeki sunuculara gönderiliyor. Tor, trafiği birden fazla düğüm üzerinden yönlendirerek kaynak ve hedef IP adreslerinin aynı loglarda görülmesini zorlaştıran anonim yönlendirme sağlayan bir ağ protokolü.
Microsoft’un analizine göre Crypto Clipper, kurulum dosyasına veya açık IP tabanlı C2 altyapısına, yani komuta kontrol sunucularına ihtiyaç duymadan çalışıyor. Bunun yerine taşınabilir Tor istemcisi kullanıyor, trafiği yerel SOCKS5 proxy üzerinden yönlendiriyor ve veri hırsızlığını uzaktan kod çalıştırma yeteneğiyle birleştiriyor. SOCKS5 proxy, trafiği bir proxy sunucusu üzerinden hedef adrese ileten ve saldırgan altyapısını doğrudan ortaya çıkarmadan bağlantı kurmayı sağlayan bir protokol.
Zararlı yazılımın yayılma yöntemi ise .lnk dosyalarına dayanıyor. Windows kısayol dosyaları olan .lnk’ler, çalıştırılabilir kod barındırabildiği için USB bellek üzerinden yayılım için kullanılıyor. Enfekte bir USB aygıt sisteme takıldığında kod, makinede zaten kurulu olup olmadığını kontrol ediyor. Kurulum yoksa malware, Tor proxy üzerinden kendini indiriyor ve iz bırakmamak için USB bellekteki mevcut .lnk dosyalarını tarayarak benzer adlara sahip kısayollar oluşturuyor.
Bu tasarım, kripto varlık hırsızlığı tehdidinin yalnızca sahte cüzdan uygulamaları veya kimlik avı bağlantılarıyla sınırlı kalmadığını gösteriyor. USB bellek gibi fiziksel taşıma araçlarının hâlâ etkin bir bulaşma yolu olarak kullanılması, özellikle kişisel cihazlarda ve kurumsal ortamlarda çıkarılabilir medya güvenliğinin önemini yeniden öne çıkarıyor.
Yorum Yap