ChatGPT ve Claude Kılığına Giren Kripto Madenci Tehdidi

Yapay zeka teknolojilerinin yükselişi, siber suçlular için yeni bir istismar alanı yaratmaya devam ediyor. Sahte yapay zeka uygulamaları kılığına girerek kullanıcıların bilgisayarlarına gizlice kripto madencilik yazılımları enjekte eden “Yoba” adlı kapsamlı bir kampanya ortaya çıktı. Anthropic Claude ve OpenAI ChatGPT gibi popüler platformların masaüstü versiyonları olarak tanıtılan bu zararlı yazılımlar, imzalı yürütülebilir dosyaların zafiyetlerini kullanarak sistemlere sızıyor ve mağdurların kaynaklarını çalıyor. Bu karmaşık saldırı, yalnızca performansı düşürmekle kalmıyor, aynı zamanda kullanıcıların siber güvenlik anlayışını da test ediyor.

Yapay Zeka Popülaritesi ve Yeni Tehdit Algısı

Son dönemde yapay zeka destekli sohbet botları, hem bireysel hem de kurumsal kullanıcılar arasında büyük bir ilgi uyandırdı. Bu teknolojik devrimle birlikte, birçok kişi günlük iş akışlarını kolaylaştıracak masaüstü uygulamaları arayışına girdi. Siber saldırganlar da bu yoğun talebi ve güven eksikliğini kendi lehlerine çevirmenin yollarını arıyor. Yoba kampanyası, tam da bu noktada devreye girerek, GPT-5.6 Sol, GPT-6 Astra ve Claude Opus gibi isimlerle sahte GitHub projeleri oluşturdu.

Bu projeler, sanki gerçek bir yazılımmış gibi gösterilmek üzere özel olarak tasarlanmış GitHub.io sayfalarıyla destekleniyor, böylece potansiyel mağdurları ikna etme amacı güdülüyor. Projelerin popülerliği, geleneksel hayalet ağlar kullanılarak manipüle edilmese de, arama motoru optimizasyonu (SEO) zehirlenmesi taktikleriyle Google arama sonuçlarında üst sıralarda yer almaları sağlanıyor. Bu durum, internet kullanıcılarının güvenilir kaynak arayışında dahi tehlikeli bağlantılara yönlendirilebileceğini gösteriyor.

İmzalI Uygulamalar Üzerinden Kripto Madenci Enjeksiyonu

Siber güvenlik analistlerinin bulgularına göre, bu kampanyanın arkasındaki aktörler, operasyonel zaman dilimlerini gizlemek amacıyla farklı e-posta adresleri (edwardcarlsonmkym[@]outlook[.]com, daxschneiderdjuu[@]outlook[.]com ve rioprestonlfyx[@]outlook[.]com) ve farklı UTC zaman dilimleri (UTC+4, UTC-4, UTC+3) kullanıyor. Depolarda barındırılan ZIP arşivleri, kötü amaçlı yazılımın kalbini oluşturan iki temel bileşeni içeriyor: Setup.exe adlı, yasal ve imzalı bir OpenAI Codex veya Claude yürütülebilir dosyası ile winmm.dll adlı kötü amaçlı bir DLL dosyası. Bu DLL, yürütülebilir dosya tarafından dolaylı olarak yükleniyor; bu teknik, DLL sideloading olarak biliniyor ve genellikle güvenlik korumalarını atlatmak için kullanılıyor.

winmm.dll aslında “YobaDropper” kod adlı bir yükleyici işlevi görüyor. Bu yükleyici, ana yürütülebilir dosyanın temel adının karmasını alarak bir sağlama toplamı değeri denetimi uyguluyor. Eğer bu değer, sabit kodlanmış “0xE6C2F326” değeriyle eşleşmezse, yani DLL “Setup.exe” altında başlatılmazsa, kötü amaçlı yazılım etkinleşmiyor. Bu, kum havuzu ortamlarında analizi zorlaştıran bir önlem. Ayrıca, 200.000 döngü Sleep(5500) komutuyla 12.73 günlük devasa bir gecikme yaratılıyor, bu da analistlerin zamanını çalmaya yönelik başka bir taktik.

YobaDropper ayrıca, Rusya, Belarus, Tacikistan, Ermenistan, Azerbaycan, Gürcistan, Kazakistan, Kırgızistan, Türkmenistan, Özbekistan ve Tatar dillerine ait klavye düzenlerini algıladığında enfeksiyon sürecini atlıyor. Tarihsel olarak bu tür listelerde yer alan Ukrayna’nın eksikliği ise dikkat çekici bir detay. Kendi tarafında YobaDropper, wmpdmc.exe ve ampdui.dll içeren bir DLL sideloading zincirini tetikliyor. wmpdmc.exe dosyasını “system32” klasöründen kopyalayarak “ProgramData” altında oluşturulan “WMProcess” adlı yeni bir dizine yerleştiriyor. Ardından gömülü bir yükü çıkarıp şifresini çözerek wmpdui.dll olarak aynı klasöre bırakıyor. Son olarak, yasal bir görevi başlatan zamanlanmış bir görev aracılığıyla kalıcılığını sağlıyor. Bu karmaşık yapı, saldırganların güvenlik önlemlerini aşma konusundaki kararlılıklarını gözler önüne seriyor.

Kullanıcılar İçin Siber Güvenlik Riskleri ve Performans Kaybı

Bu tür bir saldırı, nihai kullanıcılar için ciddi riskler barındırıyor. Birincil sonuç, kullanıcıların bilgisi dışında bilgisayar kaynaklarının, özellikle CPU ve GPU gücünün, kripto para madenciliği için kullanılmasıdır. Bu durum, bilgisayarın performansında gözle görülür bir düşüşe, uygulamaların yavaşlamasına ve hatta sistemin kararlılığını kaybetmesine yol açar. Ayrıca, madencilik faaliyetleri artan elektrik tüketimi anlamına gelir ki bu da kullanıcının faturalarına yansır. Daha da önemlisi, sisteme sızan bir kötü amaçlı yazılım, sadece madencilik yapmakla kalmayıp, gelecekte başka zararlı eylemler için de bir arka kapı oluşturabilir.

Kişisel verilerin ele geçirilmesi veya sistemin tamamen kontrol altına alınması gibi daha ciddi tehditlerin önünü açabilir. Zararlı yazılımın imzalı bir yürütülebilir dosya ile birlikte gelmesi ve DLL sideloading tekniğini kullanması, geleneksel güvenlik yazılımları tarafından tespitini zorlaştırarak kullanıcıları daha savunmasız hale getiriyor.

Sahte Uygulamalara Karşı Korunma Yöntemleri

Kullanıcıların bu tür gelişmiş siber tehditlere karşı korunması için proaktif adımlar atması gerekiyor. Öncelikle, yapay zeka uygulamaları da dahil olmak üzere herhangi bir yazılımı yalnızca resmi ve doğrulanmış kaynaklardan indirmek büyük önem taşıyor. GitHub gibi geliştirici platformlar, açık kaynak projeler için değerli olsa da, zararlı yazılımların gizlendiği sahte depoların da kaynağı olabilir. Bu nedenle, bir uygulama indirirken projenin geliştiricilerini, repoyu ve kullanıcı yorumlarını dikkatlice incelemek, şüpheli görünen her şeyden kaçınmak gerekiyor.

Antivirüs ve uç nokta koruma çözümlerinin her zaman güncel tutulması, bilinmeyen veya şüpheli dosyaların otomatik olarak taranmasını sağlayarak erken tespit için kritik rol oynar. Ayrıca, bilinçsizce tıklanan arama motoru sonuçlarının veya sosyal medya bağlantılarının doğruluğunu sorgulamak, SEO zehirlenmesi taktiklerine karşı ilk savunma hattını oluşturur. Sistem yöneticileri için ise, DLL sideloading gibi teknikleri önlemeye yönelik gelişmiş güvenlik politikaları ve izleme araçları uygulamak, kurumsal ağları korumak adına elzemdir.

Siber Saldırı Tekniklerinde Evrim ve Geopolitik Boyut

Yoba kampanyası, siber saldırıların nasıl daha sofistike ve hedefli hale geldiğinin çarpıcı bir örneğini sunuyor. Saldırganlar, yalnızca popüler bir trendi (yapay zekayı) istismar etmekle kalmıyor, aynı zamanda meşruiyet sağlamak için imzalı yürütülebilir dosyaları kötüye kullanma gibi teknik derinliklere de iniyorlar. Arama motoru sonuçlarını manipüle etme çabaları, geniş kitlelere ulaşma ve daha fazla mağdur yaratma isteğini gösteriyor. Operasyonel zaman dilimlerini kasıtlı olarak karıştırarak ve farklı e-posta adresleri kullanarak kendi izlerini gizlemeye çalışmaları, bu aktörlerin yüksek düzeyde organize ve profesyonel olduğunu düşündürüyor.

Ayrıca, kötü amaçlı yazılımın belirli klavye düzenlerine sahip makineleri enfeksiyon sürecinden dışarıda bırakması, siber suç faaliyetlerinde geopolitik faktörlerin rolünü de ortaya koyuyor. Özellikle, geçmişte benzer dışlama listelerinde yer alan Ukrayna’nın bu listeden çıkarılmış olması, bölgesel çatışmaların siber güvenlik tehditlerinin şekillenmesindeki etkisine dair önemli bir işaret. Bu durum, siber saldırıların sadece teknik bir mesele olmaktan çıkıp, aynı zamanda uluslararası ilişkiler ve siyasi gerilimlerle de doğrudan bağlantılı olduğunu gösteriyor. Siber güvenlik uzmanları için bu tür detaylar, tehdit aktörlerinin motivasyonlarını ve olası kökenlerini anlamada kritik ipuçları sunuyor.