Astaroth keylogger, GitHub’da barındırılan yapılandırma dosyalarını kullanarak ana sunucuları devre dışı bırakıldığında enfekte bilgisayarları yeni komut kontrol sunucularına yönlendiren bir bankacılık Truva atıdır. Bu sayede, keylogging ve Ngrok tabanlı proxyler aracılığıyla kimlik bilgileri çalmaya kesintisiz devam eder.
-
Astaroth, zararlı yazılımın kendisini değil, yapılandırma işaretçilerini GitHub’da tutar.
-
Astaroth, oltalama yöntemleriyle gönderilen .lnk ekleriyle yayılır ve gizlice çalışarak bankacılık ve kripto hesap bilgilerini çalar.
-
McAfee’ye göre Astaroth özellikle Güney Amerika’yı hedef alır ve veri çıkarmak için Ngrok ve tarayıcı kontrolleri kullanır.
Astaroth keylogger, GitHub’da barındırılan konfigürasyon dosyalarıyla kurbanları yönlendirerek bankacılık ve kripto hesap bilgilerinizi çalıyor – hesaplarınızı koruma ve saldırıyı tespit etme yöntemlerini şimdi öğrenin.
Astaroth keylogger nedir ve nasıl çalışır?
Astaroth keylogger, oltalama yoluyla gelen .lnk dosyalarıyla bulaşan ve arka planda çalışarak bankacılık ve kripto hesap bilgilerinizi tuş kaydı (keylogging) yöntemiyle toplayan bir bankacılık Truva atıdır. İletişimini Ngrok proxy’leri üzerinden sağlar ve ana komut-kontrol sunucuları devre dışı kalırsa, GitHub üzerindeki yapılandırma dosyalarını güncelleyerek yeni sunuculara bağlanmaya devam eder.
Astaroth, GitHub’u sunucu yönlendirmede nasıl kullanıyor?
Astaroth, çalıştırılabilir zararlı yazılım dosyalarını GitHub’da barındırmaz; bunun yerine saldırganlar küçük yapılandırma dosyalarını GitHub depolarında tutar. Bu dosyalar, enfekte cihazları alternatif komut-kontrol sunucularına yönlendirir. Ana sunucu kapandığında, GitHub’daki yapılandırma dosyası güncellenerek yeni sunucu adresi verilir ve trojan bağlantısını koparmadan veri çalmaya devam eder.
Astaroth’un temel yetenekleri ve hedefleri nelerdir?
Bu trojan, klavye kayıtları alır, kimlik bilgilerini toplar ve Ngrok ters proxy’leri üzerinden verileri dışarı sızdırır. Bankacılık alanları ile kripto platformlarını hedefler ve çoğunlukla Güney Amerika’da görülmüştür. İngilizce konuşulan bölgelerden kaçınmak için ülke bazlı hedefleme mantığı uygular. McAfee araştırmacıları, en yoğun yayılımın Brezilya’da olduğunu, ayrıca Meksika, Arjantin, Şili ve diğer Latin Amerika ülkelerinde faaliyet gösterdiğini bildiriyor.
Neden GitHub, zararlı yazılım operatörleri tarafından kötüye kullanılıyor?
Saldırganlar, GitHub gibi güvenilir ve sürekli erişilebilir platformları, zararsız görünen yapılandırma dosyaları barındırmak için kullanıyor. Bu sayede güvenlik sistemlerinin dikkatini çekmeden arka uç sunucu adreslerini hızlıca değiştirmek mümkün oluyor ve sistem çökertildiğinde bile saldırı sürdürülüyor.
McAfee’nin bulgularını destekleyen kanıtlar nelerdir?
McAfee tehdit analistlerinden Abhishek Karnik ve ekibi, GitHub depolarında Ngrok ve alternatif sunuculara işaret eden yapılandırma dosyaları keşfetti. Bu dosyaların zararlı yazılım dosyası içermediğini, sadece bağlantı işaretleri barındırdığını belirttiler. Benzer yöntemlerin, önceki GitVenom ve Redline Stealer kampanyalarında da kullanıldığı güvenlik raporlarında yer alıyor.
Sıkça Sorulan Sorular
Astaroth keylogger’dan hesaplarımı nasıl korurum?
Riskinizi azaltmak ve enfekte olunursa hasarı sınırlandırmak için öncelikli kısa bir liste:
- Beklenmeyen .lnk veya ek dosyalarını e-postadan açmayın.
- Güncel antivirüs ve uç nokta koruma yazılımları kullanın, düzenli tam sistem taraması yapın.
- Bankacılık ve kripto hesaplarınızda iki faktörlü kimlik doğrulamayı (2FA) aktif edin.
- Hassas finansal girişleriniz için özel cihazlar veya tarayıcı profilleri kullanın.
- Hesap hareketlerinizi yakından takip edin ve şüpheli oturumları hemen sonlandırın.
Öne çıkan noktalar
- Astaroth, dayanıklılık için GitHub’u kullanıyor: Saldırganlar, enfekte cihazları yönlendirmek için GitHub’da yapılandırma dosyaları tutuyor.
- Kimlik bilgisi hırsızlığı keylogging yöntemiyle: Trojan, banka ve kripto giriş bilgilerini Ngrok proxy’leriyle dışarı sızdırıyor.
- Kullanıcı önlemleri kritik: Bilinmeyen ekleri açmayın, güncel antivirüs kullanın ve 2FA’yı aktif edin.
Sonuç
Astaroth keylogger arkasındaki kötü amaçlı aktörler, oltalama, keylogging, Ngrok proxy’leri ve GitHub’da barındırılan yapılandırma dosyaları ile sunucuları kapatılsa bile operasyonlarını sürdürüyor. Güvenlik ekipleri ve kullanıcılar, oltalama farkındalığına, uç nokta temizliğine ve iki faktörlü doğrulamaya öncelik vermeli. Analistler ise depolama alanı olarak GitHub konfigürasyon dosyalarının kötüye kullanımını izlemeye devam etmeli. COINOTAG, yeni gelişmeler oldukça bu raporu güncelleyecektir.
