Sahte Office eklentisiyle kripto cüzdanları hedef alındı: ClipBanker saldırısı yayılıyor

Rusya merkezli kullanıcıları hedef aldığı düşünülen bir kötü amaçlı yazılımın, Microsoft Office uzantısı gibi görünerek kripto para cüzdan bilgilerini çaldığı ortaya çıktı. 8’inde Kaspersky tarafından yapılan açıklamaya göre, bu kötü amaçlı yazılım, açık kaynaklı yazılım paylaşım platformu SourceForge’da yayımlanan sahte bir Office eklenti projesi aracılığıyla dağıtılıyor.

Rapora göre yazılım, ‘officepackage’ adıyla listelenmiş durumda ve dışarıdan bakıldığında tamamen meşru bir Office eklentisi gibi görünüyor. Ancak yazılımın içinde, kullanıcıların kopyaladığı kripto para cüzdan adreslerini hacker’ların kendi adresleriyle değiştiren ‘ClipBanker’ adında bir zararlı kod gizlenmiş. Kripto para kullanıcılarının genellikle cüzdan adreslerini manuel yerine kopyalayarak yapıştırmaları, bu tehdidin başarı oranını artırıyor.

Kaspersky, "Bir cihaza ClipBanker bulaştığında, kullanıcıların cüzdana para göndermek için kopyaladığı adres otomatik olarak hacker’ın adresiyle değiştirilir. Bu yüzden kullanıcı farkında olmadan parasını yanlış cüzdana gönderir" açıklamasında bulundu. Söz konusu sahte proje, meşru bir geliştirici sayfası gibi tasarlanmış. Böylece arama sonuçlarında görünerek kullanıcıların şüphelenmeden indirme yapmaları sağlanıyor.

Ayrıca bu zararlı yazılım, bulaştığı cihazın IP adresi, ülke bilgisi ve kullanıcı adı gibi sistem verilerini toplayarak Telegram üzerinden hacker’a iletiyor. Üstelik cihazda antivirüs tespit edilirse veya yazılım zaten kuruluysa, kendini otomatik olarak silebilecek kadar gelişmiş.

Saldırganlar, kullanıcıları sahte yazılımları gerçek sanmaları için yükleme dosyalarının boyutunu kasıtlı şekilde ya normalden küçük yapıyor ya da gereksiz kodlarla yapay olarak büyütüyor. Kaspersky, "Bu saldırı aynı anda hem ClipBanker hem de kripto para madenciliği yapan kötü amaçlı yazılımları bulaştırıyor. İleride bu yazılımlarla ele geçirilen cihazlara erişim, daha tehlikeli siber suçlulara satılabilir" yorumunda bulundu.

Kötü amaçlı yazılımın arayüzü tamamen Rusça olarak hazırlanmış. Bu da saldırının özellikle Rusça konuşan kullanıcıları hedef aldığına işaret ediyor. 1 Ocak’tan 31 Mart’a kadar bu saldırıya maruz kalan potansiyel kurbanların %90’ının Rusya’daki kullanıcılar olduğu, toplamda 4.604 kişinin risk altında kaldığı aktarıldı.

Kaspersky, yazılımların mutlaka *resmi dağıtım kaynaklarından* indirilmesi gerektiğinin altını çizerek, korsan yazılım ya da gayriresmî bağlantılar üzerinden yapılan indirmelerin ciddi risk barındırdığını vurguladı. Ayrıca hacker’ların her geçen gün daha sofistike siteler ve dosyalarla kullanıcıları kandırmaya çalıştığına dikkat çekildi.

Kripto para yatırımcılarını hedef alan zararlı yazılımlar, son dönemde giderek daha fazla çeşitleniyor. 28’inde ThreatFabric tarafından yayımlanan bir rapora göre, Android cihazlarda sahte giriş ekranı oluşturarak kripto cüzdanların kurtarma kelimelerini (seed phrase) çalan ileri düzey bir kötü yazılım da keşfedildi. Bu yazılımla birlikte hacker’ların cihaz kontrolünü tamamen ele geçirme riski ortaya çıkıyor.