Edge Uzantıları Nasıl Sinsi Bir Tehdit Barındırdı?

Microsoft Edge uzantı tehdidi, dijital dünyanın en sinsi saldırılarından birini gün yüzüne çıkardı. Tarayıcı eklentileri aracılığıyla yayılan StegoAd adlı bu operasyon, görüntü ve yazı tipi dosyalarına gizlenmiş zararlı yazılımlarla milyonlarca kullanıcıyı hedef aldı. Siber güvenlik uzmanları, bu tür sofistike saldırıların tarayıcı ekosistemindeki zayıflıkları bir kez daha gözler önüne serdiğini belirtiyor.

Microsoft, Edge Eklenti mağazasında uzun süredir devam eden kötü amaçlı bir uzantı operasyonunu sona erdirdi. Peki, bu denli karmaşık bir tehdit nasıl bu kadar uzun süre fark edilmeden kalabildi ve kullanıcılar kendilerini nasıl koruyabilirler?

StegoAd: Görünmez Tehlikenin Anatomisi

StegoAd, adını steganografi ve reklam yazılımı kelimelerinin birleşiminden alıyor. Bu sinsi taktik, kötü amaçlı kodları tamamen normal görünen dosyalara saklayarak statik tarayıcıları atlatmayı başarıyordu. İlk varyantlarda, zararlı JavaScript kodları PNG ikonlarının IEND işaretçisinden sonra ekleniyor, böylece görüntü sorunsuz bir şekilde oluşturulurken arka planda bir yük taşıyordu.

Tespit yöntemleri geliştikçe, tehdit aktörü stratejisini değiştirdi. WebP görüntülerini kullanmaya başlayan saldırganlar, daha sonra WOFF2 yazı tipi dosyalarına geçiş yaparak kodları Asya metni veya yazı tipi meta verileri olarak okunan glif aralıklarına gizlediler. Microsoft, tarayıcı uzantısı ekosisteminde bu ölçekte steganografinin oldukça nadir görüldüğünü vurguluyor. Operasyonun ardındaki tehdit aktörünün en az 2021’den beri aktif olduğu biliniyor; bu durum, dijital tehditlerin ne denli kalıcı olabildiğini gösteriyor.

Bazı yüksek etkili varyantlar, zararlı yükü yerel olarak bile göndermiyordu. Bunun yerine, komuta ve kontrol (C2) sunucusundan normal görünümlü bir görüntü getiriliyordu. Uzantı, bu görüntüyü karmaşık katmanlar aracılığıyla (büyük/küçük harf değiştirme, rakam değiştirme, Base64 ve XOR gibi teknikler) çözüyor, ardından çalıştırmadan önce bir imzaya karşı kontrol ediyordu. C2 sunucusu, gerçek dosyayı yalnızca parmak izi ve Kullanıcı Aracısı (User-Agent) kontrolünden geçen isteklere sunuyordu; araştırmacılar dahil, doğrudan sorgulayan herkes boş bir tuzak yanıtı alıyordu. Uzantılar ayrıca açık DevTools pencerelerini izliyor ve bir analist tespit ettiklerinde uyku modlarını uzatıyordu. Bu nasıl bir siber casusluk değil de nedir?

Sessiz Operasyonun Hedefleri: Dolandırıcılık ve Veri Hırsızlığı

StegoAd operasyonunun görünen yüzü reklam sahtekarlığıydı. Kullanıcıların tarayıcılarına enjekte edilen reklamlar, Amazon, eBay ve AliExpress gibi platformlardaki satış ortaklığı komisyonlarının çalınması ve arama yönlendirmeleri, hem kullanıcı deneyimini bozuyor hem de haksız kazanç sağlıyordu. Ancak Microsoft’un elde ettiği zararlı yük analizleri, buzdağının altındaki çok daha tehlikeli bir tabloyu ortaya çıkardı.

İncelenen zararlı yükler, sunucudan gönderilen rastgele JavaScript kodlarını çalıştırabilen bir uzaktan kod yürütme arka kapısı içeriyordu. Ayrıca, kullanıcıların oturum açma sırasında Google kimlik bilgilerini ve ikinci faktör kodlarını çalıyor, WordPress yönetici giriş bilgilerini topluyor ve oturum ele geçirme için toplu çerez dışa aktarımı yapıyordu. Bu tür veriler, kimlik hırsızlığı ve finansal dolandırıcılık gibi daha ciddi saldırıların önünü açıyordu. Kimlik bilgilerini çalmak, basit bir reklam dolandırıcılığından çok daha fazlasını ifade etmiyor mu?

Operasyonun altyapısı da iddialıydı. Tehdit aktörünün, kampanyayı Google’ın kendi altyapısı üzerinden neredeyse gerçek zamanlı olarak izlemesini sağlayan yedi adet Google Analytics izleme kimliğini gizli telemetri olarak kullandığı ortaya çıktı. Ayrıca, otomatik yük devretme özellikli ondan fazla C2 alan adı, Cloudflare Workers üzerinden vekil trafik ve işaretçileri barındırmak için GitHub Pages’ın kötüye kullanımı gibi karmaşık bir altyapı kullanılıyordu. Bu çapta bir organizasyon, basit bir bireysel hacker’ın ötesinde bir yapıyı işaret ediyor.

Bu operasyonun ardındaki zeka, sıradan bir kullanıcı için görünmez kalabilen katmanlı bir saldırı mekanizması ördü. Dijital dünyada ‘güven’ kavramının ne kadar kırılgan olduğunu bir kez daha gösteriyor bu durum.

Tehdidin Boyutları ve Siber Güvenliğe Etkileri

Microsoft, bu operasyona bağlı 119 uzantının tespit edildiğini ve bunların toplamda 2.6 milyona kadar kullanıcıya

Bu tür saldırılar, özellikle Türk kullanıcılar için önemli dersler barındırıyor. Ülkemizde ücretsiz uygulama ve uzantı cazibesi yüksek olduğundan, kullanıcılar bazen güvenlik kontrollerini göz ardı edebiliyor. Bu durum, StegoAd gibi gizli tehditlerin geniş bir kitleye yayılması için uygun bir zemin oluşturuyor. Siber güvenlik bilincinin artırılması ve dijital hijyen alışkanlıklarının kazanılması, bu tür saldırılara karşı ilk savunma hattını oluşturuyor.

Steganografi, yüzyıllardır gizli iletişim için kullanılan bir teknik olsa da, tarayıcı uzantılarında bu ölçekte ve karmaşıklıkta kullanılması yeni bir dönüm noktası. Bu olay, modern siber tehditlerin ne kadar sofistike hale geldiğini ve sadece dosya uzantılarına veya bilinen kalıplara bakarak tehditleri tespit etmenin artık yeterli olmadığını kanıtlıyor. Gelişmiş tehdit tespit sistemleri ve yapay zeka destekli analizler olmadan bu tür görünmez düşmanlarla mücadele etmek giderek zorlaşıyor.

Peki Edge Uzantı Tehdidi ile Ne Yapmalısınız?

Microsoft’un bu büyük çaplı StegoAd operasyonunu durdurması, tarayıcı güvenliği açısından önemli bir zafer. Ancak kullanıcıların kendi güvenliklerini sağlamak için atabilecekleri adımlar da bulunuyor. Tarayıcı uzantıları, günlük dijital yaşantımızın vazgeçilmez bir parçası haline gelse de, aynı zamanda ciddi güvenlik açıkları yaratabiliyorlar. Kullanıcılar ne yapmalı?

• Uzantıları Düzenli Olarak Gözden Geçirin: Yüklü uzantılarınızın listesini sık sık kontrol edin. Kullanmadığınız veya güvenilirliğini sorguladığınız uzantıları derhal kaldırın. Her uzantının gerçekten gerekli olup olmadığını sorgulamak, basit ama etkili bir adımdır.
• Sadece Güvenilir Kaynaklardan Yükleyin: Uzantıları yalnızca resmi mağazalardan (örneğin Edge Eklenti mağazası) indirin ve popüler, iyi yorum almış, şeffaf gizlilik politikalarına sahip olanları tercih edin. Geliştiricinin geçmişini araştırmak da size yol gösterebilir.
• İzinleri Kontrol Edin: Bir uzantı yüklerken istediği izinleri dikkatlice okuyun. Örneğin, bir el feneri uygulamasının kişisel dosyalarınıza erişim istemesi mantıklı mıdır? Gereksiz veya şüpheli izinler isteyen uzantılardan uzak durun.
• Tarayıcınızı ve Sistemlerinizi Güncel Tutun: Tarayıcınızın ve işletim sisteminizin her zaman en son güvenlik yamalarıyla güncel olduğundan emin olun. Bu güncellemeler, bilinen güvenlik açıklarını kapatarak sizi yeni tehditlere karşı korur.
• Çok Faktörlü Kimlik Doğrulama (MFA) Kullanın: Tüm önemli hesaplarınızda MFA’yı etkinleştirin. Bu, kimlik bilgileriniz çalınsa bile hesaplarınıza yetkisiz erişimi önemli ölçüde zorlaştırır. Güçlü ve benzersiz parolalar kullanmayı da ihmal etmeyin.

Unutmayın, dijital güvenlik sadece büyük şirketlerin değil, her bireyin sorumluluğundadır. Küçük adımlar bile siber tehditlere karşı savunmanızı güçlendirebilir.