Chrome, Brave ve Opera tarayıcıları için hazırlanmış kötü amaçlı bir uzantı, güvenlik uzmanları tarafından keşfedilen yeni Satacom kampanyasının bir parçası olarak bulaştığı sistemlerden kripto para çalmak için kullanılıyor.
Yeni kampanyanın 2019’dan beri aktif olan ve çoğunlukla üçüncü parti web sitelerine yerleştirilmiş kötü amaçlı reklamlar aracılığıyla sunulan ünlü kötü amaçlı yazılım ailesi Satacom Downloader ile bağlantısı olduğu belirtiliyor.
Bu amaçla kurgulanan bağlantılar veya reklamlar, kullanıcıları Satacom Downloader içeren bir arşiv dosyasını indirmeyi teklif eden sahte dosya paylaşım hizmetlerine ve diğer kötü amaçlı sayfalara yönlendiriyor. Bu son kampanyada, indirilen şey kötü amaçlı tarayıcı uzantısı oluyor.
Kripto paraları çalan ve faaliyetlerini gizleyen bir tarayıcı uzantısı yüklüyor
Kampanyanın öncelikli amacı, hedeflenen kripto para borsası web sitelerine yönelik web enjeksiyonları gerçekleştirerek kurbanların hesaplarından Bitcoin (BTC) çalmak. Bununla birlikte kötü amaçlı yazılım diğer kripto para birimlerini hedef alacak şekilde kolayca değiştirilebiliyor.
Yazılım, Chrome, Brave ve Opera gibi Chromium tabanlı tarayıcılara bir uzantı yükleyerek dünya genelinde kripto para yatırımcısı olan bireysel kullanıcıları hedeflemeye ve amacına ulaşmaya çalışıyor. Kaspersky telemetri verileri, Nisan ve Mayıs aylarında yaklaşık 30 bin kişinin kampanya tarafından hedef alınma riski altında olduğunu ortaya koydu.
Son iki ayda bu tehditten en çok etkilenen ülkeler Brezilya, Meksika, Cezayir, Türkiye, Hindistan, Vietnam ve Endonezya oldu.
Kötü amaçlı uzantı, kullanıcı hedeflenen kripto para birimi web sitelerinde gezinirken tarayıcı manipülasyonları gerçekleştiriyor. Kampanya Coinbase, Bybit, Kucoin, Huobi ve Binance kullanıcılarını hedef alıyor.
Uzantı kripto para çalmanın yanı sıra birincil faaliyetini gizlemek için ek eylemler gerçekleştiriyor. Örneğin, işlemlerin e-posta onaylarını gizliyor ve kripto para web sitelerinden gelen mevcut e-posta dizilerini değiştirerek gerçek olanlara benzeyen sahte diziler oluşturuyor.
PowerShell betiği gözlemlendi
Bu kampanyada tehdit aktörleri teslimat için Satacom indiricisini kullandıklarından, resmi uzantı mağazalarına gizlice girmenin yollarını bulmaya ihtiyaç duymuyor. İlk bulaşma, kullanıcının indirmek istediği yazılımları (genellikle kırılmış sürümlerini) ücretsiz olarak indirmesine izin veren yazılım portallarını taklit eden bir web sitesinden indirilen ZIP arşiv dosyası ile başlıyor.
Satacom genellikle kişinin makinesine çeşitli ikili dosyalar indiriyor. Kaspersky araştırmacıları, son kampanyada bunlar arasında zararlı tarayıcı uzantısının kurulumunu gerçekleştiren bir PowerShell betiği gözlemledi.
Sonrasında bir dizi kötü niyetli eylem, kullanıcı internette gezinirken uzantının gizlice çalışmasını sağlıyor. Sonuç olarak tehdit aktörleri web enjeksiyonlarını kullanarak Bitcoin’i kurbanın cüzdanından kendi cüzdanlarına aktarabilir hale geliyor.
