Trojan-Proxy Kötü Amaçlı Yazılım

Korsan yazılım platformları olarak çalışan hileli web sitelerinin, macOS kullanıcılarına yeni bir Trojan-Proxy kötü amaçlı yazılım bulaştıran truva atı haline getirilmiş uygulamaların ana kaynağı olduğu belirlendi. Bu kötü amaçlı yazılım, saldırganların bir proxy sunucu ağı kurarak veya kurban adına yasa dışı faaliyetlerde bulunarak gelir elde etmesine olanak tanır. Bu tür faaliyetler arasında web sitelerine, şirketlere ve bireylere saldırılar düzenlenmesinin yanı sıra ateşli silahlar, uyuşturucular ve diğer yasa dışı öğelerin satın alınması da yer alabilir.

Siber güvenlik uzmanları, bu kötü amaçlı yazılımın platformlar arası bir tehdit oluşturduğunu gösteren kanıtlar ortaya çıkardı. Bu, hem Windows hem de Android sistemleri için keşfedilen ve korsan araçlarla ilişkilendirilen eserlerle doğrulanmaktadır.

Trojan-Proxy Kötü Amaçlı Yazılımı macOS Cihazlarına Bulaşabilir

Kampanyanın macOS çeşitleri meşru multimedya, resim düzenleme, veri kurtarma ve üretkenlik araçları gibi görünerek yayıldı. Bu da korsan yazılım arayışındaki kişilerin saldırının odak noktası haline geldiğini gösteriyor. Disk görüntüsü (.DMG) dosyaları olarak dağıtılan orijinal benzerlerinin aksine, sahte sürümler .PKG yükleyicileri olarak sağlanır. Bu yükleyiciler, yükleme işleminden sonra kötü amaçlı etkinlikleri tetikleyen bir yükleme sonrası komut dosyası içerir. Yükleyiciler genellikle yönetici izinleri istediğinden, yürütülen komut dosyası bu izinleri devralır.

Kampanyanın nihai hedefi, tespit edilmekten kaçınmak için kendisini macOS'ta WindowServer işlemi olarak gizleyen Trojan-Proxy'yi serbest bırakmaktır. WindowServer, Windows'u yönetmekten ve uygulamaların grafik kullanıcı arayüzünü (GUI) oluşturmaktan sorumlu temel bir sistem işlemi olarak hizmet eder.

Trojan-Proxy Saldırganlardan Gelen Talimatları Gizlice Bekliyor

Kötü amaçlı yazılım, ele geçirilen cihazda yürütüldükten sonra HTTPS üzerinden DNS (DoH) aracılığıyla bağlantı için Komuta ve Kontrol (C2) sunucusunun IP adresini almaya çalışır. Bu, DNS isteklerinin ve yanıtlarının HTTPS protokolü kullanılarak şifrelenmesiyle gerçekleştirilir.

Daha sonra Trojan-Proxy, daha sonraki talimatları bekleyerek C2 sunucusuyla iletişim kurar. Bağlanılacak IP adresi, kullanılacak protokol ve iletilecek mesaj gibi bilgileri çıkarmak için gelen mesajları işler. Bu, trafiği virüslü ana bilgisayar üzerinden yeniden yönlendirerek TCP veya UDP üzerinden proxy olarak çalışabilme yeteneğini gösterir.

Araştırmacıların sağladığı bilgilere göre Trojan-Proxy kötü amaçlı yazılımının izi 28 Nisan 2023'e kadar uzanabiliyor. Bu tür tehditlere karşı koymak için kullanıcılara güvenilmeyen kaynaklardan yazılım indirmemeleri şiddetle tavsiye ediliyor.

Truva Atı Tehditleri Çok Çeşitli Güvenli Olmayan Eylemleri Gerçekleştirecek Şekilde Programlanabilir

Truva atı kötü amaçlı yazılımları, aldatıcı ve çok yönlü yapısı nedeniyle kullanıcılar için çeşitli riskler oluşturur. Kullanıcılara, cihazlarında kapsamlı bir güvenlik yaklaşımı uygulamaları şiddetle tavsiye edilir, aksi takdirde Truva Atı bulaşması durumunda önemli sonuçlarla karşı karşıya kalma riskiyle karşı karşıya kalırsınız:

• Gizli Yükler : Truva atları kendilerini yasal yazılım veya dosyalar gibi gizleyerek kullanıcıları farkında olmadan kötü amaçlı kod yüklemeleri için kandırır. Gizlenen veriler arasında fidye yazılımı, casus yazılım, tuş kaydedici veya diğer yıkıcı yazılım türleri bulunabilir.
• Veri Hırsızlığı : Truva atları genellikle oturum açma kimlik bilgileri, finansal veriler veya kişisel ayrıntılar dahil olmak üzere belirli bilgileri toplamayı amaçlar. Toplanan bu bilgiler, kimlik hırsızlığı, mali dolandırıcılık veya hassas hesaplara yetkisiz erişim gibi çeşitli güvenli olmayan amaçlarla kullanılabilir.
• Uzaktan Erişim : Bazı Truva atları, saldırgana yetkisiz uzaktan erişim sağlamak üzere tasarlanmıştır. Truva atı konuşlandırıldıktan sonra saldırgan, virüslü sistem üzerinde kontrol sahibi olur ve dosyaları manipüle etmesine, ek kötü amaçlı yazılım yüklemesine ve hatta ele geçirilen cihazı daha büyük ölçekli saldırılarda kullanmasına olanak tanır.
• Botnet Oluşumu : Truva atları botnet oluşumuna katkıda bulunabilir. Bot ağları, tek bir kuruluş tarafından kontrol edilen, tahrif edilmiş bilgisayarlardan oluşan ağlardır. Bu bot ağları, Dağıtılmış Hizmet Reddi (DDoS) saldırıları başlatmak, spam yaymak veya diğer koordineli siber tehditlere katılmak gibi çeşitli güvenli olmayan faaliyetler için kullanılabilir.
• Sistem Hasarı : Truva atları, dosyaları silerek, ayarları değiştirerek veya sistemi çalışmaz hale getirerek kullanıcının sistemine doğrudan zarar verecek şekilde programlanabilir. Bu, önemli miktarda veri kaybına neden olabilir ve normal bilgi işlem faaliyetlerini kesintiye uğratabilir.
• Proxy Hizmetleri : Bazı Truva atları proxy sunucu görevi görerek saldırganların internet trafiğini virüslü sistem üzerinden yönlendirmesine olanak tanır. Bu durum, saldırıların gerçek kaynağını gizleyerek kötü amaçlı faaliyetler yürütmek için kullanılabilir, bu da yetkililerin kaynağın izini sürmesini zorlaştırır.
• Diğer Kötü Amaçlı Yazılımların Yayılması : Truva atları genellikle diğer kötü amaçlı yazılım türlerini dağıtmak için araç görevi görür. Bir sisteme girdikten sonra ek kötü amaçlı yazılımlar indirip yükleyebilirler, bu da kullanıcının karşılaştığı tehditleri artırır.

Truva atı kötü amaçlı yazılımlarıyla ilişkili riskleri azaltmak için kullanıcılara, saygın kötü amaçlı yazılım önleme yazılımlarının kullanılması, düzenli sistem güncellemeleri ve özellikle güvenilmeyen kaynaklardan dosya indirirken veya bağlantılara tıklarken dikkatli olmaları da dahil olmak üzere güçlü siber güvenlik uygulamaları kullanmaları önerilir.