Siber güvenlik şirketi ESET, anlık mesajlaşma uygulamalarına yerleştirilen ve ekran panosundaki bilgileri alabilen clipper adı verilen kötü amaçlı yazılımın ilk örneğini tespit etti. Tehdit aktörleri, sahte web siteleri aracılığı ile kullanıcıların Android ve Windows sistemli cihazlarına, içine Truva atı yerleştirilerek değiştirilmiş Telegram ve WhatsApp uygulamalarını indirmelerini sağlıyorlar.
Bu sahte uygulamalar sayesinde kurbanların kripto paralarını izleyebiliyorlar. Kötü amaçlı yazılım, kurbanın sohbet uygulamasından gönderdiği kripto para cüzdan adreslerini saldırgana ait adreslerle değiştirebiliyor. Ekran panosundan metin çıkarmak ve kripto para cüzdanına ait hesap kurtarma kodlarını çalmak için optik karakter tanımayı kötüye kullanabiliyorlar.
ESET araştırmacıları, WhatsApp ve Telegram uygulamalarının truva atı gizlenmiş sürümleri ile özellikle Android ve Windows kullanıcılarını hedef alan söz konusu anlık mesajlaşma uygulamalarına ait düzinelerce taklitçi internet sitesi tespit etti. Tespit edilen kötü amaçlı uygulamaların çoğu, pano içeriklerini çalan veya değiştiren, kötü amaçlı bir yazılım türü olan clipper yazılımlarından oluşuyor. Söz konusu yazılımların tümü, kurbanların kripto paralarını çalmaya çalışırken bazıları ise kripto para cüzdanlarını hedef alıyor. ESET Research, ilk kez özellikle anlık mesajlaşma uygulamalarını hedef alan Android tabanlı clipper yazılımları tespit etti. Ayrıca bu uygulamaların bazıları, güvenliği ihlal edilmiş cihazlarda kayıtlı ekran görüntülerinden metin çıkarmak için optik karakter tanımlama (OCR) kullanıyor. Bu durum, Android tabanlı kötü amaçlı yazılımlar için bir başka ilki oluşturuyor.
Dolandırıcılar anlık mesajlaşma uygulamaları üzerinden kripto para cüzdanlarını ele geçirmeye çalışıyor
Taklitçi uygulamalarda kullanılan dil incelendiğinde, bu yazılımları kullanan kişilerin özellikle Çince konuşan kullanıcıları hedef aldığı ortaya çıktı. Çin’de, hem Telegram’ın hem de WhatsApp’ın sırasıyla 2015 ve 2017 yıllarından itibaren kullanılması yasak olduğu için bu uygulamaları kullanmak isteyen kişiler, dolaylı yollara başvurmak zorunda kaldı. Söz konusu tehdit aktörleri, ilk olarak sahte YouTube kanallarına yönlendiren Google Ads’i kurdu ve ardından kullanıcıları taklitçi Telegram ve WhatsApp internet sitelerine yönlendirdi. ESET Research, söz konusu sahte reklamları ve ilgili YouTube kanallarını Google’a şikayet etti ve Google da bu reklam ve kanalların tümünün kullanımına hemen son verdi.
Truva atı gizlenmiş uygulamaları tespit eden ESET araştırmacısı Lukáš Štefanko bu konuyla ilgili şunları söyledi: “Tespit ettiğimiz clipper yazılımlarının asıl amacı kurbanın mesajlarını ele geçirip gönderilen ve alınan kripto para cüzdan adreslerini saldırgana ait adreslerle değiştirmek. Truva atı gizlenmiş Android tabanlı WhatsApp ve Telegram uygulamalarının yanı sıra, aynı uygulamaların truva atı gizlenmiş Windows sürümlerini de tespit ettik.”
Bu uygulamaların truva atı gizlenmiş sürümleri, aynı amaca hizmet etmelerine rağmen farklı özelliklere sahip. İncelenen Android tabanlı clipper yazılımları, kurbanın cihazında depolanan ekran görüntüleri ile fotoğraflardaki metinleri okumak için OCR kullanan ilk Android temelli kötü amaçlı yazılım olma özelliğini taşıyor. OCR, anahtar cümleyi bulup çalmak için kullanılıyor. Anahtar cümle ise kripto para cüzdanlarını kurtarmak için kullanılan bir dizi kelimeden oluşan anımsatıcı kod anlamına geliyor. Kötü amaçlı aktörler, anahtar cümleyi ele geçirir geçirmez doğrudan ilgili cüzdandaki tüm kripto paraları çalabiliyor.
Kötü amaçlı yazılım, kurbanın kripto para cüzdan adresini saldırganın sohbet adresi ile değiştiriyor. Bunu da ya doğrudan program içerisinde yer alan ya da saldırganın sunucusundan dinamik olarak ele geçirilen adreslerle yapıyor. Ayrıca söz konusu yazılım, kripto paralarla ilgili belirli anahtar kelimeleri tespit etmek için Telegram mesajlarını izliyor. Yazılım, bu tür bir anahtar kelimeyi tespit ettiği anda tüm mesajı saldırganın sunucusuna iletiyor.
ESET Research, uzaktan erişim truva atları (RATs) içeren Windows tabanlı Telegram ve WhatsApp yükleyicilerinin yanı sıra söz konusu cüzdan adresi değiştiren clipper yazılımlarının Windows sürümlerini de tespit etti. Uygulama modelinden yola çıkarak Windows tabanlı kötü amaçlı paketlerden birinin clipper yazılımlardan değil kurbanın sisteminin kontrolünü tümden ele geçirebilen RATs’lerden oluştuğu keşfedildi. Böylece söz konusu RATs’ler, uygulama akışını ele geçirmeden kripto para cüzdanlarını çalabiliyor.
Lukáš Štefanko bu konuda şu tavsiyelerde bulundu: “Uygulamaları Google Play Store gibi yalnızca güvenilir ve sağlam kaynaklardan yükleyin ve önemli bilgileri içeren şifrelenmemiş resimleri veya ekran görüntülerini cihazınızda depolamayın. Cihazınızda truva atı gizlenmiş Telegram veya WhatsApp uygulaması olduğunu düşünüyorsanız bu uygulamaları manuel olarak cihazınızdan kaldırın ve uygulamayı ya Google Play üzerinden ya da doğrudan yasal internet sitesi üzerinden indirin. Windows tabanlı cihazınızda kötü amaçlı Telegram uygulaması olduğundan şüpheleniyorsanız tehdidi tespit ederek kaldıran bir güvenlik çözümü kullanın. Windows için WhatsApp’ın tek resmi sürümü şu anda Microsoft mağazasında mevcut.”
