GMERA isimli kötü amaçlı yazılım kullanan yeni bir truva atı saldırısı, Apple’ın macOS işletim sistemi üzerinde borsa uygulamalarını kullanan kripto para işlemleri yapan insanları hedefliyor.
Siber güvenlik şirketi ESET, kötü amaçlı yazılımın yasal görünümlü kripto para ticareti uygulamalarına entegre edildiğini ve kullanıcıların cüzdanlarından kripto paralarını çalmaya çalıştığını keşfetti.
Bir başka siber güvenlik firması Trend Micro şirketindeki araştırmacılar, GMERA yazılımını ilk olarak Eylül 2019’da Mac’e özel hisse senedi yatırım uygulaması Stockfolio üzerinde keşfettiklerini açıkladı.
Gerçek Borsa Uygulamalarının Kopyası
ESET, kötü amaçlı yazılım sahiplerinin, GMERA’yı orijinal macOS kripto para ticareti uygulaması Kattana’ya entegre ettiklerini tespit etti. Ayrıca yazılım sahipleri, şirketin internet sitesini birebir kopyaladı ve site üzerinde kötü amaçlı yazılımlar ile birlikte gelen dört yeni taklit (Cointrazer, Cupatrade, Licatrade, Trezarus) uygulamalarını tanıttılar.
Sahte web sitelerinde uygulamalanın truva atı sürümünü içeren bir ZIP arşivini içeren bağlantı bulunuyor. ESET’in araştırmalarına göre, bu uygulamalar, tıpkı orijinalleri gibi ticari işlevleri tam olarak destekliyor.
Araştırmacıların dediğine göre, “Kattana’yı iyi bilmeyen bir kişi için bu kurulan sahte internet siteleri gayet meşru görünüyor.”
Araştırmacılar ayrıca faillerin hedefleri ile doğrudan temasa geçtiklerini ve virüslü uygulamayı indirmeleri için kurbanları “sosyal bir şekilde yönlendirdiklerini” söyledi.
Kötü Amaçlı Yazılım
ESET araştırmacıları, kötü amaçlı yazılımı analiz etmek için Licatrade’den örnekler aldı. Örneklere göre, Licatrade üzerindeki kötü amaçlı yazılım, diğer internet sitelerinden alınanlara göre bir takım farklılıklar içeriyor. Fakat hepsinin çalışma prensibi temelde aynı.
Truva atı, kurbanın bilgisayarına, kötü amaçlı yazılım sahiplerinin uygulamala üzerinden kullanıcıların sistemine erişmesini sağlayan bir kabuk komut dosyası yüklüyor. Kabuk betiği, daha sonra saldırganların C&C ve C2 olarak adlandırdığı komut ve kontrol sunucularının oluşturulmasına izin verir. Bu C2 sunucuları, güvenliği ihlal edilmiş makine ile sürekli iletişim kurmalarına yardımcı olur.
Bulgulara göre GMERA kötü amaçlı yazılımı, kullanıcı adları, kripto para cüzdanları, kullanıcıların sisteminden konum ve ekran görüntüleri gibi bilgileri ele geçiriyor.
Ancak ESET, sorunu Apple’a bildirdiklerini ve şirket tarafından Licatrade’e verilen sertifikanın aynı gün içinde iptal edildiğini söyledi. Ayrıca, farklı uygulamalar için kullanılan diğer iki sertifikanın da iptal edilmiş olduklarını gördüler.