2025 ortasından beri etkin olan bir bankacılık kötü amaçlı yazılım operasyonu, kimlik bilgilerini, oturum belirteçlerini ve hassas verileri çalan zararlı Chrome ve Edge uzantılarını yüklemek için KREMLIN araç setini kullanıyor.
Elastic Security Labs araştırmacıları, kötü amaçlı yazılımın Chromium bütünlük denetimlerini atlatarak uzantıların kullanıcı tarafından onaylanmış gibi görünmesini sağladığını belirtiyor. Bulaşma, hedef kişinin banka makbuzu, fatura, ödeme kaydı veya iş belgesi gibi gösterilen bir JavaScript dosyasını açmasıyla başlıyor. Dosya, korumalı alan karşıtı denetimlerden sonra sahte bir hata gösteriyor, Node.js indiriyor, zamanlanmış görev üzerinden kalıcılık oluşturuyor ve ek yükün konumunu bir Ethereum akıllı sözleşmesinden alıyor.
Adına rağmen KREMLIN, 2025 Mayıs'ından beri 12 bankayı taklit eden oltalarla en az yedi kampanya yürüten Brezilya bağlantılı bir operasyonla ilişkilendiriliyor. Kötü amaçlı yazılım bir uzantıyı tarayıcı profil dizinlerine kopyalıyor, geliştirici modunu etkinleştiriyor ve uzantıyı Chromium'un Secure Preferences dosyasına kaydediyor. Ardından tarayıcı ayarlarını koruyan kriptografik bütünlük denetimlerini yeniden oluşturarak uzantının kullanıcı onayı olmadan geçerli görünmesini sağlıyor. Uzantı kendisini AVSync olarak gösteriyor.
Elastic araştırmacıları, operasyonu Internet Archive üzerinden barındırılan JPEG görsellerinin içine gizlenmiş ek yüklerle ilişkilendirdi. Daha yeni kampanyalarda REMCOS uzaktan erişim aracı, önceki faaliyetlerde ise Pulsar RAT kullanıldı; araştırmacılar değişikliğin muhtemelen REMCOS'un daha fazla özellik sunmasından kaynaklandığını söylüyor. Elastic, neredeyse tamamı Brezilya'da (Brazil) bulunan 1.515 bulaşmış sistemi doğruladı ve kötü amaçlı yazılımın korumalı alan karşıtı işaretleyici olarak kullandığı bir alan adını kaydederek kampanyayı sekteye uğrattı.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.