NotnullOSX macOS Kötü Amaçlı Yazılım

notnullOSX, Go programlama dilinde yazılmış, gelişmiş bir bilgi hırsızlığı kötü amaçlı yazılım ailesidir. Özellikle kripto para birimleri ve diğer hassas verileri çalmaya odaklanarak macOS kullanıcılarını hedef alacak şekilde tasarlanmıştır. Tehdit aktörleri genellikle aldatıcı ClickFix kampanyaları ve truva atı bulaştırılmış DMG kurulum dosyaları aracılığıyla dağıtır. Herhangi bir cihazda tespit edilirse, derhal kaldırılmalıdır.

notnullOSX, enfeksiyon sonrasında nasıl çalışır?

notnullOSX kurulduktan ve tam disk erişimi sağlandıktan sonra, sistemde depolanan dosyaların büyük bir bölümünü okuyabilir. Uzak bir komut sunucusuyla iletişim kurar ve her biri belirli bir görev için tasarlanmış ayrı kötü amaçlı modüller indirir.

Bu geçici bileşenler, parolaları çalmak, dosyaları kopyalamak, kimlik bilgilerini toplamak ve kötü amaçlı yazılımın işlevselliğini genişletmek için kullanılabilir. Modüller ihtiyaç duyulduğunda alındığı için, saldırganlar ilk saldırıdan sonra enfeksiyonu sürekli olarak uyarlayabilirler.

Tarayıcı ve Kişisel Veri Hırsızlığı Yetenekleri

notnullOSX, büyük web tarayıcılarında depolanan verilere yoğun bir şekilde odaklanmaktadır. Google Chrome, Mozilla Firefox ve Safari'den belirli bilgi kategorilerini çıkarmak için farklı modüller kullanılmaktadır.

Bu kötü amaçlı yazılım şunları çalabilir:

• Kaydedilmiş şifreler, çerezler, yer işaretleri ve tarama geçmişi
• Cihazda saklanan notlar, Telegram Desktop oturum verileri ve ekler ve biçimlendirme dahil olmak üzere konuşma başına 500 adede kadar mesaj.
• SSH anahtarları, bulut kimlik bilgileri, API belirteçleri ve yapılandırma dosyaları kullanıcının ana klasörüne kaydedilir.

Çalınan bu bilgiler, suçlulara hesaplara, sunuculara, bulut ortamlarına ve geliştirme platformlarına erişim imkanı sağlayabilir.

Kripto Para Cüzdanları Birincil Hedef

notnullOSX'in en önemli hedeflerinden biri kripto para hırsızlığıdır. Bu kötü amaçlı yazılım, Atomic Wallet, Bitcoin Core, Electrum, Exodus ve Wasabi Wallet gibi popüler cüzdan yazılımlarıyla bağlantılı verileri arar.

Ayrıca tarayıcı tabanlı cüzdan uzantılarını tarar ve şifrelenmiş kurtarma ifadeleri de dahil olmak üzere depolanan bilgileri kopyalar. Şifrelenmiş cüzdan verileri bile daha sonra parola saldırıları veya daha ileri sosyal mühendislik yöntemleriyle kötüye kullanılabilir.

Uygulama Değiştirme Özelliği Tehlikeyi Artırıyor

Birçok geleneksel uygulama hırsızının aksine, notnullOSX meşru uygulamaları kötü amaçlı benzerleriyle değiştirebilir. Cüzdan yazılımı gibi güvenilir bir uygulamanın sahte bir sürümünü indirebilir, orijinal uygulamayı değiştirebilir ve aynı simgeyi ve görünümü koruyabilir.

Başlatıldığında, sahte uygulama normal görünürken gizlice cüzdan kurtarma ifadeleri gibi hassas bilgileri toplar. Bu özellik uzaktan etkinleştirilebilir veya devre dışı bırakılabilir ve genellikle yalnızca hedef uygulama kurbanın sisteminde zaten mevcut olduğunda kullanılır.

Bir Hırsızdan Daha Fazlası: Sıçan Benzeri Davranış

notnullOSX, standart bir bilgi hırsızlığından ziyade Uzaktan Erişim Truva Atı (RAT) gibi çalışır. Operatörleriyle sürekli bağlantı kurar ve düzenli olarak komutlar için kontrol yapar.

Bu, saldırganlara şunları yapma olanağı sağlar:

• Enfeksiyondan sonra yeni talimatlar gönderin.
• Ek zararlı modülleri indirin ve çalıştırın.
• Yetenekleri güncelleyin veya ek yükler dağıtın
• Tehlikeye maruz kalmış sistemler üzerinde uzun vadeli kontrolü sürdürün.

Bu esneklik nedeniyle, enfeksiyonlar zamanla evrim geçirebilir ve önemli ölçüde daha zararlı hale gelebilir.

notnullOSX Nasıl Dağıtılıyor?

Bu kötü amaçlı yazılım, öncelikle kullanıcıları yazılımı kendileri yüklemeye yönlendiren sosyal mühendislik saldırıları yoluyla yayılıyor. Kurbanlara, 'korumalı Google Dokümanı' uyarısı veya hasarlı bir macOS uygulaması mesajı gibi sahte sorunlar gösterilebiliyor. Daha sonra, ClickFix olarak bilinen bir taktikle, sorunu belirli adımlarla düzeltmeleri isteniyor.

Bu adımlar genellikle Terminal'de komut çalıştırmayı veya kötü amaçlı DMG dosyalarını açmayı içerir. notnullOSX ayrıca sahte yazılım web siteleri, hileli indirme portalları, ele geçirilmiş YouTube kanalları ve 'WallSpace.app' gibi duvar kağıdı araçları gibi sahte uygulamalar aracılığıyla da dağıtılmıştır.

Hatta bazı kurbanlar, tam disk erişimini manuel olarak etkinleştirmeye yönlendiriliyor ve bu da kötü amaçlı yazılımın cihaz üzerinde geniş bir görünürlüğe sahip olmasına olanak tanıyor.

Nihai Güvenlik Değerlendirmesi

notnullOSX, tarayıcı verilerini, kripto para varlıklarını, özel iletişimleri, kimlik doğrulama materyallerini ve geliştirici kimlik bilgilerini çalabilen son derece tehlikeli bir macOS tehdididir. Modüler tasarımı, kalıcı uzaktan kontrolü ve uygulama değiştirme özellikleri onu özellikle tehlikeli hale getirir. Kurbanlar hesap güvenliğinin ihlal edilmesi, kimlik hırsızlığı, mali kayıp ve daha fazla kötü amaçlı yazılım yayılmasıyla karşı karşıya kalabilir. Tespit edildikten sonra derhal kaldırılması ve tam kimlik bilgilerinin sıfırlanması şiddetle tavsiye edilir.