Kötü Amaçlı Yazılım Kampanyası, Kripto Kullanıcılarını Hacklemek İçin Eski Discord Linklerini Ele Geçiriyor

Hackerlar, süresi dolmuş Discord davet linklerini ele geçirerek, kullanıcıları kripto cüzdanlarını çalan ve tarayıcı güvenlik araçlarını atlatan zararlı yazılım enfeksiyonlarına karşı kandırıyorlar.

CheckPoint araştırma ekibine göre, siber suçlular süresi dolmuş Discord davetiye bağlantılarını kullanarak kullanıcıları ileri düzeyde kötü amaçlı yazılım enfeksiyonlarına yol açan zararlı sunuculara yönlendiriyor.

Saldırganlar, güvendiğimiz topluluklara ait eski davet linklerini ele geçirerek, kullanıcıları sahte Discord sunucularına yönlendiriyor. Bu sahte Discord sunucuları, kullanıcılarını AsyncRAT ve Skuld Stealer dahil olmak üzere tehlikeli zararlı yazılımları indirmeye aldatıyor, kripto para cüzdanlarına hedef olan zararlı yazılımlar.

Saldırganlar, hem geçici hem de kalıcı bağlantı oluşturma yeteneklerini kullanarak Discord’un davet linklerini nasıl oluşturduğunu sömürüyorlar. Saldırganlar, zararlı Discord sunucularını kurmak için geri talep ederek terkedilmiş bağlantılara erişim sağlarlar.

Bu şekilde, sosyal medyadan geçerli davetler veya eski gönderiler gibi görünen şeylere tıklayan kullanıcılar otomatik olarak hackerlar tarafından kontrol edilen zararlı sunuculara yönlendirilir.

Bu sahte sunucuların içinde, kullanıcılara sahte bir doğrulama süreci sunan “Safeguard” adlı bir botla karşılaşırlar. Kullanıcılar doğrulama sürecini başlattıktan sonra, tehlikeli bir PowerShell komutunu çalıştıran bir phishing web sitesine erişirler.

Komut, işlemi standart web trafiğiyle uyumlu hale getirmek için GitHub’dan kötü amaçlı yazılımları alır, aynı zamanda Bitbucket ve Pastebin platformlarından da alır.

Kötü amaçlı yazılım, algılama sistemlerinden kaçınmak için çok aşamalı işlemler gerçekleştirir. Bir GitHub bağlantısı, bir PowerShell betiği için ilk indirme hedefi olarak hizmet eder. Yükleyici, kullanıcının bilgisayar sistemine kurulum için önce Bitbucket’ten şifrelenmiş kötü amaçlı yazılımı alır ve sonra onu çözer.

Son yükler -AsyncRAT ve Skuld Stealer- saldırganların sistemleri uzaktan kontrol etmelerine ve Exodus ve Atomic uygulamalarından kripto cüzdan detayları da dahil olmak üzere önemli bilgileri çalmalarına olanak sağlar. Zararlı yazılım, otomatik güvenlik sistemlerinden kaçınmak için 15 dakikaya kadar zaman gecikmeleri uygular.

Ayrıca, siber saldırganlar, Google Chrome’un App Bound Encryption tarafından sağlanan çerez korumasını aşmanın bir yolunu keşfettiler. Saldırganlar, ChromeKatz’ı Chrome, Edge ve Brave tarayıcı hafızasından doğrudan giriş çerezlerini çıkarmaya olanak sağlayacak şekilde değiştirdiler.

Saldırılar, Amerika Birleşik Devletleri’nde kullanıcıları hedef almanın yanı sıra, Vietnam, Fransa ve Almanya gibi diğer ülkeleri de hedef almıştır. Saldırganlar, zararlı yazılımlarının özellikle cüzdan kimlik bilgilerini ve kurtarma ifadelerini hedef alması nedeniyle kripto para kullanıcılarını hedef almış gibi görünüyorlar.

Araştırmacılar, Discord’un bu kampanyada kullanılan belirli botu devre dışı bırakmasına rağmen siber suçluların yeni yöntemler geliştireceğine inanıyorlar. Kullanıcılar, eskimiş Discord davetlerinden kaçınırken, doğrulama taleplerine karşı dikkatli olmalı ve güncel antivirüs yazılımını sürdürmelidirler, böylece bu tür saldırılardan kendilerini koruyabilirler.