WhatsApp Web Açığıyla Banka Trojansu Otomatik Yayılıyor
Yeni Saldırı: WhatsApp Web, Banka Trojansunu Otomatik Yaymak İçin Kullanılıyor
Güvenlik araştırmacıları, Astaroth adlı bir banka Trojansu ile ilişkili yeni bir kötü amaçlı yazılım kampanyasının WhatsApp Web üzerinden otomatik olarak yayıldığını tespit etti. Kampanya, kullanıcıların güvenini kötüye kullanarak verileri çalıyor ve kişilerin iletişim listesini etkiliyor. Bu durum, kötü amaçlı yazılımın yayılmasını zorlaştırarak, kullanıcıların savunmasız kalmasına neden oluyor.
Boto Cor-de-Rosa Kampanyası: Yeni Nesil Tehdit
Boto Cor-de-Rosa olarak adlandırılan bu kampanya, siber suçluların, güvendikleri araçları kötüye kullanma yöntemlerini nasıl geliştirdiğini gösteriyor. Saldırı, Windows kullanıcılarını hedef alıyor ve WhatsApp Web’i hem dağıtım aracı hem de enfeksiyonu daha da yaymak için bir mekanizma olarak kullanıyor.
Saldırının İşleyiş Şekli
Saldırı, basit bir mesajla başlıyor. Bir iletişim, WhatsApp üzerinden görünüşte masum bir ZIP dosyası gönderiyor. Dosya adı rastgele ve zararsız görünüyor, bu da şüpheyi azaltıyor. ZIP dosyası açıldığında, normal bir belge gibi gizlenmiş bir Visual Basic betiği içeriyor. Kullanıcı betiği çalıştırdığında, sessizce iki ek kötü amaçlı yazılımı indiriyor. Ardından, Delphi ile yazılmış Astaroth banka kötü amaçlı yazılımını ve WhatsApp Web’i kontrol etmek için Python tabanlı bir modül indiriyor. Her iki bileşen de belirgin bir uyarı işareti olmadan arka planda çalışıyor.
Kendi Kendini Yayabilen Kötü Amaçlı Yazılım
Bu kampanyayı özellikle tehlikeli kılan, kötü amaçlı yazılımın nasıl yayıldığı. Python modülü, kurbanın WhatsApp iletişim listesini tarıyor ve kötü amaçlı ZIP dosyasını otomatik olarak her sohbete gönderiyor. Acronis araştırmacıları, kötü amaçlı yazılımın mesajlarını günün saatine göre uyarladığını tespit etti. Mesajlar, samimi bir şekilde başlıyor ve tanıdık bir his yaratıyor. Metin genellikle “İstenen dosya burada. Herhangi bir sorunuz varsa, hazırım!” şeklinde oluyor. Mesajın bilinen bir kişiden geldiği için birçok kişi tereddüt etmeden açıyor.
Performansı İzleme ve Veri Toplama
Kötü amaçlı yazılım, performansını gerçek zamanlı olarak izlemek için dikkatlice tasarlanmış. Dağıtım aracı, başarıyla gönderilen mesaj sayısını, gönderilemeyen mesaj sayısını ve dakikada ölçülen genel gönderme hızını izliyor. Her 50 mesajdan sonra, kaç kişinin ulaştığına dair bir ilerleme raporu oluşturuyor. Bu geri bildirim, saldırganların başarıyı hızlı bir şekilde ölçmesini ve bir şeyin çalışmayı durdurması durumunda ayarlamalar yapmasını sağlıyor.
Enfeksiyon Sonrası Olaylar
İlk betik, antivirüs araçlarının algılamasını önlemek için yoğun bir şekilde karartılmış. Çalıştıktan sonra, daha fazla kötü amaçlı yazılımı tehlikeye düşmüş web sitelerinden indirmek için PowerShell komutlarını başlatıyor. Bu kampanyada kullanılan bilinen bir alan adı coffe-estilo.com. Kötü amaçlı yazılım, Microsoft Edge önbelleği dizinini taklit eden bir klasör içinde kendini kuruyor. Burada, Astaroth banka yükünün tamamını oluşturan yürütülebilir dosyalar ve kütüphaneler bulunuyor. Bu noktadan sonra, kötü amaçlı yazılım kimlik bilgilerini çalabilir, etkinlikleri izleyebilir ve potansiyel olarak finansal hesaplara erişebilir.
WhatsApp Web Neden Kötüye Kullanılıyor?
WhatsApp Web, telefon konuşmalarınızı bir bilgisayarda yansıtması nedeniyle popülerdir. Bu kolaylık, mesaj göndermeyi, dosyaları paylaşmayı ve daha hızlı yazmayı kolaylaştırır, ancak aynı zamanda riskleri de beraberinde getirir. WhatsApp Web kullanırken, telefonunuzu web.whatsapp.com adresindeki bir QR kodunu tarayarak bir tarayıcıya bağlarsınız. Bağlandıktan sonra, bu tarayıcı oturumu hesabınızın güvenilir bir uzantısı haline gelir. Sohbetleriniz ekranda görünür, gönderdiğiniz mesajlar gerçek numaranızdan gelir ve gelen mesajlar her iki cihaz arasında senkronize olur. Tam olarak bu kurulum, saldırganların faydalandığı şeydir. Kötü amaçlı yazılım, WhatsApp Web oturumuna erişirse, kullanıcı gibi davranabilir. Mesajları okuyabilir, iletişim listelerine erişebilir ve tamamen meşru görünen dosyalar veya bağlantılar gönderebilir. Mesajlar, sahte bir hesaptan değil, gerçek bir hesaptan geldiği için alarm yaratmaz. Bu, WhatsApp Web’i kötü amaçlı dosyaları otomatik olarak yaymak için etkili bir dağıtım sistemi haline getirir.
- Hedef Kitle: Windows kullanıcıları
- Kötü Amaçlı Yazılım: Astaroth banka Trojansu
- Dağıtım Yöntemi: WhatsApp Web üzerinden ZIP dosyası
- Temel Risk: Kişisel verilerin çalınması ve finansal hesaplara erişim
Haberin Diğer Kareleri
