Lumma Stealer Kötü Amaçlı Yazılımı Sahte İnsan Doğrulama Sayfaları Aracılığıyla Windows Cihazlarına Yayılıyor, CloudSEK Diyor

Yakın zamanda tespit edilen bilgi çalan bir kötü amaçlı yazılım olan Lumma Stealer, sahte insan doğrulama sayfaları aracılığıyla kullanıcılara dağıtılıyor. Siber güvenlik firması CloudSEK’teki araştırmacılara göre, kötü amaçlı yazılım Windows cihazlarını hedef alıyor ve enfekte cihazdan hassas bilgileri çalmak için tasarlanmış. Endişe verici bir şekilde, araştırmacılar kullanıcıları kötü amaçlı yazılımı indirmeleri için kandırmak amacıyla bu sahte doğrulama sayfalarını dağıtan birden fazla kimlik avı web sitesi keşfetti. CloudSEK araştırmacıları kuruluşları uç nokta koruma çözümleri uygulamaları ve çalışanları ve kullanıcıları bu yeni sosyal mühendislik taktiği hakkında eğitmeleri konusunda uyardı.

Lumma Stealer Kötü Amaçlı Yazılımı Yeni Kimlik Avı Tekniği Kullanılarak Dağıtılıyor

CloudSEK’e göre raporbirden fazla aktif web sitesinin Lumma Stealer kötü amaçlı yazılımını yaydığı bulundu. Teknik ilk olarak keşfedildi Siber güvenlik firması Palo Alto Networks’teki Unit42 tarafından yapılan bir araştırma, dağıtım zincirinin kapsamının daha önce tahmin edilenden çok daha büyük olduğuna inanıldığını ortaya koydu.

Saldırganlar çeşitli kötü amaçlı web siteleri kurdular ve Google’ın Bilgisayarları ve İnsanları Ayrı Tutmak İçin Tamamen Otomatik Genel Turing Testi (CAPTCHA) sayfasına benzeyen sahte bir insan doğrulama sistemi eklediler. Ancak kullanıcıların bot olmadıklarını kanıtlamak için birkaç kutucuğu işaretlemeleri veya benzer desen tabanlı görevler gerçekleştirmeleri gereken normal CAPTCHA sayfasının aksine, sahte sayfalar kullanıcıya bazı alışılmadık komutları çalıştırmasını söyler.

Bir örnekte, araştırmacılar kullanıcıların bir PowerShell betiğini çalıştırmasını isteyen sahte bir doğrulama sayfası tespit ettiler. PowerShell betikleri, Çalıştır iletişim kutusunda çalıştırılabilen bir dizi komut içerir. Bu durumda, komutların uzak bir sunucuda barındırılan a.txt dosyasından içeriği aldığı bulundu. Bu, Windows sisteminde bir dosyanın indirilmesine ve çıkarılmasına neden oldu ve bu da onu Lumma Stealer ile enfekte etti.

Raporda ayrıca kötü amaçlı yazılımı şüphelenmeyen kullanıcılara dağıtırken tespit edilen kötü amaçlı URL’ler de listelendi. Ancak bu tam liste değil ve saldırıyı gerçekleştiren daha fazla web sitesi olabilir.

• hxxps[://]kahraman-cin-2b372e[.]netleştirmek[.]uygulama/lütfen-doğrulayın-z[.]html

• hxxps[://]fipydslaongos[.]b-cdn[.]net/lütfen-doğrulayın-z[.]html

• hxxps[://]sdkjhfdskjnck[.]s3[.]amazonaw’lar[.]com/insan-doğrulama-sistemi[.]html

• hxxps[://]doğrulahuman476[.]b-cdn[.]net/insan-doğrulama-sistemi[.]html

• hxxps[://]yayın-9c4ec7f3f95c448b85e464d2b533aac1[.]r2[.]dev/insan-doğrulama-sistemi[.]html

• hxxps[://]doğrulahuman476[.]b-cdn[.]net/insan-doğrulama-sistemi[.]html

• hxxps[://]yenivideobölgeleri[.]tıkla/doğrula[.]html

• hxxps[://]bölüm 3[.]dlvideosfre[.]tıkla/insan-doğrulama-sistemi[.]html

• hxxps[://]yenivideobölgeleri[.]tıkla/doğrula[.]html

• hxxps[://]ofsetvideofre[.]tıklamak

Araştırmacılar ayrıca bu sahte doğrulama sayfalarını yaymak için içerik dağıtım ağlarının (CDN’ler) kullanıldığını gözlemlediler. Dahası, saldırganların gösteriden kaçınmak için base64 kodlaması ve pano manipülasyonu kullandıkları görüldü. Aynı tekniği kullanarak başka kötü amaçlı yazılımlar dağıtmak da mümkün, ancak bu tür örnekler şimdiye kadar görülmedi.

Saldırının işleyiş biçimi kimlik avı tekniklerine dayandığından, hiçbir güvenlik yaması cihazların enfekte olmasını engelleyemez. Ancak, kullanıcıların ve kuruluşların Lumma hırsızı kötü amaçlı yazılımına karşı korunmak için atabilecekleri bazı adımlar vardır.

Rapora göre, kullanıcılar ve çalışanlar bu kimlik avı taktiğinin tuzağına düşmemeleri için bilgilendirilmeli. Ayrıca, kuruluşlar PowerShell tabanlı saldırıları tespit etmek ve engellemek için güvenilir uç nokta koruma çözümleri uygulamalı ve sürdürmelidir. Ayrıca, Lumma Stealer kötü amaçlı yazılımının istismar edebileceği güvenlik açıklarını azaltmak için sistemleri düzenli olarak güncellemek ve yamalamak da yardımcı olacaktır.