Torg Hırsızı

Torg, bulaşmış sistemlerden hassas verileri çıkarmak ve API tabanlı bir altyapı aracılığıyla siber suçlulara iletmek üzere tasarlanmış, son derece tehlikeli bir bilgi hırsızlığı kötü amaçlı yazılımıdır. Kötü amaçlı yazılımın Hizmet Olarak Yazılım (MaaS) modeli altında dağıtılması, çok çeşitli tehdit aktörleri tarafından erişilebilir olmasını sağlar. Bir cihazda tespit edildiğinde, daha fazla veri ihlalini önlemek için derhal kaldırılması çok önemlidir.

Kapsamlı Tarayıcı Hedefleme Yetenekleri

Torg'un en önemli güçlü yönlerinden biri, çok çeşitli web tarayıcılarını ele geçirebilme yeteneğidir. Özellikle Chrome, Edge, Brave ve Opera gibi Chromium tabanlı tarayıcıların yanı sıra Firefox tabanlı tarayıcıları da hedef alır. Toplamda, düzinelerce tarayıcıdan veri çıkarabilir.

Bu kötü amaçlı yazılım, kaydedilmiş parolalar ve çerezler de dahil olmak üzere depolanmış oturum açma kimlik bilgilerine erişebiliyor. Ayrıca, bu bilgileri korumak için tasarlanmış tarayıcı güvenlik mekanizmalarını atlatmak veya şifresini çözmek üzere tasarlanmıştır; bu da güvenli verilerin bile çalınmaya karşı savunmasız kalmasına neden olur.

Tarayıcı Uzantılarını ve Hassas Eklentileri İstismar Etme

Torg, tarayıcı uzantılarını hedefleyerek erişim alanını önemli ölçüde genişletiyor. MetaMask ve Phantom gibi yaygın olarak kullanılan seçenekler de dahil olmak üzere, çoğu kripto para cüzdanlarıyla ilişkili 800'den fazla uzantıdan veri çıkarabiliyor. Ayrıca, parola yöneticileri ve iki faktörlü kimlik doğrulama araçları da dahil olmak üzere 100'den fazla güvenlik ile ilgili uzantıyı hedefliyor.

Finansal araçların ötesinde, bu kötü amaçlı yazılım çeşitli not alma eklentilerinden de bilgi topluyor. Bu eklentiler genellikle şifreler, kişisel notlar ve diğer gizli bilgiler gibi hassas kullanıcı verilerini sakladığından, saldırganlar için değerli hedefler haline geliyorlar.

Büyük Ölçekli Kripto Para Cüzdanı Hırsızlığı

Torg, hem tarayıcı tabanlı hem de masaüstü cüzdan uygulamalarını hedef alarak kripto para kullanıcıları için ciddi bir tehdit oluşturuyor. Atomic, AtomicDEX, Bitcoin Core, Daedalus, Electrum, Ethereum, Exodus, Monero, MyEtherWallet ve WalletWasabi dahil olmak üzere 30'dan fazla masaüstü cüzdan programından hassas cüzdan verilerini çıkarabiliyor.

Bu kötü amaçlı yazılım, cüzdan kurtarma anahtarları, özel anahtarlar ve oturum verileri gibi son derece hassas bilgileri çalabiliyor. Bu erişim düzeyi, saldırganların kripto para varlıklarının tam kontrolünü ele geçirmesine olanak sağlayabilir.

İletişim, Oyun ve Sistem Verilerini Hedefleme

Torg, veri hırsızlığı yeteneklerini çok çeşitli uygulama ve hizmetlere genişletiyor. LevelDB veritabanlarını tarayarak Discord token'larını çıkarabiliyor ve giriş kimlik bilgilerine gerek kalmadan hesaplara yetkisiz erişim sağlayabiliyor. Ayrıca Telegram oturum verilerini de ele geçirerek aktif kullanıcı oturumlarına erişim imkanı sunuyor ve oyun hesaplarını ele geçirmek veya taklit etmek için kullanılabilecek Steam yapılandırma dosyalarını çalıyor.

Ek hedefler şunlardır:

• VPN istemcileri (ExpressVPN, NordVPN, OpenVPN, PIA, ProtonVPN, Surfshark, WireGuard, Windscribe), FTP ve uzaktan erişim araçları (FileZilla, mRemoteNG, MobaXterm, Total Commander, WinSCP) ve Outlook ve Thunderbird gibi e-posta istemcileri.
• Oyun platformları (Battle.net, GOG Galaxy, Minecraft, Origin/EA, Rockstar Games, Ubisoft Connect) ve Masaüstü ile Belgeler klasörlerinde saklanan hassas dosyalar.
• Etki: Ciddi Gizlilik ve Finansal Riskler

Torg, kullanıcının bilgisi olmadan arka planda sessizce çalışarak çok çeşitli hassas bilgileri toplar. Bunlar arasında giriş kimlik bilgileri, finansal veriler, kişisel dosyalar ve hesap erişim belirteçleri yer almaktadır.

Geniş hedef kapsamı nedeniyle, enfeksiyonlar kimlik hırsızlığı, hesap ele geçirme, mali kayıplar ve uzun vadeli gizlilik ihlalleri gibi ciddi sonuçlara yol açabilir. Birden fazla platformu aynı anda tehlikeye atabilme yeteneği, onu özellikle yıkıcı kılmaktadır.

Torg Sistemlere Nasıl Bulaşıyor?

Virüs bulaşma süreci genellikle kullanıcıların meşru içerik gibi görünen kötü amaçlı dosyaları indirip çalıştırmasıyla başlar. Bunlar genellikle korsan yazılımlar, kırılmış uygulamalar, sahte yükleyiciler veya oyun hileleridir. İlk yük olan "dropper", sisteme gizlice ek kötü amaçlı bileşenler yükler.

Saldırı zinciri, çeşitli karmaşık aşamalardan oluşmaktadır:

• Bu zararlı yazılım, tespit edilmekten kaçınmak için gizleme ve şifreleme tekniklerini kullanarak gizli kötü amaçlı yazılım yayar.
• Kötü amaçlı kod, disk tabanlı tespitlerden kaçınarak doğrudan bellekte çalıştırılabilir.
• Yükleyici, süreçleri gizleyerek veya meşru Windows süreçlerine kod enjekte ederek sistemi hazırlar.

Son olarak, Torg hırsızı bellekte çalıştırılır ve veri sızdırma faaliyetlerine başlar.

ClickFix ve Diğer Aldatıcı Dağıtım Yöntemleri

Geleneksel bulaşma yollarına ek olarak, Torg, ClickFix olarak bilinen bir teknikle de yayılır. Bu yöntem, kullanıcıları genellikle meşru talimatlar gibi gizlenmiş kötü amaçlı komutları kopyalamaya ve çalıştırmaya yönlendirir. Bu komutlar tipik olarak, çalıştırıldıktan sonra bulaşma sürecini başlatan ve kötü amaçlı yazılımı otomatik olarak indiren PowerShell betikleridir.

Sosyal mühendislik taktikleri ve teknik gizleme ile birleştiğinde, bu dağıtım yöntemleri Torg'u son derece etkili ve tehlikeli bir tehdit haline getiriyor ve tespit edildiği takdirde derhal müdahale ve ortadan kaldırma gerektiriyor.