Özgür çalışan yazılımcılar gayede

Siber güvenlik şirketi ESET, Kuzey Kore temaslı DeceptiveDevelopment’ın bilgi hırsızları ve özgür çalışan geliştiricileri amaç aldığını keşfetti.

DeceptiveDevelopment, iş bulma ve özgür çalışma sitelerinde  bir toplumsal mühendislik akın çeşidi olan spearphishing yoluyla özgür çalışan yazılım geliştiricileri gaye alıyor ve tarayıcılardan ve parola yöneticilerinden kripto para cüzdanlarını ve giriş bilgilerini çalmayı amaçlıyor. DeceptiveDevelopment’ın farklı ülkelerde tuzağa düşürdüğü kurbanlarının bulunduğu ülkeler ortasında Türkiye’de yer alıyor. 

ESET , 2024’ten bu yana Kuzey Kore irtibatlı bir dizi makus niyetli faaliyet gözlemledi. Bu faaliyetlerde yazılım geliştirme alanında çalışan bireyler üzere davranan operatörler, kurbanları geçersiz iş teklifleriyle kandırıyor. Daha sonra, bilgi hırsızlığı yapan makus hedefli yazılımları gizleyen yazılım projeleriyle gayelerine hizmet etmeye çalışıyorlar. ESET Research bu faaliyeti DeceptiveDevelopment kümesi olarak isimlendiriyor. Kuzey Kore temaslı bu faaliyet şu anda ESET tarafından bilinen rastgele bir tehdit aktörüne atfedilmiyor. İş bulma ve hür çalışma sitelerinde gaye şaşırtma yoluyla özgür çalışan yazılım geliştiricileri amaç alıyor. Kripto para cüzdanlarını,  tarayıcılardan ve parola yöneticilerinden giriş bilgilerini çalmayı amaçlıyor.

DeceptiveDevelopment’ı keşfeden ve tahlil eden ESET araştırmacısı Matěj Havránek  şu açıklamayı yaptı: “Sahte iş görüşmesi sürecinin bir kesimi olarak, DeceptiveDevelopment operatörleri gayelerinden mevcut bir projeye bir özellik eklemek üzere bir kodlama testi yapmalarını istiyor ve vazife için gerekli evraklar ekseriyetle GitHub yahut öteki benzeri platformlardaki özel depolarda barındırılıyor. Ne yazık ki istekli iş adayı için bu evraklar truva atına dönüştürülmüştür: Projeyi indirip çalıştırdıklarında kurbanın bilgisayarı tehlikeye giriyor. DeceptiveDevelopment kümesi, Kuzey Kore’ye bağlı aktörler tarafından halihazırda kullanılan geniş bir para kazanma planları koleksiyonuna bir ektir ve odağı klâsik paradan kripto para ünitelerine kaydırma eğilimine uymaktadır.”

DeceptiveDevelopment’ın taktikleri, teknikleri ve prosedürleri Kuzey Kore’ye bağlı olduğu bilinen öbür kimi operasyonlarla benzerlik gösteriyor. DeceptiveDevelopment’ın ardındaki operatörler Windows, Linux ve macOS üzerindeki yazılım geliştiricilerini maksat alıyor. Kripto para ünitesini öncelikle finansal kar için çalıyorlar, mümkün bir ikincil emelleri da siber casusluk. Bu operatörler maksatlarına yaklaşmak için toplumsal medyada geçersiz işe alım profilleri kullanıyor. Saldırganlar coğrafik pozisyona nazaran ayrım yapmazlar, bunun yerine başarılı bir formda fon ve bilgi elde etme mümkünlüğünü artırmak için mümkün olduğunca çok sayıda kurbanı tehlikeye atmayı amaçlarlar.

DeceptiveDevelopment, faaliyetlerinin bir kesimi olarak öncelikle iki kademede sunulan iki berbat emelli yazılım ailesi kullanır. Birinci basamakta, BeaverTail (bilgi hırsızı, indirici) kolay bir oturum açma hırsızı olarak hareket eder, kayıtlı oturum açma bilgilerini içeren tarayıcı bilgi tabanlarını çıkarır. İkinci evre için bir indirici olarak, casus yazılım ve art kapı bileşenleri içeren InvisibleFerret (bilgi hırsızı, RAT) ve ayrıyeten uzlaşma sonrası faaliyetler için yasal AnyDesk uzaktan idare ve izleme yazılımını indirebilir. 

Saldırganlar, işe alım vazifelisi üzere davranmak için mevcut şahısların profillerini kopyalamakta ve hatta yeni kişilikler oluşturmaktadır. Daha sonra potansiyel kurbanlarına iş arama ve hür çalışma platformlarında direkt yaklaşıyor ya da buralarda uydurma iş ilanları yayımlıyorlar. Bu profillerden kimileri saldırganların kendileri tarafından oluşturulurken başkaları de platformdaki gerçek şahısların saldırganlar tarafından değiştirilmiş potansiyel olarak tehlikeye atılmış profilleridir.

Bu etkileşimlerin gerçekleştiği platformlardan kimileri genel iş arama platformları iken başkaları öncelikle kripto para ünitesi ve blok zinciri projelerine odaklanıyor ve bu nedenle saldırganların maksatlarına daha uygun. Bu platformlar ortasında LinkedIn, Upwork, Freelancer.com, We Work Remotely, Moonlight ve Crypto Jobs List yer alıyor.

Mağdurlar proje evraklarını ya direkt sitedeki evrak transferi yoluyla ya da GitHub, GitLab yahut Bitbucket üzere bir depoya irtibat yoluyla alırlar. Belgeleri indirmeleri, özellikler eklemeleri yahut yanlışları düzeltmeleri ve işe alan bireye geri bildirimde bulunmaları istenir. Ek olarak, test etmek için projeyi oluşturmaları ve yürütmeleri talimatı verilir, bu da birinci tehlikenin gerçekleştiği yerdir. Saldırganlar ekseriyetle berbat emelli kodlarını gizlemek için makul bir numara kullanırlar: Kodu, ekseriyetle geliştiriciye verilen vazifeyle ilgisi olmayan art uç kodu içinde, projenin öteki türlü zararsız bir bileşenine yerleştirir ve uzun bir yorumun gerisine tek bir satır olarak eklerler. Bu biçimde, ekranın dışına taşınır ve çoğunlukla bâtın kalır.

Kaynak: (BYZHA) Beyaz Haber Ajansı