Claude AI: Mac’teki spyware saldırısı, $230K kripto kaybı

Claude AI, iki Mac kullanıcısının M1 Pro ve M5 Pro MacBook’larında gizli bir spyware ve arka kapı keşfetti. Saldırı, Notion Web Clipper adlı sahte bir Chrome uzantısı yoluyla gerçekleşti. Bu saldırıda, bir kullanıcı 4:00’da sabaha karşı $230.000’lik Ethereum’ünü kaybetti, diğeri ise Safari ve Chrome şifreleriyle birlikte 2FA backup kodlarını da kaybetti. Zararlı yazılım, verileri Shenzhen’deki bir Tencent Cloud sunucusuna gönderiyordu ve gerçek zamanlı kullanıcı telemetrisi topluyordu. Saldırganın amacı, kullanıcıların kripto varlıklarını ve kimlik bilgilerini ele geçirmek ve kontrol altına almak oldu.

Saldırganlar, 1 milyon kullanıcıya sahip olan gerçek Notion Web Clipper’in adıyla hareket eden sahte bir uzantı kullanarak saldırıyı gerçekleştirdi. Aslında sadece 12 kullanıcıya sahip olan bu sahte sürüm, Google Chrome Sync özelliği sayesinde iki Mac arasında yayıldı. Bir kullanıcıda, MetaMask şifreleri çaldı ve kripto varlığı aniden dışarı aktarıldı. Diğer kullanıcıda ise, tüm şifreler ve 2FA kodları silindi. Bu saldırı, kullanıcıların kripto varlıklarını korumak için kullandıkları cihazların güvenliğini ihlal etti ve kimlik avı tekniklerinin Mac platformuna nasıl uygulanabileceğini gösterdi.

Saldırı mekanizması ve zararlar

Claude AI, saldırganın Li Wei adıyla Tencent Cloud sunucusuna veri gönderdiğini tespit etti. M1 Pro MacBook Pro’da MetaMask şifreleri çaldı ve ETH kaybı gerçekleşti. Zararlı yazılım, klavyeden tuş vuruşlarını kaydetti ve MetaMask wallet’a erişim sağladı böylece kullanıcının private key’ini veya seed phrazes’ini çalmak için hazırlandı. M5 Pro MacBook Pro’da ise Safari ve Chrome şifreleriyle birlikte 2FA backup kodları ele geçirildi. Zararlı yazılım, gerçek zamanlı telemetri verisi topladı ve kullanıcıların konumunu, IP adresini ve hatta klavyeden girilen her tuş vuruşunu sunucuya yolladı.

Bu saldırı, arka kapı ve spyware kombinasyonunun nasıl Mac platformunda gizlice çalıştığını gösterdi. Arka kapı, saldırganın daha sonraki saldırılarda kullanıcıya yeniden erişmesini sağladı, spyware ise kullanıcıların günlük aktivitelerini izledi ve kullanıcıların kimlik bilgilerini ve kripto varlıklarını hedefledi. Ayrıca, Tencent Cloud sunucusunun Shenzhen’de bulunması, saldırganın Çinli bir operatörle işbirliği yapabileceğini veya Çinli bir devlet aktörüyle ilişkilendirilmesini gündeme getirdi.

Saldırının teknik detayları ve arka planı

Bu saldırı, Chrome uzantılarının güvenlik açığı üzerinden gerçekleştirildi. Uzantılar, tarayıcıya entegre olabilmek için özel izinler talep eder, ancak bu izinler kötü niyetli aktörler tarafından kötüye kullanılırsa kullanıcıların tüm tarayıcı verilerine erişim sağlanabilir. Ayrıca, Google Chrome Sync özelliği, kullanıcıların uzantı, ayar ve hatta zararlı yazılımları birden fazla cihaza senkronize etmesini sağlar. Bu durumda, bir cihazda zararlı uzantı kurulduğunda, diğer cihazlara da otomatik olarak yayılabilir.

Saldırganın Tencent Cloud sunucusunu kullanması, bulut tabanlı saldırı tekniklerinin popülerliğini göstermektedir. Bulut sunucular, saldırganlara anonimlik, yüksek performanslı veri toplama ve uzun süreli izleme imkanı sağlar. Ayrıca, Tencent Cloud’un Shenzhen’de bulunması, saldırganın yerel yasalara uygun bir şekilde veya yerel operatörlerle işbirliği içinde çalışabileceğini düşündürmektedir.

Kimin etkilediği ve nasıl korunulabilir?

Bu saldırı, Mac kullanıcıları ve Chrome uzantıları kullanıcıları için bir uyarı olarak değerlendirilebilir. Ancak, saldırının etkisi sadece bu kullanıcıları değil, herhangi bir cihazda Chrome kullanıcılarını da etkileyebilir. Özellikle, kripto varlıkları saklayan kullanıcıların dikkatli olması gerekiyor. Ayrıca, şifre yöneticileri ve 2FA kodları kullanıcılar için de bir risk oluşturuyor.

Kullanıcılar, aşağıdaki önlemleri alarak kendilerini koruyabilirler:

• Chrome uzantılarını sadece resmi Chrome Web Store’dan indirmek ve uzantı sayfasında kullanıcı yorumlarını dikkatlice okumak.
• Google Chrome Sync özelliğini devre dışı bırakmak veya sadece güvenilir cihazlarda kullanmak.
• Şifre yöneticileri ve 2FA kodlarını cihaz dışı depolamak ve fiziksel cihazlara veya yazılımlı şifre yöneticilerine güvenmek.
• Güvenlik yazılımlarını düzenli olarak güncellemek ve güncel antivirüs ve anti-spyware çözümleri kullanmak.
• Kripto varlıklarını depolamak için hardware wallet’lar kullanmak ve online cüzdanları kullanmaktan kaçınmak.
• Kullanıcıların kullanmadıkları uzantıları silmek ve uzantı izinlerini düzenli olarak incelemek.

Özellikle kripto kullanıcıları için, şifre yöneticileri ve 2FA kodları kritik öneme sahiptir. Bu tür saldırılara karşı en etkili koruma yöntemleri arasında, cihaz dışı depolama ve hardware wallet kullanımı yer alır. Ayrıca, kullanıcıların şüpheli uzantılardan kaçınması ve güvenilir kaynaklardan yazılım indirmesi gereklidir.

Gelecek senaryolar ve olası riskler

Bu saldırı, Mac platformunda spyware ve arka kapı saldırılarının artabileceğini göstermektedir. Gelecekteki saldırılar, daha karmaşık teknikler ve daha geniş hedef kitleleri içerebilir. Örneğin:

• Mac platformuna özel olarak tasarlanmış spyware ve arka kapı yazılımları.
• Kripto varlıklarını hedef alan daha karmaşık kimlik avı saldırıları.
• Bulut tabanlı saldırı tekniklerinin daha yaygın kullanımı ve yerel yasalara uygun veya yerel operatörlerle işbirliği içeren saldırılar.
• Chrome uzantılarının güvenlik açıkları üzerinden gerçekleştirilen daha büyük ölçekli saldırılar.

Bu tür saldırılara karşı, kullanıcıların ve kurumların güvenlik önlemlerini sürekli olarak güncellemesi ve teknolojik gelişmelere uyum sağlaması gereklidir. Ayrıca, güvenlik araştırmacıları ve yazılım geliştiricilerinin uzantı güvenliği ve bulut tabanlı saldırı tekniklerine odaklanması önem kazanmaktadır.

Claude AI’nin rolü ve gelecekteki potansiyeli

Claude AI, zararlı yazılımın varlığını tespit etti, ancak saldırının gerçekleşmesinden sonra. Bu, AI’nin güvenlik taramalarında hala geliştirme ihtiyacı olduğunu gösteriyor. Ancak, tespit yeteneği sayesinde zararın büyümesini engellemeye yardımcı oldu ve kullanıcıların zarar görmeden zararlı yazılımı temizleyebilmesini sağladı.

Gelecekte, AI tabanlı güvenlik çözümlerinin saldırıları önleme ve tespit etme yetenekleri artabilir. Örneğin:

• AI, zararlı yazılımın erken aşamalarında tespit edilmesini sağlayabilir ve saldırının önlenmesini mümkün kılabilir.
• AI, kullanıcıların davranışlarını analiz ederek şüpheli aktiviteleri tespit edebilir ve kullanıcıları uyarabilir.
• AI, zararlı yazılımın nasıl çalıştığını anlamak için karmaşık analizler yapabilir ve yeni saldırı tekniklerini önceden tahmin edebilir.

Sonuç olarak, bu saldırıyı önlemek için kullanıcıların dikkatli ve bilinçli olmaları gerekiyor. Güvenlik önlemlerini artırmak ve şüpheli uzantılardan kaçınmak, bu tür saldırılara karşı en etkili koruma yöntemidir. Ayrıca, AI tabanlı güvenlik çözümlerinin geliştirilmesi ve yaygınlaşması, gelecekteki saldırılara karşı daha etkili koruma sağlayabilir.

Bu olay, güvenlik duvarlarının ne kadar kritik olduğunu bir kez daha kanıtlıyor. Kullanıcılar, Chrome uzantılarını ve senkronizasyon özelliklerini kullanırken dikkatli olmalı ve güvenilir kaynaklardan indirmelidirler. Ayrıca, kripto varlıklarını korumak için hardware wallet’lar ve cihaz dışı depolama yöntemleri kullanmak önem taşımaktadır.