Ethereum akıllı sözleşmelerini kullanarak kötü amaçlı yazılım komutlarını gizlemeye başlayan siber suçlular, saldırganların tespit sistemlerinden kaçmak için blok zinciri teknolojisini istismar etmeleriyle güvenlik ekipleri için yeni zorluklar yaratıyor. Dijital varlık uyum firması ReversingLabs, Temmuz ayında Node Package Manager deposuna yüklenen iki kötü amaçlı paketi analiz ettikten sonra bu tekniği keşfetti.
Bu yöntem, hackerların kötü niyetli faaliyetlerini meşru blok zinciri trafiğiyle harmanlamalarına olanak tanıyor ve zararlı işlemleri belirlemeyi ve engellemeyi önemli ölçüde zorlaştırıyor.
Bilmeniz Gerekenler:
- "colortoolsv2" ve "mimelib2" adı verilen iki NPM paketi, ikinci aşama kötü amaçlı yazılımlar yüklenmeden önce kötü amaçlı sunucu adreslerini almak için Ethereum akıllı sözleşmelerini kullandı.
- Güvenlik araştırmacıları, sadece 2024 yılında açık kaynak depolarında 23 kriptoyla ilgili kötü amaçlı kampanya belgeledi.
- Kuzey Kore bağlantılı Lazarus Grubu, daha önce benzer blok zinciri tabanlı kötü amaçlı yazılım dağıtım yöntemlerini kullanmıştı.
Blok Zinciri Altyapısını Kullanan Yeni Dağıtım Yöntemi
ReversingLabs tarafından tanımlanan paketler meşru görünüyor ancak Ethereum akıllı sözleşmelerden talimatları çekmek için tasarlanmış gizli fonksiyonlar içeriyordu. Kötü amaçlı bağlantıları doğrudan barındırmak yerine, bu yazılım komut ve kontrol sunucularının adreslerini çekmek için bir indirme aracı olarak hareket ediyordu.
ReversingLabs araştırmacısı Lucija Valentić, kötü amaçlı URL'lerin Ethereum sözleşmelerinde barındırılmasının eşi benzeri görülmemiş bir yaklaşım olduğunu belirtti. "Daha önce görmediğimiz bir şey," diyen Valentić, geliştirmenin, saldırganların güvenlik tarama sistemlerini aşma biçiminde hızlı bir evrim olduğunu ifade etti.
Teknik, blok zinciri trafiğinin genellikle güvenlik yazılımlarına meşru göründüğü gerçeğinden yararlanır. Geleneksel algılama yöntemleri normal akıllı sözleşme işlemleriyle kötü amaçlı amaç kullanılanları ayırt etmekte zorlanır.
Sahte Ticaret Botları Ana Saldırı Vektörü Olarak Hizmet Veriyor
Kötü amaçlı paketler, GitHub depoları aracılığıyla yürütülen daha geniş bir aldatma kampanyasının parçasıydı. Saldırganlar, geliştiricileri cezbetmek için uydurulmuş taahhüt geçmişleri, çok sayıda sahte bakımcı hesabı ve profesyonel dökümantasyonla tamamlanmış sahte kripto para ticaret botu projeleri inşa ettiler.
Bu depolar, kötü amaçlı yazılım kurulumları için dağıtım mekanizmaları olarak hizmet ederken güvenilir görünmek üzere tasarlandı. Sahte projelerin sofistikeliği, siber suçluların saldırıyı başlatmadan önce güvenilirlik oluşturmak için ne kadar ileri gideceklerini gösteriyor.
Güvenlik analistleri, bu blok zinciri tabanlı komut depolama ve sosyal mühendislik kombinasyonunu, saldırı karmaşıklığında önemli bir tırmanış olarak tanımladılar. Yaklaşım, hem geleneksel saldırı vektörlerini hem de blok zinciri tabanlı iletişimleri izlemeleri gereken siber güvenlik ekipleri için tespiti önemli ölçüde daha zor hale getiriyor.
Node Package Manager'ı hedefleyen kampanya, açık kaynak geliştirme topluluklarını etkileyen daha büyük bir eğilimin yalnızca bir yönünü temsil ediyor. Geliştiriciler, genellikle kapsamlı güvenlik incelemeleri yapmadan paketler yükledikleri için saldırganlar özellikle bu ortamları hedef alıyorlar.
Önceki Blok Zinciri Tabanlı Saldırılar Kripto Para Projelerini Hedefliyor
Ethereum, kötü amaçlı yazılım dağıtım amaçlı istismar edilen tek blok zinciri ağı değil. Bu yılın başlarında, Kuzey Kore bağlantılı Lazarus Group, Ethereum sözleşmelerini kullanan, ancak özel uygulamaları son NPM saldırısından farklı olan bir kötü amaçlı yazılım dağıttı.
Nisan ayında, saldırganlar, Solana ticaret botu projesini taklit eden sahte bir GitHub deposu yarattı.
Sahte depo, kurbanlardan kripto para cüzdanı kimlik bilgilerini çalmak için özel olarak tasarlanmış kötü amaçlı yazılım dağıtmak için kullanıldı.
"Bitcoinlib" adlı ve Bitcoin geliştirme çalışmaları için tasarlanmış bir Python kütüphanesiyle ilgili belgelenmiş bir başka olay daha var. Hackerlar, benzer kimlik bilgisi hırsızlığı amaçları için bu meşru geliştirme aracını hedef aldı.
Kalıp, siber suçluların sürekli olarak kripto para birimiyle ilgili geliştirme araçlarını ve açık kaynak depolarını hedeflediğini gösteriyor. Bu ortamlar, geliştiricilerin sıklıkla yeni, tanıdık olmayan kod kütüphaneleri ve araçlarıyla çalışmaları nedeniyle saldırılar için ideal koşullar sağlar.
Blok Zinciri ve Akıllı Sözleşme Teknolojisini Anlamak
Akıllı sözleşmeler, Ethereum gibi blok zinciri ağlarında çalışan kendi kendini yürüten programlardır. Belirlenen koşulları otomatik olarak, geleneksel aracılar müdahalesi veya gözetimi olmadan gerçekleştirir.
Bu sözleşmeler, blok zincirinde verileri kalıcı olarak depolar ve dünyanın herhangi bir yerinden erişilebilir hale getirir. Blok zinciri ağlarının merkezi olmayan doğası, kötü amaçlı içeriğin kaldırılmasını son derece zorlaştırır.
Komut ve kontrol sunucuları, siber suçluların enfekte cihazlarla iletişim kurmak için kullandığı bilgisayar sistemleridir. Sunucu adreslerini blok zinciri ağlarında depolayarak, saldırganlar güvenlik ekiplerinin kesintiye uğraması veya izlenmesi zor olan iletişim kanalları oluşturur.
Son Düşünceler
Ethereum akıllı sözleşmelerinde gizlenmiş kötü amaçlı yazılım komutlarının keşfi, siber suçluların taktiklerinde önemli bir evrimi işaret ediyor. Saldırganlar, giderek daha fazla blok zinciri teknolojisini tespit sistemlerinden kaçmak için kullanıyor. Valentić, siber suçluların sürekli olarak güvenlik savunmalarını aşmanın yeni yollarını aradığını ve blok zinciri tabanlı komut depolamanın, siber güvenlik önlemlerinin önünde kalmanın son yeniliği olduğunu vurguladı.