Kuzey Kore'nin kripto para saldırısı! macOS kullanıcıları tehlikede mi?

Kuzey Koreli hacker grupları, kripto para sektörüne yönelik saldırılarını yeni ve gelişmiş macOS kötü amaçlı yazılımlarıyla sürdürüyor. Güvenlik uzmanlarının son raporlarına göre, bu saldırılar hem macOS hem de Windows sistemlerini hedef alırken, yapay zekâ destekli videolar ve sahte teknik destek yöntemleriyle kurbanları kandırmaya yönelik karmaşık sosyal mühendislik teknikleri kullanılıyor. Saldırıların temel amacının finansal olduğu, özellikle kripto para şirketleri ve sektördeki yöneticilerin hedef alındığı vurgulandı.

Kripto para sektörüne yönelik yeni nesil saldırı teknikleri

Güvenlik araştırmaları, Kuzey Koreli hackerların kripto para sektöründe faaliyet gösteren şirketlere karşı düzenlediği saldırıların giderek daha sofistike hale geldiğini ortaya koydu. Özellikle Google'ın Mandiant ekibi tarafından incelenen bir vakada, bir fintech şirketine yönelik saldırıda yedi farklı macOS kötü amaçlı yazılım ailesinin kullanıldığı tespit edildi. Bu yazılımlar, saldırganların kurbanlardan mümkün olduğunca fazla veri toplamasını ve finansal kazanç elde etmesini sağlıyor. Araştırmacılar, saldırıların 2018 yılından bu yana izlenen UNC1069 adlı tehdit grubu tarafından gerçekleştirildiğini belirtti.

Enfeksiyon zincirinin başlangıcında, saldırganlar sosyal mühendislik yöntemlerine başvurdu. Kurban, bir kripto para şirketinin yöneticisinin ele geçirilmiş hesabı üzerinden Telegram mesajlaşma uygulaması aracılığıyla iletişime geçirildi. Ardından, sahte bir Zoom toplantısı için Calendly bağlantısı paylaşıldı ve kurban, saldırganların kontrolündeki bir platforma yönlendirildi. Bu süreçte, hedefin güvenini kazanmak amacıyla başka bir kripto para şirketinin CEO'suna aitmiş gibi gösterilen derin sahte (deepfake) bir video kullanıldı. Toplantı sırasında, ses sorunları olduğu bahanesiyle kurbanın belirli komutları çalıştırması sağlandı ve böylece zararlı yazılımın sisteme sızması mümkün oldu.

macOS kötü amaçlı yazılımlarının çeşitliliği ve etkileri

Mandiant araştırmacıları, saldırı sırasında AppleScript tabanlı komutların çalıştırıldığını ve ardından kötü amaçlı bir Mach-O ikili dosyasının sisteme yüklendiğini tespit etti. Saldırının ilerleyen aşamalarında ise yedi farklı kötü amaçlı yazılım ailesi devreye alındı. Bunlar arasında en çok tespit edilen yazılım SUGARLOADER olurken, WAVESHAPER ise yalnızca iki güvenlik ürünü tarafından saptanabildi. Diğer kötü amaçlı yazılımlar ise henüz geniş çapta tespit edilmemiş durumda.

Bu kötü amaçlı yazılımlar arasında WAVESHAPER, sistem bilgilerini toplayarak saldırganın komuta kontrol (C2) sunucusuna iletiyor ve ek zararlı yazılımların indirilmesine olanak tanıyor. HYPERCALL ise şifreli yapılandırma dosyalarını okuyarak, WebSockets üzerinden iletişim kuruyor ve zararlı dinamik kütüphaneleri sisteme yüklüyor. HIDDENCALL, klavye erişimi sağlayıp komut yürütme ve dosya işlemlerini desteklerken, SILENCELIFT ana bilgisayar bilgilerini sabit kodlu bir C2 sunucusuna gönderiyor ve kök ayrıcalıklarıyla çalıştığında Telegram iletişimlerini kesebiliyor. DEEPBREATH ise dosya sistemi erişimini genişleterek anahtar zinciri ve tarayıcı verilerini çalıyor. SUGARLOADER, zararlı yükleri almak için şifreli yapılandırma kullanıyor ve sistemde kalıcılık sağlıyor. CHROMEPUSH ise tarayıcı verilerini toplayarak, tuş vuruşlarını ve kimlik bilgilerini ele geçiriyor.

Saldırıların amacı ve sektöre etkileri

Güvenlik uzmanları, Kuzey Koreli hackerların bu saldırılardaki temel motivasyonunun finansal kazanç olduğunu vurguladı. Saldırılar sırasında elde edilen verilerin, yalnızca kripto para hırsızlığı için değil, aynı zamanda gelecekteki sosyal mühendislik kampanyalarında kullanılmak üzere kurbanların kimlik ve erişim bilgilerini toplamak amacıyla da değerlendirildiği belirtildi. Özellikle 2023 yılı itibarıyla, UNC1069 grubu hedeflerini merkezi borsalar, geliştiriciler ve risk sermayesi fonları gibi Web3 endüstrisindeki kilit oyunculara yöneltti. Son dönemde ise finansal hizmetler, ödemeler, aracılık ve cüzdan altyapısı gibi alanlarda faaliyet gösteren şirketler de hedef alınmaya başlandı.