siber güvenlik uzmanları ve analiz platformları tarafından yayımlanan son raporlar, oldukça popüler olan bir Çin menşeli Windows uygulaması olan QuickFox'ın kurulum dosyalarında büyük çaplı bir kötü amaçlı yazılım saldırısının yaşandığını ortaya çıkardı. Sızmaya konu olan bu uygulama, genellikle kullanıcıların çin merkezli yayın ve oyun kaynaklarına daha hızlı erişmesini sağlayan bir sanal özel ağ (VPN) hizmeti ve oyun hızlandırıcı olarak görülüyordu.
Yapılan incelemeler sonucunda Fortinet'e ait uzmanlar, saldırganların uzun bir süre boyunca bu uygulamanın kurulum dosyalarını ele geçirdiğini ve sistemlerin içine gizlice kötü niyetli arka kapılar yerleştirmek için trojanlaştırdığını tespit etti. Bu çalışma siber güvenlik ekibi tarafından gerçekleştirilen detaylı bir tedarik zinciri saldırısı analizidir.
Saldırı oldukça incelikle tasarlanmıştı; kötü amaçlı kodun kullanıcılar nezdinde şüphe uyandırmasını engellemek için bu altyapı gizlenmiş bir taktik kullandı. Saldırganlar, uygulama kurulum dosyası içindeki HTML dokümanlarını değiştirerek otomatik olarak zararlı JavaScript komutları indirmeye ve çalıştırmaya başladı. Bu kötü niyetli içeriği barındırmak üzere kasıtlı olarak QuickFox’ın meşru altyapısını taklit eden sahte bir alan adı (domain) kaydedilmişti.
is tanımı gereği bu tür hizmetler, özellikle video oyun kullanıcılarının deneyimini iyileştirmek amacıyla Çin içindeki sunuculara daha hızlı bağlantı kurmalarını sağlamayı amaçlıyor. Ancak gerçekte uygulama, zararlı yazılımları dağıtan bir araç olarak kullanılmıştı.
Bu siber saldırının en çarpıcı yönlerinden biri, kötü niyetli yazılımın rastgele herkesi enfekte etmemesiydi. Yazılımdaki zekice tasarlanmış koruma mekanizmaları (guardrails), standart son kullanıcıları filtrelemek üzere yapılandırılmıştı. Saldırı sürecini aniden durduran temel tetikleyici şuydu: sistemde Steam gibi popüler oyun dağıtım hizmetlerinin çalışıp çalışmadığı tespit ediliyordu.
Geliştiriciler, bilgi işlem yöneticileri veya kripto para kullanıcıları tarafından kullanılan Visual Studio Code, Telegram ve çeşitli kripto cüzdan yazılımları gibi profesyonel araçların kullanımının fark edildiği durumlarda ise saldırı devam ediyordu. Bu durum net bir şekilde gösteriyor ki, hackerlar amatör oyuncuları değil; yüksek değerli kurumsal ortamlara ve teknik uzmanlara yönelik hassas bir hedefleme yapıyorlardı.
Harcama alanı uygun bulunarak sisteme sızan zararlı yazılım, gizli bir şekilde Microsoft’un meşru bir yardımcı programını kötüye kullanarak FDMTP implantını kurulum yaptı. Bu kalıcı arka kapı, saldırganlara sistemden hassas bilgileri izinsiz olarak çalma yetkisi verdi. Çalınan veriler arasında ağ adresleri (IP), aktif süreçler, MAC adresleri ve kullanıcı adları gibi kritik bilgiler bulunuyordu.
eklenecek en tehlikeli özellik ise FDMTP modüler yapısıydı; bu yapı sayesinde saldırganlar uzaktan ek zararlı eklentileri indirip çalıştırma imkânına sahip oluyorlardı. Ancak unutulmamalıdır ki, yama veya virüs bulaşması sadece Windows işletim sistemlerini hedef almıştı; macOS sürümleri de etkilenmiş olsa da asıl enfeksiyon Windows son kullanıcıları üzerindeydi.
Waka tespit edilen tehlike şahsına özel bir grup olarak tanımlanamasa da, güvenlik uzmanları bu saldırıda bilinen tehdit aktörü Twill Typhoon'un teknik özellikleriyle ciddi örtüşmeler olduğunu bildirdi. Mevcut durumda saldırının yayılma riskinin kontrol altına alındığı anlaşılıyor. Uygulamanın üreticisi QuickFox, sorunun farkına vararak sorumlu ifşa (responsible disclosure) sürecini yönetti ve Windows kurulum dosyasındaki kötü amaçlı tüm bileşenleri v3.59.6 sürümü itibarıyla kaldırdığını doğruladı.
Yazılımı son bir yıl içinde Windows cihazında kullanan kullanıcıların derhal en güncel versiyona güncelleme yapması ve kapsamlı antivirüs taramaları gerçekleştirmesi kritik öneme sahip. Kuruluşlar da kendi ağlarında QuickFox kurulumlarından kaynaklanabilecek olağandışı dosya transferleri veya bilinmeyen aktiviteler olup olmadığını kontrol etmelidir.
Henüz yorum yapılmamış. İlk yorumu sen yap!
E-posta adresiniz yayımlanmayacaktır. Gerekli alanlar (*) ile işaretlenmiştir.
