Ücretli Google arama reklamları ve ChatGPT’nin resmi internet sitesinde paylaşılan sohbetler aracılığıyla Mac kullanıcılarını kandırmayı amaçlayan yeni bir zararlı yazılım kampanyası tespit edildi. Söz konusu kampanyada saldırganlar, kullanıcıları AMOS (Atomic macOS Stealer) adlı bilgi hırsızı yazılımı ve kalıcı bir arka kapıyı cihazlarına kendi elleriyle kurmaya yönlendiriyor.
Bu kampanyada saldırganlar, “chatgpt atlas” gibi arama sorguları için sponsorlu reklamlar satın alıyor ve kullanıcıları, chatgpt.com alan adı üzerinde barındırılan “ChatGPT Atlas for macOS” adlı sözde bir kurulum rehberine yönlendiriyor.
Gerçekte ise bu sayfa, istem mühendisliği (prompt engineering) kullanılarak oluşturulmuş paylaşıma açık bir ChatGPT sohbetinden ibaret. İçerik, yalnızca adım adım “kurulum” talimatları kalacak şekilde düzenlenmiş durumda. Rehber, kullanıcılardan tek satırlık bir kodu kopyalamalarını, macOS Terminal’i açarak bu komutu yapıştırmalarını ve istenen tüm izinleri vermelerini istiyor.
Güvenlik araştırmacılarının analizine göre, bu komut atlas-extension[.]com adlı harici bir alan adından bir betik indirip çalıştırıyor. Betik, sistem komutlarını çalıştırmayı deneyerek doğrulama yapmak amacıyla kullanıcıdan tekrar tekrar sistem parolasını talep ediyor. Doğru parola girildiğinde ise betik, AMOS bilgi hırsızını indiriyor, ele geçirilen kimlik bilgilerini kullanarak zararlı yazılımı sisteme kuruyor ve çalıştırıyor.
Bu enfeksiyon süreci, kullanıcıların uzaktaki sunuculardan kod indirip çalıştıran kabuk komutlarını manuel olarak yürütmeye ikna edildiği ClickFix olarak bilinen tekniğin bir varyasyonunu temsil ediyor.
AMOS, kurulumun ardından maddi kazanç sağlamak veya daha sonraki saldırılarda kullanılmak üzere çeşitli verileri topluyor. Zararlı yazılım; popüler tarayıcılardan parola ve çerezleri, Electrum, Coinomi ve Exodus gibi kripto para cüzdanlarına ait verileri, ayrıca Telegram Desktop ve OpenVPN Connect gibi uygulamalardan bilgileri hedef alıyor.
Bununla birlikte Masaüstü, Belgeler ve İndirilenler klasörlerinde bulunan TXT, PDF ve DOCX uzantılı dosyaları, Notes uygulaması tarafından saklanan dosyalarla birlikte tarıyor ve bu verileri saldırganların kontrolündeki altyapıya sızdırıyor. Paralel olarak, sistem yeniden başlatıldığında otomatik olarak devreye giren bir arka kapı da kuruluyor; bu arka kapı saldırganlara uzaktan erişim imkânı sağlıyor ve AMOS ile büyük ölçüde örtüşen bir veri toplama mantığıyla çalışıyor.
Bu kampanya, bilgi hırsızı zararlı yazılımların 2025 yılının en hızlı büyüyen tehditleri arasında yer aldığına işaret eden daha geniş bir eğilimin parçası olarak öne çıkıyor. Saldırganlar, oltalama senaryolarını daha inandırıcı kılmak için yapay zekâ temalarını, sahte YZ araçlarını ve YZ tarafından üretilmiş içerikleri giderek daha fazla kullanıyor.
Son dönemde sahte YZ tarayıcı kenar çubukları ve popüler modeller için hazırlanmış sahte istemci uygulamaları gibi örnekler görülürken, Atlas temalı bu faaliyet, meşru bir YZ platformunun yerleşik içerik paylaşım özelliğinin kötüye kullanılmasına kadar uzanıyor.
