Bybit, MacOS kullanıcılarına yönelik kötü amaçlı yazılım saldırısını açıkladı: "Claude Code" adlı arama ile zehirli bir saldırı başlatılarak çok aşamalı bir saldırı gerçekleştirildi.

Bu makaleyi okumak için 6 Dakika

Bybit resmi olarak açıkladığına göre, Güvenlik İşletme Merkezi (SOC) macOS kullanıcılarına yönelik karmaşık kötü amaçlı yazılım saldırı faaliyeti tespit etti.

Kaynak: bybit

Bybit'in resmi açıklamasına göre, Güvenlik İşletme Merkezi (SOC) macOS kullanıcılarına yönelik karmaşık kötü amaçlı yazılım saldırı faaliyeti keşfetti. Saldırganlar, SEO zehirleme yöntemini kullanarak kötü amaçlı web sitesini Google arama sonuçlarında üst sıralara taşıdılar. Kullanıcılar "Claude Code" AI geliştirme aracını aradıklarında, sahte bir yükleme sayfasına yönlendirildi ve çok aşamalı bir saldırı zinciri tetiklendi. Hedefler arasında kimlik bilgilerinin çalınması, varlıkların şifrelenmesi ve cihazın uzun vadeli kontrolünün ele geçirilmesi bulunmaktadır.

Bu saldırı ilk kez 2026 yılının Mart ayında keşfedildi. İlk aşamada, Mach-O yükleyici üzerinden osascript tabanlı bir bilgi çalma programı serbest bırakılarak tarayıcı kimlik bilgileri, macOS anahtar zinciri, Telegram oturumları, VPN yapılandırmaları ve şifreli cüzdan verileri gibi bilgileri çalabilen AMOS, Banshee ve diğer ailelerin özelliklerini taşıyan bilgileri çalabilen bilgileri çalabilen 250'den fazla tarayıcı cüzdan eklentisi ve çeşitli masaüstü cüzdanlarına erişim denemeleri yapıldı.

İkinci aşama, C++ arka kapı programıdır ve kum havuzu algılama ve şifreleme yapılandırma yeteneklerine sahiptir. Sistem düzeyi bir proxy üzerinden kalıcılık sağlayarak HTTP anketleme yöntemiyle uzaktan kontrolü mümkün kılar.

Bybit, SOC'un bu olayda yapay zeka destekli analiz uyguladığını belirtti. Bu analiz, örnek sınıflandırmadan tersine mühendislik ve IOC çıkarma ile tespit kuralları oluşturulması sürecini kapsamaktadır. Analiz süresini birkaç saatten yaklaşık 40 dakikaya indirerek aynı gün tespit ve hafifletme önlemlerinin uygulanmasını sağlamış ve genel verimliliği yaklaşık %70 artırmıştır.

Bybit Grubu Risk ve Güvenlik Sorumlusu David Zong şunları söyledi: "Bu tür saldırı faaliyetlerini erken açıklayan borsalardan biri olarak, ilgili bulguların paylaşılmasının sektör genelinde savunma kapasitesini artıracağını düşünüyoruz. Yapay zeka destekli SOC sayesinde, tehdit tespitinden tam saldırı zinciri görselleştirmeye tek bir döngü içinde tamamlamayı başardık. Eskiden birkaç analistin vardiya değişiklikleri arasında tamamladığı tersine mühendislik, IOC çıkarma, raporlama ve kural oluşturma işlemleri şimdi tek bir oturumda tamamlanabilir hale geldi - yapay zeka büyük veri analizini ele alırken, analistler değerlendirme ve doğrulama yapar. Gelecekte güvenlik 'Yapay Zeka'ya Karşı Yapay Zeka' aşamasına girecek, Yapay Zeka'yı kullanarak savunma olacak bir trend olacak. Bybit, güvenlik AI alanındaki yatırımlarını artırmaya devam edecek ve tehdit algılama sürecini dakikalara kadar hızlandırarak otomatik zeka müdahalesine evrilecek."

Araştırma ayrıca, saldırganların sosyal mühendislik saldırıları için sahte bir macOS şifre penceresi kullandıklarını ve kullanıcı kimlik bilgilerini önbelleğe aldıklarını ortaya çıkardı; bazı durumlarda Ledger Live, Trezor Suite gibi resmi cüzdanların yerine truva atı sürümlerini yerleştirmeye çalıştılar.

Bu saldırı, Chromium tabanlı tarayıcıları, Firefox'u, Safari'yi, Apple Notes'u ve yerel hassas dizinleri hedef almıştır. İlgili kötü amaçlı alan adları ve C2 altyapısı ele alınmış ve kamuoyuna açıklanmıştır. Saldırı, aralıklı HTTP sorgulama ile iletişim kurarak tespit zorluğunu artırmıştır.

Bybit, AI araçlarının yaygınlaşması ile saldırganların, geliştirici topluluğunu hedefleyerek arama sonuçlarını manipüle ettiklerini belirtmektedir. Geliştiricilerin kodu, altyapısı ve fon izinlerine sahip olmaları nedeniyle, yüksek değerli saldırı hedefi haline gelmişlerdir. Bybit, 12 Mart'ta kötü amaçlı altyapıyı teyit etmiş ve aynı gün analiz, tespit ve hafifletme önlemlerini tamamlamış, 20 Mart'ta ise ayrıntılı koruma kılavuzunu açıklamıştır.