Brezilya’nın PIX anında ödeme sisteminin popülaritesi, onu yeni bir kötü amaçlı yazılım kullanarak yasa dışı kar elde etmek isteyen tehdit aktörleri için kazançlı bir hedef haline getirdi. GoPIX.
Aktif kampanyayı Aralık 2022’den bu yana takip eden Kaspersky, saldırıların, potansiyel kurbanların arama motorlarında “WhatsApp web” araması yaptığında sunulan kötü amaçlı reklamlar kullanılarak gerçekleştirildiğini söyledi.
Rus siber güvenlik sağlayıcısı, “Siber suçlular kötü amaçlı reklamcılık kullanıyor: bağlantıları arama sonuçlarının reklam bölümüne yerleştiriliyor, böylece kullanıcı ilk önce bunları görüyor” dedi. “Böyle bir bağlantıya tıklarlarsa, kullanıcının kötü amaçlı yazılım açılış sayfasına yönlendirileceği bir yönlendirme gerçekleşir.”
Son zamanlarda gözlemlenen diğer kötü amaçlı reklam kampanyalarında olduğu gibi, reklamı tıklayan kullanıcılar, sanal alanları, botları ve gerçek kurbanlar olarak kabul edilmeyen diğerlerini filtrelemeyi amaçlayan bir gizleme hizmeti aracılığıyla yönlendirilecek.
Bu, site ziyaretçisinin insan mı yoksa bot mu olduğunu belirlemek için IPQualityScore olarak bilinen meşru bir dolandırıcılık önleme çözümü kullanılarak gerçekleştirilir. Kontrolü geçen kullanıcılara, kötü amaçlı bir yükleyiciyi indirmeleri için onları kandırmak amacıyla sahte bir WhatsApp indirme sayfası gösteriliyor.
İlginç bir şekilde, kötü amaçlı yazılım, kullanıcının makinesinde 27275 numaralı bağlantı noktasının açık olup olmamasına bağlı olarak iki farklı URL’den indirilebiliyor.
Kaspersky, “Bu bağlantı noktası Avast güvenli bankacılık yazılımı tarafından kullanılıyor” dedi. “Bu yazılım tespit edilirse, bir sonraki aşamayı indiren, gizlenmiş bir PowerShell betiğini içeren bir LNK dosyasını içeren bir ZIP dosyası indirilir.”
Bağlantı noktasının kapatılması durumunda NSIS yükleyici paketi doğrudan indirilir. Bu, ek korkuluğun güvenlik yazılımını atlayacak ve kötü amaçlı yazılımı dağıtacak şekilde açıkça kurulduğunu gösterir.
Yükleyicinin temel amacı, GoPIX kötü amaçlı yazılımını, svchost.exe Windows sistem işlemini askıya alınmış bir durumda başlatıp yükü ona enjekte ederek, işlem boşaltma adı verilen bir teknik kullanarak almak ve başlatmaktır.
GoPIX, PIX ödeme isteklerini ele geçiren ve bunları bir komut ve kontrol (C2) sunucusundan alınan, saldırgan tarafından kontrol edilen bir PIX dizesiyle değiştiren bir pano hırsızı kötü amaçlı yazılım olarak işlev görür.
Kaspersky, “Kötü amaçlı yazılım aynı zamanda Bitcoin ve Ethereum cüzdan adreslerinin değiştirilmesini de destekliyor.” dedi. “Ancak bunlar kötü amaçlı yazılımda sabit kodlanmıştır ve C2’den alınamaz. GoPIX ayrıca C2 komutlarını da alabilir, ancak bunlar yalnızca kötü amaçlı yazılımın makineden kaldırılmasıyla ilgilidir.”
Arama motorlarında WhatsApp ve Telegram gibi mesajlaşma uygulamalarını arayan kullanıcıları hedefleyen tek kampanya bu değil.
Hong Kong bölgesinde yoğunlaşan yeni bir dizi saldırıda, Google arama sonuçlarındaki sahte reklamların, kullanıcıları cihazlarını bağlamak için bir QR kodu taramaya teşvik eden sahte benzer sayfalara yönlendirdiği tespit edildi.
Malwarebytes tehdit istihbaratı direktörü Jérôme Segura Salı günkü bir raporda, “Buradaki sorun, taradığınız QR kodunun WhatsApp ile hiçbir ilgisi olmayan kötü amaçlı bir siteden gelmesidir.” dedi.
Sonuç olarak, tehdit aktörünün cihazı kurbanın WhatsApp hesaplarına bağlanarak, kötü niyetli tarafın sohbet geçmişlerine ve kayıtlı kişilerine tam erişim sağlamasına olanak tanıyor.
Malwarebytes ayrıca, kullanıcıları enjektör kötü amaçlı yazılım içeren bir Google Dokümanlar sayfasından sahte bir yükleyici indirmeye ikna etmek için Telegram’ı bir yem olarak kullanan benzer bir kampanya keşfettiğini söyledi.
Gelişme, Proofpoint’in Grandoreiro adlı Brezilya bankacılık truva atının yeni bir versiyonunun Meksika ve İspanya’daki kurbanları hedef aldığını ortaya çıkarmasıyla ortaya çıktı ve faaliyeti “sıklık ve hacim açısından olağandışı” olarak tanımladı.
Kurumsal güvenlik firması, kampanyayı, Brezilya ve Meksika’daki çeşitli varlıkları tespit etmek için Brezilya bankacılık kötü amaçlı yazılımlarını ve kimlik avını kullandığı bilinen TA2725 olarak takip ettiği bir tehdit aktörüne bağladı.
İspanya’nın hedef alınması, Latin Amerika odaklı kötü amaçlı yazılımların giderek daha fazla Avrupa’ya yöneldiği yeni bir trende işaret ediyor. Bu Mayıs ayının başlarında SentinelOne, Brezilyalı bir tehdit grubunun 30’dan fazla Portekiz bankasını hırsız kötü amaçlı yazılımla hedef alan uzun süredir devam eden bir kampanyasını ortaya çıkardı.
Bu arada, bilgi hırsızları siber suç ekonomisinde gelişiyor; suç yazılımı yazarları yeraltı pazarını, siber suçlulara saldırıları gerçekleştirmek için uygun ve uygun maliyetli bir araç sağlayan hizmet olarak kötü amaçlı yazılım (MaaS) teklifleriyle dolduruyor.
Dahası, bu tür araçlar, kendileri de teknik uzmanlığa sahip olmayan, hevesli tehdit aktörlerinin giriş engelini azaltır.
Hırsız ekosistemine en son katılan Lumar, ilk olarak Collector adlı bir kullanıcı tarafından siber suç forumlarında reklamı yapılan ve Telegram oturumlarını yakalama, tarayıcı çerezlerini ve şifrelerini toplama, dosyaları alma ve kripto cüzdanlarından veri çıkarma yeteneklerini pazarlayan Lumar’dır.
Kaspersky, “Bütün bu işlevlere sahip olmasına rağmen, kötü amaçlı yazılımın boyutu nispeten küçüktür (yalnızca 50 KB). Bu da kısmen C dilinde yazılmış olmasından kaynaklanmaktadır.” dedi.
“Ortaya çıkan kötü amaçlı yazılım genellikle karanlık ağda daha az vasıflı suçlular arasında tanıtılıyor ve MaaS olarak dağıtılıyor, yazarlarının hızla zenginleşmesine olanak tanıyor ve meşru kuruluşları tekrar tekrar tehlikeye atıyor.”