Sahte Zoom konferansı kimlik avı olayları sık görülüyor. Fonların güvenliği nasıl sağlanır?
Orijinal Başlık: "Görmek İnanmak Değildir | Sahte Zoom Toplantısı Kimlik Avı Analizi"
Orijinal Kaynak: SlowMist Technology
Editörün Notu: Son zamanlarda, kripto para piyasasında sahte Zoom toplantı bağlantıları kullanılarak yapılan kimlik avı olaylarında bir artış yaşandı. İlk olarak, EurekaTrading kurucusu Kuan Sun, sahte bir toplantı davetine inanarak kötü amaçlı bir eklenti yükledi ve bu da 13 milyon dolarlık bir kimlik avı saldırısına yol açtı. Neyse ki, Venüs Protokolü operasyonları acilen askıya aldı ve birden fazla güvenlik ekibinin yardımıyla fonlar başarıyla kurtarıldı.
Kripto ticaret topluluğu Fortune Collective'in kurucusu Alexander Choi de 8 Eylül'de Platform X'te özel bir mesaj aracılığıyla sahte bir projeyle bağlantı kurduğunu açıklayan bir gönderi yayınladı. Konuşma sırasında, yanlışlıkla toplantı gibi gizlenmiş sahte bir bağlantıya tıkladı ve yaklaşık 1 milyon dolarlık bir kayba yol açtı.
Sahte Zoom toplantı kimlik avı saldırıları neden bu kadar başarılı? Yatırımcılar bundan nasıl kaçınabilir? Sektörde tanınmış bir güvenlik şirketi olan SlowMist, 27 Aralık 2024'te herkese fonlarını korumaları gerektiğini hatırlatan bu makaleyi yayınladı. Orijinal metin şu şekildedir:
Arka Plan
Son zamanlarda, X'teki birden fazla kullanıcı, Zoom toplantı bağlantısı kılığında bir kimlik avı saldırısı bildirdi. Bir kurban, kötü amaçlı Zoom toplantı bağlantısına tıkladıktan sonra kötü amaçlı yazılım yükledi ve bunun sonucunda milyonlarca dolara ulaşan kripto varlıkları çalındı. Bu bağlamda, SlowMist güvenlik ekibi bu kimlik avı olayını ve saldırı yöntemini analiz etti ve bilgisayar korsanının sermaye akışını izledi.
(https://x.com/lsp8940/status/1871350801270296709)
Kimlik Avı Bağlantı Analizi
Saldırganlar, kendilerini meşru Zoom toplantı bağlantıları gibi göstermek için "app[.]us4zoom[.]us" gibi alan adları kullandılar. Sayfalar, gerçek Zoom toplantılarına oldukça benziyordu. Kullanıcılar "Toplantıyı Başlat" düğmesine tıkladıklarında, yerel Zoom istemcisini başlatmak yerine kötü amaçlı bir yükleme paketi indiriyorlardı.
Yukarıda belirtilen alan adlarını inceleyerek, bilgisayar korsanlarının izleme günlüğü adresini (https[:]//app[.]us4zoom[.]us/error_log) keşfettik.
Şifre çözme, bunun Rusça yazılmış Telegram API'si aracılığıyla bir mesaj göndermeye çalışan betiğe ait bir günlük girişi olduğunu ortaya çıkardı.
Bu site 27 gün önce dağıtıldı. Muhtemelen Rus olan bilgisayar korsanları, 14 Kasım'da kurbanları hedef almaya başladı ve kimlik avı sayfasındaki indirme düğmesine tıklayıp tıklamadıklarını görmek için Telegram API'sini izledi.
Kötü Amaçlı Yazılım Analizi
Kötü amaçlı kurulum paketinin adı "ZoomApp_v.3.14.dmg". Aşağıda, kullanıcıları "ZoomApp.file" adlı kötü amaçlı betiği Terminal'de çalıştırmaya kandıran ve hatta yerel parolalarını girmelerini isteyen Zoom kimlik avı yazılımının görüntülediği arayüz bulunmaktadır.
Kötü amaçlı dosyanın yürütülme içeriği aşağıdadır:
Yukarıdaki içeriğin kodu çözüldükten sonra, bunun kötü amaçlı bir osascript betiği olduğu bulundu.
Daha detaylı analizler, betiğin ".ZoomApp" adlı gizli bir yürütülebilir dosyayı aradığını ve bunu yerel olarak çalıştırdığını ortaya koydu. Orijinal kurulum paketi "ZoomApp_v.3.14.dmg"nin disk analizi, kurulum paketinin gerçekten de ".ZoomApp" adlı gizli bir yürütülebilir dosya içerdiğini ortaya koydu.
Kötü Amaçlı Davranış Analizi
Statik Analiz
İkili dosyayı analiz için tehdit istihbarat platformuna yükledik ve kötü amaçlı olarak işaretlendiğini gördük.
(https://www.virustotal.com/gui/file/e4b6285e183dd5e1c4e9eaf30cec886fd15293205e706855a48b30c890cbf5f2)
Aşağıdaki şekil, statik sökme analizi yoluyla, veri şifre çözme ve betik yürütme için kullanılan ikili dosyanın giriş kodunu göstermektedir.
Aşağıdaki şekil, bilgilerin çoğunun şifrelenip kodlandığı veri bölümünü göstermektedir.
Verilerin şifresi çözüldükten sonra, ikili dosyanın nihayetinde kötü amaçlı bir osascript betiğini çalıştırdığı keşfedildi (şifre çözme kodunun tamamı şu adreste paylaşılmıştır: https://pastebin.com/qRYQ44xa). Bu betik, kullanıcının cihazından bilgi toplar ve bunları arka uca gönderir.
Aşağıdaki şekil, farklı eklentilerin kimlik yolu bilgilerini sıralayan kodun bir bölümünü göstermektedir.
Aşağıdaki şekil, bilgisayarın Anahtar Zinciri bilgilerini okuyan kodun bir bölümünü göstermektedir. Sistem bilgileri, tarayıcı verileri, şifrelenmiş cüzdan verileri, Telegram verileri, Notes verileri ve çerez verileri toplandıktan sonra, kötü amaçlı kod bunları sıkıştırır ve bilgisayar korsanı kontrolündeki bir sunucuya (141.98.9.20) gönderir. Kötü amaçlı program çalışırken kullanıcıları parolalarını girmeye kandırdığından ve ardından gelen kötü amaçlı betikler de bilgisayardan (bilgisayarda depolanan çeşitli parolaları içerebilen) KeyChain verilerini topladığından, bilgisayar korsanları bu verilerin şifresini çözmeye ve kullanıcının cüzdan anımsatıcıları ve özel anahtarları gibi hassas bilgileri ele geçirerek varlıklarını çalmaya çalışır. Analizler, bilgisayar korsanının sunucusunun IP adresinin Hollanda'da bulunduğunu ve tehdit istihbarat platformları tarafından kötü amaçlı olarak işaretlendiğini göstermektedir.
(https://www.virustotal.com/gui/ip-address/141.98.9.20)
Dinamik Analiz
Kötü amaçlı programı sanal bir ortamda dinamik olarak çalıştırın ve işlemi analiz edin. Aşağıdaki şekil, yerel verileri toplayan ve arka plan işlemine veri gönderen kötü amaçlı programın izleme bilgilerini göstermektedir.
MistTrack Analizi
Bu adresten (0xb01c) gelen transfer nesneleri arasında kötü amaçlı olarak işaretlenen adresleri filtreleyerek, biri Pink Drainer olarak işaretlenmiş iki kimlik avı adresi bulduk. Bu iki kimlik avı adresinin daha detaylı analizi, fonların öncelikle ChangeNOW ve MEXC'ye aktarıldığını ortaya koydu.
Daha sonra, çalınan fonların çıkışını analiz ederek, toplam 296,45 ETH'nin yeni adres 0xdfe7c22a382600dcffdde2c51aaa73d788ebae95'e aktarıldığını tespit ettik.
Yeni adresin (0xdfe7) ilk işlem zamanı Temmuz 2023'te, birden fazla zinciri kapsayacak şekilde gerçekleşti ve mevcut bakiye 32,81 ETH'dir.
Yeni adresin (0xdfe7) ana ETH çekim yolları aşağıdaki gibidir:
· 200,79 ETH -> 0x19e0…5c98f
· 63,03 ETH -> 0x41a2…9c0b
· 8,44 ETH -> 15.720 USDT ile değiştirildi
· 14,39 ETH -> Gate.io
Yukarıdaki genişletilmiş adresten yapılacak sonraki çekimler Bybit, Cryptomus.com, Swapspace, Gate.io ve MEXC gibi birden fazla platformla ilişkilidir ve ayrıca Angel olarak işaretlenen platformlarla da ilişkilidir Drainer and Theft by MistTrack. Ayrıca, şu anda 0x3624169dfeeead9f3234c0ccd38c3b97cecafd01 adresinde 99,96 ETH bulunmaktadır.
Yeni adres (0xdfe7), Binance, MEXC ve FixedFloat gibi platformlara aktarılan çok sayıda USDT işlem izine de işaret ediyor. Burada açıklanan kimlik avı yöntemi, bilgisayar korsanlarının kullanıcıları kötü amaçlı yazılım indirip çalıştırmaları için kandırmak amacıyla kendilerini meşru Zoom toplantı bağlantıları gibi göstermelerini içeriyor. Bu kötü amaçlı yazılım, genellikle sistem bilgilerini toplamak, tarayıcı verilerini çalmak ve kripto para cüzdanı bilgilerini ele geçirip bunları bilgisayar korsanlarının kontrolündeki sunuculara iletmek gibi birden fazla yıkıcı özelliğe sahip. Bu tür saldırılar genellikle sosyal mühendislik ve Truva atı saldırılarını birleştirerek, dikkatsiz kullanıcıların kolayca av olmasını sağlıyor. SlowMist Güvenlik Ekibi, kullanıcıların toplantı bağlantılarına tıklamadan önce bağlantıları dikkatlice doğrulamalarını, bilinmeyen kaynaklardan gelen yazılım ve komutları çalıştırmaktan kaçınmalarını ve antivirüs yazılımlarını kurup düzenli olarak güncellemelerini öneriyor. Daha fazla güvenlik bilgisi için SlowMist Güvenlik Ekibi tarafından hazırlanan "Blockchain Dark Forest Self-Guard Handbook"u okumanızı öneririz: https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md.BlockBeats Resmi Topluluğuna Katılın:
Telegram Abonelik Grubu: https://t.me/theblockbeats
Telegram Sohbet Grubu: https://t.me/BlockBeats_App
Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia
İlgili Makaleler
