Apple ekosisteminde güvenlik boşluklarına sızarak hassas verileri çalmayı amaçlayan yeni bir kötü amaçlı yazılım ortaya çıktı. Jamf Threat Labs tarafından tespit edilen ve ismini CrashStealer olarak anılan bu tehdit, kendisini Apple’ın standart hata bildirim (crash reporting) mekanizması gibi göstererek Mac kullanıcılarının cihazlarına sızıyor.
Bu tür saldırılar, teknik bilgisi yüksek kişilerin veya rastgele internette gezinen pek çok kullanıcının dikkatini çekebiliyor. CrashStealer zararlı yazılımı yalnızca bir isim değişikliği yaparak değil, Apple’ın resmi araçlarını taklit eden sofistike yöntemi sayesinde sistemin güven mekanizmalarını atlatabiliyor.
CrashStealer'ın en tehlikeli özelliği, kendisini yasal bir uygulama gibi pazarlamasıdır. Güvenilir görünen sahte uygulamalar aracılığıyla sisteme sızan bu tehdit, Mac kullanıcısının güvenlik duvarını aşabiliyor çünkü saldırganlar Apple’ın 'Notarization' (onaylama) sistemini suistimal ederek zararlı yazılımı meşru bir uygulama gibi dağıtıyor. Bu sayede macOS’un Gatekeeper sistemi tarafından engellenemiyor.
Yazılım, amacına ulaşmak için sadece tarayıcı verilerini değil; aynı zamanda şifre yöneticisi kayıtlarını, kripto para cüzdan uzantılarını ve Mac'in en hassas bölgesi olan anahtar zinciri (keychain) verilerini hedef alıyor. Spesifik olarak 1Password, LastPass veya Dashlane gibi popüler şifre yöneticilerindeki verilere ve 80’den fazla kripto para cüzdan uzantısındaki bilgilere ulaşmaya çalışıyor.
Yazılımın sızma süreci oldukça karmaşık görünüyor. Kurban cihazda 'CrashReporter.app' adı altında, Apple’ın kendi sistem araçlarından biri gibi görünen sahte bir program indiriliyor. Bu uygulama sisteme kurulduktan sonra tam disk erişimi talep ediyor ve bunu 'sistem yönetimi' gerekçesiyle açıklıyor. Kullanıcı giriş yaptığında, gelen yasal görünümlü macOS yetkilendirme penceresi aracılığıyla şifre girilmesini sağlıyor.
Hassasiyeti artırmak adına yazılım, kullanıcının girdiğini varsaydığı bu şifreyi login anahtar zincirine erişmek için kullanıyor. Toplanan tüm hassas bilgiler ardından AES-256-GCM standardı ile şifreleniyor ve saldırganın kontrolündeki IP adresine gönderiliyor. Yazılımdaki gizlenme adımları, onu standart bilgilendirme hırsızlarından ayırıyor ve geliştiricilerin oldukça ince işler yaptığını gösteriyor.
Yasal olmayan bir uygulamayı indirmeye çalışmak her zaman risk taşır. CrashStealer gibi saldırılardan korunmanın en etkili yolu, Apple’ın kendi araçlarının özelliklerini bilmek ve şüpheli dosyalara karşı uyanık olmaktır.
Dışarıdan indirilen hiçbir uygulamanın macOS sisteminde kendiliğinden yerleşik bir hata raporlama sistemi (crash reporter) bulundurmaması gerekir. Bu tür dosyalar kırmızı bayrak sayılmalıdır. Aynı zamanda, herhangi bir uygulamayı çalıştırdığınız anda sizden hemen Mac’in ana şifresini isteyen veya giriş yetkisi soran programlara karşı da son derece dikkatli olmalısınız.
Apple, bu tehdidi fark ettikten sonra tehlikeli 'Werkbit' uygulamasının imza kimliğini iptal ederek o saldırı yolunu devre dışı bıraktı. Ancak kötü amaçlı yazılımlar her zaman geri dönme potansiyeline sahiptir, bu yüzden savunma mekanizmalarını sürekli güncel tutmak hayati önem taşıyor.
Topluluk yargısını şekillendirmek için fikrini tek bir sinyalle belirt.
Henüz yorum yapılmamış. İlk yorumu sen yap!
E-posta adresiniz yayımlanmayacaktır. Gerekli alanlar (*) ile işaretlenmiştir.
