Chrome güncellemesi gibi görünüyor, PC’nizi kripto madencisine çeviriyor

Güvenlik araştırmacısı Rintaro Koike‘nin söylediğine göre bilgisayar korsanları, antivirüs tespitinden kaçabilecek kötü hedefli yazılımları yüklemek için tasarlanmış sahte Chrome güncelleme iletilerini yasal web sayfalarının üzerine yerleştiriyor.

Koike’nin açıkladığına göre ilk olarak Kasım 2022’de gözlemlenen saldırı kampanyası, Şubat 2023’te etkin hale geldi ve yüklü olarak Japonca web sitelerinin yanı sıra Korece ve İspanyolca lisanlarına yönelik birtakım web sitelerini hedef aldı. Araştırmacılar, bu atakların Japonya bölgesinin ötesine geçerek yayılmaya, ahenk sağlamaya ve gelişmeye devam edebileceğinden korkuyor ve diğer internet kullanıcılarını potansiyel tehditlere karşı uyarıyor.

Güvenliği ihlal edilmiş web sitelerinde, gayeleri belirlemek için komut evrakları çalıştıran bir JavaScript kodu yer alıyor. Olumlu amaçlar, “Güncelleme İstisnası” uyarısı veren bir sayfaya yönlendiriliyor. Bu sayfada “Chrome otomatik güncellemesinde bir kusur oluştu. Lütfen güncelleme paketini daha sonra manuel olarak yükleyin ya da bir sonraki otomatik güncellemeyi bekleyin” yazıyor. Bu ikazda kullanılan lisanda herhangi bir aciliyet ihtarının bulunmaması da tehdit aktörlerinin lehine çalışıyor ve daha gerçekçi gözükerek bu kötü gayeli yazılım dolandırıcılığının diğer dolandırıcılıklara kıyasla daha az dikkat çekmesine yardımcı oluyor.

Daha sonra Chrome güncellemesi olarak gizlenen bir .zip dosyası yükleniyor, lakin bu dosya, yasal bir Chrome güncellemesi yerine, kurbanın CPU’sunu kullanarak kripto para madenciliği yapmak için tasarlanmış bir Monero madencisi içeriyor.

Araştırmaya göre, madenci kendisini Windows Defender ayarlarından çıkarıyor, Windows Update hizmetlerini askıya alıyor ve ana bilgisayar belgelerini yeniden yazarak antivirüs yazılımı benzeri tehdit algılama araçlarını atlatabiliyor. Durma belirtisi göstermeyen kodun, ileriye dönük potansiyel olarak çok önemli bir tehdit oluşturarak 100’den fazla lisanla uyumlu olduğu iddia ediliyor.

Akılda tutulması gereken, Chrome’un güncellemeleri çoklukla yerleşik bir güncelleyici aracılığıyla yüklediği. Yani bir web sitesinden ek paketler indirmeye gerek yok.