Kaspersky, kripto cüzdan bilgilerini çalan yeni kötü amaçlı yazılım keşfetti

Kaspersky Labs, Android ve iOS tabanlı uygulama geliştirme kitlerinde kripto para cüzdan bilgilerini çalan bir ‘kötü amaçlı yazılım’ keşfettiğini duyurdu.

4’ünde, Kaspersky güvenlik analistleri Sergey Puzan ve Dmitry Kalinin, ‘SparkCat’ adlı bu kötü amaçlı yazılımın Google Play Store ve Apple App Store’da yer alan bazı uygulamalara dahil edildiğini bildirdi. SparkCat, enfekte olan cihazlardaki fotoğrafları tarayarak optik karakter tanıma(OCR) teknolojisi kullanıp kripto para ‘sihirli kelimelerini’ tespit edebiliyor.

Rapora göre, bu yazılım sadece kripto para cüzdanlarının kurtarma ifadelerini değil, aynı zamanda mesaj içeriklerini, ekran görüntülerinde saklanan şifreleri de çalabiliyor.

Özellikle Android tarafında, ‘Spark’ isimli Java tabanlı bir bileşen olarak saklanıyor ve GitLab’a şifrelenmiş konfigürasyon dosyaları yükleyerek komut ve güncellemeleri alıyor. Ayrıca, Google’ın makine öğrenimi kütüphanesi ML Kit OCR kullanılarak çalınan bilgilere erişiliyor. Böylece saldırganlar, enfekte cihazlarda keşfedilen kripto para cüzdanlarını kendi cihazlarında tekrar oluşturabiliyor.

Kaspersky, bu kötü amaçlı yazılımın en az 2024’ün Mart ayından beri yayıldığını ve şimdiye kadar yaklaşık 242.000 kez indirildiğini tahmin ediyor. Öncelikli olarak Avrupa ve Asya’daki kullanıcılara yönelik olduğu belirtilirken, gerçek hizmet uygulamaları ile sahte uygulamaların bir arada kullanıldığı dağıtım yöntemi dikkat çekiyor. Ayrıca, zararlı kodun bir kısmının Rust programlama diliyle yazıldığı ve bunun platformlar arası destek ile analizden kaçınma yeteneği sağladığı da tespit edildi.

Bu kötü amaçlı yazılımın bir ‘tedarik zinciri saldırısı’ yoluyla yanlışlıkla eki̇lendi̇ği̇ mi yoksa bazı geliştiriciler tarafından kasıtlı olarak dahil edildiği net olarak belirlenmiş değil. Gerçek yemek sipariş uygulaması gibi görünen bazı uygulamalar içlerine gizlenirken, yapay zeka destekli sahte mesajlaşma uygulamalarının da kasıtlı şekilde yayıldığı fark edildi.

Şu ana kadar saldırıyı gerçekleştirenler tam olarak tespit edilememiş olsa da Kaspersky araştırmacıları, 2023'ün Mart ayında güvenlik şirketi ESET tarafından ortaya çıkarılan bir başka kripto para hırsızlığı kampanyasıyla benzerlikler bulunduğuna dikkat çekiyor. Bazı kötü amaçlı modüllerde Çince dilinde yorum ve hata açıklamalarının yer alması, geliştiricilerin Çince bilen kişiler olabileceğini düşündürüyor.

Siber güvenlik uzmanları, kullanıcıların telefon galerilerinde kripto para cüzdan kurtarma ifadelerini saklamamaları gerektiğini vurguluyor. Bunun yerine şifrelenmiş şifre yöneticileri kullanılması tavsiye ediliyor. Ayrıca, şüpheli herhangi bir uygulamanın vakit kaybetmeden silinmesi gerektiği belirtiliyor.

Öte yandan, Google ve Apple, bu kötü amaçlı yazılımla ilgili resmi bir açıklama yapmış değil.