Sahte "Robot Değilim" Doğrulaması Tarayıcıdaki Tüm Parolalarınızı Çalıyor: Lunex Stealer | Zero News

Güvenlik firması Ontinue, Lunex adlı yeni bir malware-as-a-service (hizmet olarak zararlı yazılım) platformunu ortaya çıkardı.

Saldırı, ele geçirilmiş web sitelerinde karşınıza çıkan sahte bir Cloudflare "robot değilim" doğrulamasıyla başlıyor.

Tek Bir Komut Yeterli

ClickFix olarak bilinen bu yöntemde kullanıcıdan, doğrulamayı tamamlamak için bilgisayarında bir komut çalıştırması isteniyor.

Bu tek hamle, zararlı yazılımın cihaza kurulmasına yetiyor.

Çalışanlarınız insan olduklarını kanıtlamak için bilgisayarlarına bir komut yapıştırır mı?

Güvenlik Yazılımını Kör Etmek

Lunex, AMD Radeon yazılımına ait, dijital olarak imzalı ama CVE-2023-20598 açığını taşıyan eski bir sürücüyü (PDFWKRNL.sys) sisteme yüklüyor.

BYOVD (Bring Your Own Vulnerable Driver) tekniğiyle çekirdek seviyesinde yetki kazanıyor ve antivirüs ile EDR yazılımlarını kapatmadan kör hale getiriyor. Güvenlik yazılımı çalışıyor görünüyor ama hiçbir şey görmüyor.

Neler Çalınıyor?

Chrome, Edge, Brave, Opera, Opera GX, Vivaldi ve Yandex tarayıcılarında kayıtlı parolalar, oturum çerezleri ve kripto cüzdanları çalınıyor.

Çalınan oturum çerezleriyle saldırgan parola ve MFA olmadan hesaplara girebiliyor. Tarayıcıya yerleşen kalıcı bileşen, dosya silinse veya bilgisayar yeniden başlatılsa bile çalışmaya devam ediyor.

Alınması Gereken Önlemler

• Bir web sitesi doğrulama için Win+R, PowerShell veya komut satırına bir şey yapıştırıp çalıştırmanızı istiyorsa bu bir saldırıdır; kullanıcılar bilgilendirilmeli.

• Microsoft'un Vulnerable Driver Blocklist (zafiyetli sürücü engelleme listesi) ve HVCI (Memory Integrity) özellikleri tüm cihazlarda etkinleştirilmeli.

• Parolalar tarayıcıya kaydedilmemeli; kurumsal bir password manager (parola yöneticisi) kullanılmalı ve kritik hesaplarda passkey tercih edilmeli.

• Kullanıcıların yönetici yetkileri kaldırılmalı; PowerShell ve MSI çalıştırmaları application control (uygulama kontrolü) ile kısıtlanmalı.

• Şüpheli bir bulaşmada yalnızca parolalar değil, tüm aktif oturumlar sonlandırılmalı ve oturum token'ları iptal edilmeli.

Detaylı bilgi için info@zerosecond.com.tr adresinden uzmanlarımıza başvurabilirsiniz.

Zero Second | Zero News – Haftalık siber güvenlik bülteni.

Zero News, Zero Second tarafından hazırlanmıştır.