Glove Stealer Malware

Eldiven Çalıcı Kötü Amaçlı Yazılım, siber tehditler manzarasına yeni eklenen, Google Chrome'un Uygulamaya Bağlı (App-Bound) şifrelemesini aşma yeteneğiyle öne çıkan bir yazılımdır. Siber güvenlik araştırmacıları tarafından ilk olarak bir kimlik avı kampanyası araştırması sırasında tanımlanan bu tehdit, kötü niyetli aktörler ve güvenlik çözümleri arasındaki silahlanma yarışında önemli bir anı temsil eder.

Glove Stealer'ı diğerlerinden ayıran şey, nispeten basit yapısıdır. Erken bir geliştirme aşamasına işaret eden minimal karartma veya savunma mekanizmaları gösterir. Ancak, basitliği potansiyelini zayıflatmaz. Bu kötü amaçlı yazılım yeni bir zorluk getirir ve evriminin çok geride olmayabileceğinin sinyalini verir.

Sosyal Mühendislik: Enfeksiyon İçin Fırlatma Rampası

Glove Stealer'ı dağıtan enfeksiyon zinciri, ClickFix kampanyalarında kullanılanlara benzeyen sosyal mühendislik taktiklerine dayanır. Mağdurlar, hata pencerelerini simüle eden sahte HTML ekleri içeren kimlik avı e-postalarıyla kandırılır. Kullanıcılar bu istemlerle etkileşime girdiğinde, farkında olmadan kötü amaçlı yazılımın kurulum sürecini tetikler ve hassas bilgilerin sızdırılması için ortamı hazırlar.

Hedeflenen sisteme girdikten sonra, Glove Stealer, Chrome, Edge, Brave, Yandex ve Opera gibi popüler tarayıcılardan çerezleri hızla çıkararak etkinliğini gösterir. Erişimi tarayıcıların ötesine uzanır, Firefox kullanıcılarını da hedef alır ve çok yönlü bir saldırı stratejisi sergiler.

Çok Yönlü Bir Veri Hırsızı

Glove Stealer'ın öne çıkan özelliklerinden biri, çok çeşitli kaynaklardan veri çıkarabilme yeteneğidir. Kötü amaçlı yazılım, şunları toplamada ustadır:

• Tarayıcı Çerezleri: İlk veri toplama işleminin birincil hedefi olup, saldırganların kimliği doğrulanmış oturumları ele geçirmesine yardımcı olur.
• Kripto Para Cüzdanları: Dijital para sahipleri için önemli bir endişe kaynağı olan tarayıcı uzantılarından cüzdan verilerini çıkarır.
• 2FA Token'ları: Bu token'lar, Google, Microsoft, Aegis ve LastPass gibi kimlik doğrulama uygulamalarından gelen oturumları hedef alarak, güvenliğin temel bir katmanını tehlikeye atar.
• Şifre Verileri: Bitwarden, KeePass ve LastPass gibi şifre yöneticilerinde saklanan kimlik bilgilerini çalar.
• E-postalar: Hassas iletişimlere erişmek için e-posta istemcilerini, özellikle Thunderbird'ü tehlikeye atar.

Bunların dışında Glove Stealer, 280'den fazla tarayıcı uzantısını ve yaklaşık 80 yerel olarak yüklenmiş uygulamayı hedef alıyor ve kripto para cüzdanlarına, e-posta istemcilerine ve kimlik doğrulama araçlarına odaklandığını vurguluyor.

Uygulamaya Bağlı Şifrelemeyi Atlatma: Teknik Avantaj

Glove Stealer'ın en önemli ilerlemelerinden biri, Chrome'un Uygulamaya Bağlı şifrelemesini aşma yeteneğidir. Chrome 127'de tanıtılan bu güvenlik özelliği, tarayıcı çerezlerini yetkisiz erişimden korumak için tasarlanmıştır. Glove Stealer, bunu başarmak için belirli bir modülden yararlanır ve SYSTEM ayrıcalıklarıyla çalışan Chrome'un COM tabanlı IElevator Windows hizmetini kullanarak Uygulamaya Bağlı şifrelenmiş anahtarları şifresini çözer ve alır.

Ancak bu teknik, modülü Chrome'un Program Dosyaları dizinine yerleştirmek için tehlikeye atılan sistemde yerel yönetici hakları gerektirir. Bu, başlangıçta bir engel teşkil etse de, birçok saldırgan, istismar zincirleri ve sosyal mühendislik taktikleri aracılığıyla bu ayrıcalık gereksinimlerini aşmanın yollarını bulmuştur.

Yeni Bir İsimle Tanıdık Bir Strateji

Glove Stealer'ın şifrelemeyi atlatmak için kullandığı yöntem tamamen yeni değil. Analistler, yaklaşımı ile Chrome'un ilk kez Uygulamaya Bağlı şifrelemesini devreye sokmasından sonra ortaya çıkan önceki bilgi hırsızlarında görülen yaklaşımlar arasında benzerlikler olduğunu belirtti. Bu, bir eğilimi vurguluyor: kötü amaçlı yazılım geliştiricileri yeni güvenlik önlemlerinden kaçınmak için yerleşik teknikleri geliştiriyor. Yönetici ayrıcalıkları gerektirmesine rağmen, Glove Stealer'ın bu atlatmayı benimsemesi, geliştiricilerinin onu daha gelişmiş bilgi toplayıcılarıyla aynı seviyeye getirmeyi amaçladığını gösteriyor.

Büyüyen Bir Tehdit Manzarası

Temmuz ayında Chrome'un Uygulamaya Bağlı şifrelemesinin tanıtılmasından bu yana, bilgi çalma kampanyalarının hacminde önemli bir düşüş olmadı. Aslında, saldırılar daha karmaşık hale geldi ve kurbanları şu gibi çeşitli yöntemlerle hedef aldı:

• Kötü Amaçlı Reklamcılık ve Hedefli Kimlik Avı : Mağdurları tuzağa düşürmek için aldatıcı reklamları ve hedefli kimlik avını kullanma.
• Güvenlik Açıklarının İstismarı : Güvenlik protokollerini atlatmak için sıfırıncı gün istismarlarını ve güvenlik açığı olan sürücüleri kullanma.
• Aldatıcı Çevrimiçi Taktikler : Kötü amaçlı yazılımları StackOverflow çözümlerinde ve GitHub sorun yanıtlarında gizleme.

Bu tür operasyonların sürekli başarısı, güçlü şifreleme önlemlerinin bile tek başına motive olmuş saldırganları caydıramayacağını göstermektedir. Eldiven Hırsızı, yeni güvenlik uygulamalarını istismar edip atlatmak için hızlı davranan tehdit aktörlerinin uyarlanabilir doğasının bir kanıtıdır.

Önümüzdeki Yol

Glove Stealer'ın erken aşama geliştirmesi ve temel bypass teknikleri sınırlı bir mevcut etkiyi öne sürerken, varlığı kötü amaçlı yazılım yeteneklerinin daha geniş bir eğilimine işaret ediyor. Bu tehdit gelişmeye devam ettikçe, erişimini ve etkinliğini genişletmek için daha sofistike yöntemler içerebilir.

Glove Stealer gibi tehditlerin ortaya çıkışını anlamak siber güvenlik uzmanları için hayati önem taşır. Bilgili ve uyanık kalmak, uç nokta savunmalarını güncellemek ve kullanıcıları kimlik avı ve sosyal mühendislik taktiklerini belirleme konusunda eğitmek, ortaya çıkan tehditlere karşı korunmada kritik adımlar olmaya devam etmektedir.

Glove Stealer'ın yolculuğu daha yeni başlamış olabilir, ancak güvenlik önlemlerini zorlamaya ve siber güvenlikte daha fazla yeniliğe yol açmaya hazır.