Araştırmacılara göre saldırı, sahte Google doğrulama ekranı kullanarak kullanıcıları kandırıp kripto para ile oturum bilgilerini çalmaya yönelik daha geniş bir operasyonun parçasıydı.
Yeni bir rapora (kaynak İngilizce) göre, sahte CAPTCHA kontrolleri kullanılarak bir Ukrayna devlet kurumunu hedef alan şüpheli bir siber saldırı Moskova’ya bağlandı.
REKLAM
REKLAM
ABD’li teknoloji devi Cisco, siber güvenlik araştırmacılarının Nisan ayında kurumun bilgisayar sistemlerinde olağandışı faaliyetler tespit ettiğini ve saldırının Rusya merkezli bir tehdit aktörü tarafından gerçekleştirildiğini “orta düzeyde güvenle” değerlendirdiklerini açıkladı.
Cisco’nun araştırmacıları, Amatera adı verilen ve hassas bilgileri çalabilen bir zararlı yazılımın sistemde çalıştığını belirledi.
Şirkete göre bu yazılım, saldırgana bilgisayara erişim sağlayan, dosyaları inceleme, veri aktarma ve komut çalıştırma imkanı tanıyan başka yazılımlar yüklemek için de kullanıldı.
Cisco, yazılımın IP adresi Rusya’da bulunan bir sunucuya bağlanacak şekilde yapılandırıldığını tespit etti.
Raporda, Ukrayna kurumundan gerçekten bilgi çalınıp çalınmadığı, bilgisayar korsanlarının bu erişimi aktif olarak kullanıp kullanmadıkları ya da bilgisayarın ilk etapta nasıl enfekte olduğu doğrulanamadı.
Buna karşın Cisco araştırmacıları, saldırının kripto para ve kimlik bilgileri çalmaya yönelik daha geniş çaplı bir operasyonun parçası olduğu değerlendirmesinde bulundu.
Raporda “Çalıştırma zincirini neyin tetiklediği net değildi” denildi.
Tuzak hâline gelen CAPTCHA kontrolleri
Ukrayna’daki sistemde Cisco araştırmacıları, “verification.google” adıyla gizlenmiş kötü amaçlı bir dosya gördü ancak bunun çalışmasına neyin yol açtığını izleyemedi.
Ukrayna’daki enfeksiyonun nasıl başlamış olabileceğini anlamak için benzer saldırıları araştırdılar ve aynı Amatera zararlı yazılımını içeren başka bir enfeksiyon tespit ettiler.
Bu kez, insan ziyaretçileri otomatik botlardan ayırmak için kullanılan Google’ın CAPTCHA doğrulama kontrolünün sahte sürümlerini gösteren, ele geçirilmiş internet sitelerine kadar iz sürebildiler.
Ancak kullanıcıdan yalnızca bir kutucuğu işaretlemesini ya da görselleri tanımlamasını istemek yerine, sahte doğrulama kontrolleri onlara bilgisayarlarında bir pencere açıp zararlı yazılımı çalıştıracak bir metni yapıştırmalarını söylüyordu.
Söz konusu enfeksiyonda Amatera, kripto para çalmak üzere tasarlanmış bir programı yüklemek için de kullanıldı.
Program, kurbanların kopyaladıkları kripto para cüzdan adreslerini izleyip bunları saldırganların kontrol ettiği adreslerle değiştirebiliyor, böylece ödemeleri başka yöne yönlendirebiliyordu.
Cisco, enfeksiyonlar arasındaki benzerliklerin Ukrayna’ya yönelik saldırının da aynı şekilde başlamış olabileceğine işaret ettiğini belirtiyor.
Ancak araştırmacılar, iki enfeksiyonun gerçekten aynı biçimde başlamış olduğunu ya da aynı grup tarafından gerçekleştirildiğini doğrulayamadı.