Storm Stealer

Siber güvenlik araştırmacıları, Google Chrome, Microsoft Edge ve Mozilla Firefox kullanıcılarını hedef alan gelişmiş yeni bir tehdidi doğruladı. Storm olarak bilinen bu gelişmiş bilgi hırsızı, parola hırsızlığı, iki faktörlü kimlik doğrulama atlatma için oturum çerezlerinin ele geçirilmesi ve ödeme kartı verilerinin toplanması gibi çok işlevli bir saldırı platformu olarak çalışıyor ve tek bir kötü amaçlı hizmette birleşiyor.

Kiralanabilir bir araç seti olarak sunulan Storm, siber suçlular için giriş engelini önemli ölçüde düşürürken, bir milyardan fazla tarayıcı kullanıcısını potansiyel risk altına sokmaktadır.

Fırtınanın İç Yüzü: Sessiz ve Sofistike Bir Bilgi Hırsızı

Storm, veri çıkarma işlemini en üst düzeye çıkarırken tespit edilmekten kaçınmak üzere tasarlanmıştır. Uç nokta güvenlik araçlarını atlatır, tarayıcı kimlik bilgilerini uzaktan şifresini çözer ve saldırganların alarm vermeden ele geçirilmiş oturumları geri yüklemelerini sağlar.

Yerel şifre çözme tekniklerine dayanan geleneksel kötü amaçlı yazılımların aksine, Storm gizlilik odaklı bir mimariyle çalışır. Kimlik bilgileri, oturum çerezleri ve kripto para cüzdanı bilgileri de dahil olmak üzere hassas tarayıcı verilerini sessizce saldırganın kontrolündeki sunuculara sızdırır; burada şifre çözme işlemi enfekte olmuş sistemden uzakta gerçekleşir. Bu uzaktan yaklaşım, modern güvenlik savunmalarını tetiklemekten kaçınmasını sağlar.

Kimlik Bilgisi Hırsızlığı Tekniklerinin Evrimi

Kimlik bilgilerini çalma yöntemleri önemli bir dönüşüm geçirdi. Tarihsel olarak, saldırganlar tarayıcı kimlik bilgisi depolarına erişmek için SQLite kütüphanelerini kullanarak doğrudan kurban cihazlarındaki verileri çıkarıp şifresini çözüyorlardı. Ancak, güvenlik çözümleri geliştikçe, bu tür faaliyetleri tespit etmek daha kolay hale geldi.

Google'ın 2024 yılında Chrome 127 ile başlayarak uygulamaya dayalı şifreleme (App-Bound Encryption) özelliğini kullanıma sunması, şifreleme anahtarlarını tarayıcının kendisine bağlayarak bu saldırıları daha da karmaşık hale getirdi. Saldırganlar tarayıcı hata ayıklama protokollerinden yararlanmaya veya kötü amaçlı kod enjekte etmeye çalışsalar bile, güvenlik sistemleri genellikle şüpheli davranışları tespit edebiliyordu.

Storm, yerel şifre çözme yöntemini tamamen terk ederek ve işlemleri saldırganın kontrolündeki altyapıya kaydırarak bu evrimin bir sonraki adımını temsil ediyor ve böylece kurbanın makinesinde tespit edilebilir izleri en aza indiriyor.

Sunucu Tarafı Şifre Çözme ve Tarayıcılar Arası Erişim

Storm, uzak sunucularda şifre çözme işlemini tamamen ele alarak önceki bilgi hırsızlığı yazılımlarının ötesine geçiyor. Hem Chromium tabanlı hem de Gecko tabanlı tarayıcıları destekleyerek farklı ortamlarda son derece çok yönlü bir kullanım sunuyor.

Çalınan veriler şifresi çözüldükten sonra, siber suçlular tarafından kullanılan merkezi bir operatör paneline iletilir. Bu panel, istismar aşamasına otomasyon getirerek saldırganların ele geçirdikleri verileri büyük ölçekte verimli bir şekilde kullanmalarını sağlar.

Otomatik Oturum Ele Geçirme ve Kurumsal Risk

Storm'un özellikle tehlikeli bir özelliği, kimliği doğrulanmış oturumları geri yükleme yeteneğidir. Saldırganlar, coğrafi olarak eşleşen bir SOCKS5 proxy'si ile birlikte bir Google Yenileme Token'ı sağlayarak, kimlik doğrulama zorluklarını tetiklemeden kurbanın aktif oturumunu sessizce yeniden kurabilirler.

Bu yeteneğin ciddi sonuçları vardır:

• Tek bir ele geçirilmiş tarayıcı aracılığıyla kurumsal ortamlar tehlikeye girebilir ve SaaS platformlarına, iç sistemlere ve bulut altyapısına erişim sağlanabilir.
• Bireysel kullanıcılar, iki faktörlü kimlik doğrulamasını doğrudan atlamaya gerek duymadan hesap ele geçirme, mali dolandırıcılık ve diğer hedefli saldırılarla karşı karşıya kalabilirler.

Daha önce kimliği doğrulanmış oturumların yeniden kullanılması, geleneksel oturum açma koruma yöntemlerini fiilen geçersiz kılmaktadır.

Düşük Maliyetli, Yüksek Etkili Siber Suçla Mücadele Hizmeti

Siber suçlular için Storm, ayda sadece 1.000 dolara mal olan bir ücret karşılığında erişilebilir ancak güçlü bir araç haline geliyor. Bu uygun fiyat, gelişmiş saldırı yeteneklerinin yayılmasını hızlandırarak, daha az deneyimli tehdit aktörlerinin son derece etkili kampanyalar yürütmesini sağlıyor.

Düşük maliyet, gizlilik ve otomasyonun birleşimi, ölçeklenebilir, hizmet tabanlı siber suç operasyonlarına doğru önemli bir değişimi işaret etmektedir.

Savunma Önlemleri: Fırtınaya Maruz Kalmayı Azaltmak

Güvenlik uzmanları, Storm gibi tehditlerin oluşturduğu riskleri azaltmak için günlük siber güvenlik uygulamalarını güçlendirmenin önemini vurguluyor:

• Güvenilmeyen veya resmi olmayan kaynaklardan yazılım indirmekten kaçının.
• Kimlik avı ve diğer sosyal mühendislik taktiklerine karşı tetikte olun.
• Her hesap ve hizmet için benzersiz şifreler kullanın.
• Mümkün olan her yerde iki faktörlü kimlik doğrulamayı etkinleştirin ve desteklendiğinde parola kullanımını benimseyin.

Tek başına hiçbir önlem tam koruma sağlamasa da, katmanlı güvenlik, ihlal olasılığını önemli ölçüde azaltır.