Büyük Kripto Firmaları Taklidi Yapan Zararlı Yazılım Dünya Çapında 10 Milyondan Fazla Kişiyi Hedef Alıyor

Güvenlik firması Check Point, JSCEAL adlı bir zararlı yazılımın kripto platformlarını taklit ederek milyonlarca kurbanı tuzağa düşürüp kripto ile ilgili verileri çaldığını uyarıyor. Peki, bu zararlı yazılım nasıl çalışıyor?

Check Point Research’in yakın tarihli blog yazısında, yaklaşık 50 kripto platformunu taklit ederek kripto ile ilgili verileri hedef alan yeni bir çevrimiçi tehdidin kripto yatırımcılarına bildirildiği belirtildi. Bunlar arasında Binance, MetaMask, eToro, DEX Screener, Monero, Kraken ve daha birçok platform yer alıyor.

Mart 2024’ten beri aktif olan JSCEAL adlı zararlı yazılım, başlangıçta sınırlı faaliyet gösterirken zamanla daha karmaşık bir yapıya büründü.

Güvenlik firması, “Kampanyanın son aşamasında tehdit aktörleri çok sayıda alan adı satın aldı ve bazen son zararlı yazılım yükünü devreye sokmaktan kaçınmak da dahil olmak üzere tespiti zorlaştıran ayırt edici teknikler benimsedi” diye yazdı.

Kötü amaçlı yazılım kampanyası, kurbanları çekmek için kripto firmalarına ait reklamlar oluşturuyor. Kullanıcılar bu reklamlara tıkladığında, onları gerçek kripto platformları sanarak işlem yapacakları “aldatma web sitelerine” yönlendirip sahte uygulamalar yüklemelerini sağlıyor.

Bu esnada kötü niyetli aktörler kurbanın sistemine sızarak kripto ile ilgili verilerini çalıyor.

Check Point, blog yazısında “2025’in ilk yarısında tehdit aktörleri yaklaşık 35.000 kötü amaçlı reklam yayınladı ve bu reklamlar sadece Avrupa Birliği’nde birkaç milyon görüntülenmeye ulaştı” dedi.

Güvenlik firmasının tahminlerine göre, her reklam en az 100 kullanıcıya Avrupa Birliği’nde ulaşabildi. Bu da 35.000 reklam ile sadece AB içinde 3,5 milyon kullanıcıya erişildiği anlamına geliyor.

Firma, AB dışındaki kullanıcıları henüz hesaplamadı. Dünya genelinde sosyal medya kullanıcı sayısının AB’den çok daha fazla olduğu göz önüne alındığında, güvenlik firması “küresel erişimin kolaylıkla 10 milyondan fazla kişiye ulaşabileceği” sonucuna vardı.

JSCEAL Zararlı Yazılımı Kullanıcı Cihazlarına Nasıl Sızıyor?

Blog yazısına göre, zararlı yazılım kampanyasının son versiyonu “benzersiz kaçınma yöntemleri” kullanıyor ve bu da tespit edilmesini zorlaştırıyor. Zararlı yazılımı doğrudan cihazlara yüklemeye yönlendiren sahte bir web sitesi kullanılması, güvenlik firmasına göre çift katmanlı bu yöntem “analiz ve tespit çabalarını önemli ölçüde karmaşıklaştırıyor.”

JSCEAL, JavaScript programlama dilini ve güvenlik firmasının “derlenmiş kod ile yoğun karmaşıklaştırmanın birleşimi” olarak tanımladığı teknikleri kullanıyor. Böylece kurbanın kodu tetiklemesine gerek kalmadan zararlı yazılım çalışabiliyor.

Ayrıca kampanyanın temel amacı, enfekte cihazdan bilgi çalmak ve bu verileri ana hacker sunucusuna göndermek. Firma analizlerine göre saldırganlar, konum, otomatik doldurulan şifreler, ağ detayları, e-posta bilgileri ve proxy yapılandırması gibi “geniş kapsamlı cihaz bilgilerini” topluyor.

Ek olarak, saldırganlar kurbanı değerli bulursa, daha fazla veri çalmak ve zararlı yazılımın kurban sisteminden tüm izlerini silmek için “son zararlı yükü” indirip çalıştırabilen ek bir kod ekliyorlar.

Ancak kullanıcılar, kötü amaçlı yürütmeleri tespit etmek ve zaten enfekte olmuş cihazlardaki saldırıları durdurmak için anti-malware yazılımları kullanmaya devam edebilirler.