Microsoft, bu faaliyeti, uzaktan erişim veya bilgi çalan kötü amaçlı yazılımları (stealermalware) yaymak için kimlik avı (phishing), arama motoru optimizasyonu (SEO) ve malvertising kullanan tehdit aktörlerini kapsayan Storm-0408 grubunun bir parçası olarak takip ediyor.
Saldırının Yayılma Yöntemi
Microsoft Tehdit İstihbarat Ekibi’ne göre, saldırı yasa dışı yayın (streaming) yapan web sitelerindeki kötü amaçlı reklam yönlendirmeleri aracılığıyla başladı. Bu yönlendirmeler, kullanıcıları bir ara siteye, ardından GitHub ve diğer iki platforma yönlendirdi.
Bu saldırının en dikkat çekici yönlerinden biri, GitHub’un kötü amaçlı yazılım yükleme platformu olarak kullanılmasıdır. Ayrıca, saldırıda kullanılan payload dosyalarının Discord ve Dropbox üzerinde de barındırıldığı tespit edildi. Microsoft, kaç tane GitHub deposunun kaldırıldığını açıklamadı ancak kötü amaçlı içeriklerin temizlendiğini bildirdi.
Saldırının Teknik Detayları
Microsoft’un açıklamasına göre, GitHub üzerindeki kötü amaçlı yazılımlar, daha fazla zararlı yazılımı dağıtmak için kullanılan bir “dropper malware” görevi görüyor. Bu dropperlar, Lumma Stealer ve Doenerium gibi kötü amaçlı yazılımlar yükleyerek sistem bilgilerini çalıyor.
Saldırı, 4 ila 5 katmanlı karmaşık bir yönlendirme zinciri kullanıyor. İlk yönlendirme, yasa dışı yayın sitelerine yerleştirilmiş bir iframe (bir web sayfası içine başka bir web sayfasını veya kaynağı yerleştirmek için kullanılan bir HTML) öğesi ile başlatılıyor ve sonrasında kullanıcı farklı sitelere yönlendiriliyor.
Genel enfeksiyon süreci çok aşamalı olup şu adımları içeriyor:
Ek Tehditler
Saldırı kampanyasında, NetSupport RAT adlı uzaktan erişim trojanı kullanılarak, yüklü uygulamalar ve güvenlik yazılımlarının tarandığı belirtildi. Özellikle kripto para cüzdanları hedef alınarak finansal verilerin çalınması amaçlanıyor.
Microsoft, saldırganların PowerShell, JavaScript, VBScript ve AutoIT komut dosyalarını kullanarak sistem üzerinde kötü amaçlı işlemler gerçekleştirdiğini belirtti. Ayrıca, PowerShell.exe, MSBuild.exe ve RegAsm.exe gibi LOLBAS (Living–Off–The-Land Binaries and Scripts) bileşenlerinin kullanılarak, C2 sunucularıyla iletişim kurulduğu ve kullanıcı verilerinin tarayıcılardan çalındığı tespit edildi.
Benzer Tehditler ve Kaspersky’nin Açıklamaları
Bu açıklamalar, Kaspersky’nin DeepSeek ve Grok adlı yapay zeka sohbet botları gibi görünen sahte web siteleri aracılığıyla kullanıcıları, daha önce belgelenmemiş bir Python tabanlı bilgi çalan yazılımı yüklemeye yönlendiren saldırıları ifşa etmesinin hemen ardından geldi.
DeepSeek temalı bu sahte siteler, X üzerindeki doğrulanmış hesaplar (@ColeAddisonTech, @gaurdevang2 ve @saduq5 gibi) aracılığıyla tanıtıldı ve kullanıcılara bir PowerShell komut dosyası çalıştırarak SSH üzerinden saldırganlara uzaktan erişim sağladı.
Kaspersky, siber suçluların kurbanları kötü amaçlı web sitelerine yönlendirmek için farklı yöntemler kullandığını belirtti. Bu yöntemler arasında:
Bu tür malvertising saldırılarından korunmak için kullanıcıların yalnızca güvenilir kaynaklardan yazılım indirmesi ve tarayıcı güvenlik önlemlerini sıkılaştırması öneriliyor.
Bu tür önlemler, hem bireysel kullanıcıların hem de kurumsal yapıların malvertisingsaldırılarından korunmasını sağlayarak veri güvenliğini güçlendirecektir.
