Kaspersky: Türkiye, Mısır, Bangladeş ve Almanya'da E-kitap Tüketicilerini Hedefleyen Malware-as-a-Service Kampanyası

Küresel araştırma ekibi, e-kitap özelliklelerini hedefleyen bir kötü amaçlı yazılım hizmet modeli kampanyasını Türkiye, Mısır, Bangladeş ve Almanya çapında tespit etti. Saldırganlar, en çok okunan Türkçe ve Arapça eserlerin görünümünü kullanarak yüzlerce kullanıcının parolalarını, kripto para cüzdanlarını ve diğer hassas verilerini çalmaya yönelik dosyaları indirtmeyi amaçlıyor.

Kaspersky, Go tabanlı bir yükleyici olan LazyGo’yu kullanan yeni bir malware-as-a-service (MaaS) yaklaşımını ortaya koydu. Kampanya, Türkçe’ye çevrilmiş popüler eserler ve Arapça edebi içerikler arasından geniş bir arama yapan kullanıcıları hedefliyor; sahte e-kitaplar arasında Türkçe işletme yönetimi kitapları ile çağdaş kurgu, Arapça edebi eleştiriler gibi çeşitlilik dikkat çekiyor. Bu sahte kitaplar PDF görünümüne sahip olsa da aslında yürütülebilir dosyalar olarak karşımıza çıkıyor; açıldığında LazyGo yükleyicisi StealC, Vidar ve ArechClient2 gibi bilgi hırsızlarını sistemlere yerleştiriyor.

Üç farklı LazyGo varyantı, API unhooking, AMSI atlatma, ETW devre dışı bırakma ve sanal makine tespitinden kaçınma gibi gelişmiş gizlenme tekniklerini kullanıyor. Saldırganlar tarafından çalınan bilgiler şunları içeriyor: Tarayıcı verileri (parolalar, çerezler, otomatik doldurma verileri ve tarama geçmişi), finansal varlıklar (kripto cüzdanı uzantıları ve konfigürasyon dosyaları), geliştirici kimlik bilgileri (AWS, Azure CLI ve Microsoft Identity belirteçleri), iletişim platformları (Discord, Telegram ve Steam oturum bilgileri) ve sistem bilgileri (donanım özellikleri ve çalışan süreçler).

Enfekte olan kullanıcılar, ArechClient2 veya SectopRAT ile sistem üzerinde tam kontrol elde etme riskiyle karşı karşıya kalıyor. Kaspersky GReAT uzmanı Yossef Abdelmonem, bu kampanyayı özellikle endişe verici kılan unsurun, malware-as-a-service modelinin hedefli sosyal mühendislikle birleşmesi olduğunu belirtiyor: LazyGo’nun varyantları ve gelişmiş kaçınma teknikleri, bu durumun basit bir siber saldırı olmaktan öte, kurumsal altyapıya derin erişim sağlayabilecek bir operasyon olduğunu gösteriyor. Özellikle çalınan geliştirici kimlikleri ve bulut kimlik bilgilerinin potansiyel riskleri konusunda kurumların dikkatli olması gerektiğini vurguluyor.

Güvenlik topluluğu, kamu kurumları, eğitim kurumları ve BT hizmet sağlayıcılarını kapsayan geniş bir etki alanına işaret ediyor. Tehdit aktörleri, kötü amaçlı e-kitapları GitHub ve ele geçirilmiş web sitelerine düzenli olarak yüklemeye devam ediyor; bu nedenle kampanya hâlihazırda aktif olarak sürüyor.

Yapılacak güvenlik önlemleri arasında kullanıcıların e-kitap indirmeden önce kaynakları doğrulaması, dosya özelliklerini dikkatli incelemesi ve güncel güvenlik çözümlerinin gelişmiş kaçınma tekniklerini algılayabilecek yeteneklerle donatılması bulunuyor. Bağımsız testlerle doğrulanmış güçlü kötü amaçlı yazılım tarama yetenekleri olan ürünler tercih edilmeli. AV-Comparatives değerlendirmelerine göre, Kaspersky Premium 9.995 dosya üzerinden yapılan testte %99,99’luk bir kötü amaçlı yazılım tespit oranı elde etmiş ve bu da yüksek düzeyde koruma sağladığını gösteriyor.