Windows ve Office ürünlerini etkinleştirmek için popüler bir araç olan Microsoft Activation Scripts’e (MAS) yönelik yeni bir kimlik avı saldırısı tespit edildi. Saldırganlar, orijinal etkinleştirme alan adını tek bir harf ile değiştirerek sahte bir site kurdu. Kullanıcılar bu sahte siteden yüklenen PowerShell komut dosyaları aracılığıyla “CosMali Loader” adlı zararlı yazılım ile karşı karşıya kalıyor.
Tek Bir Harfin Farkı Kullanıcıları Tuzak Siteye Çekiyor
Olay, birden fazla kullanıcının sistemlerinde CosMali Loader enfeksiyonu hakkında açılır uyarılar aldığını Reddit’te bildirmesiyle ortaya çıktı. Güvenlik araştırmacısı RussianPanda, bu uyarıların kötü amaçlı yazılımın kontrol paneline erişimi olan biri tarafından gönderilmiş olabileceğini belirtiyor. Araştırmacı, enfeksiyonun kripto para madenciliği yazılımları ve XWorm uzaktan erişim Truva atını (RAT) sistemlere yüklediğini doğruladı.
Saldırının temelinde “typosquatting” olarak bilinen bir yöntem yatıyor. Saldırganlar, kullanıcıların yazım hatası yapmasını bekleyerek, orijinal alan adına çok benzeyen sahte adresler kaydeder. Bu durumda, MAS aracının resmi talimatlarında kullanıcılara verilen get.activated.win adresinin yerine, sondaki “d” harfi çıkarılarak get.activate[.]win alan adı oluşturulmuş. Tek bir harfin eksik olması, dikkatsiz kullanıcıların komutu yanlış yazması durumunda onları doğrudan kötü amaçlı komut dosyasını çalıştıran sahte siteye yönlendiriyor.
MAS projesinin sorumluları da kullanıcıları bu kampanyadan haberdar etti. Kullanıcılardan, komutları çalıştırmadan önce dikkatlice kontrol etmeleri istendi. Uzmanlar, PowerShell komutlarını doğrudan tarayıcıdan kopyalayıp yapıştırmak yerine yeniden yazmanın bu tür yazım hatalarına daha çok yol açabileceği konusunda uyarıyor.
Etkilenen kullanıcılar, sistemlerinde enfeksiyon belirtilerini kontrol etmek için Görev Yöneticisi’ni (Task Manager) açabilir. Görev Yöneticisi’nde, kaynağı belli olmayan veya şüpheli görünen “PowerShell” işlemleri aranmalı. Bu tür işlemlerin varlığı, sistemin ele geçirilmiş olabileceğine işaret ediyor.
Eğer bir sistemin bu zararlı yazılımla enfekte olduğundan şüpheleniliyorsa, alınacak en güvenli önlem Windows’u temiz bir şekilde yeniden yüklemektir. Zararlı yazılımın kontrol panelinin güvenli olmadığı ve panele erişimi olan herkesin enfekte bilgisayarlara erişebileceği bildiriliyor. Bu nedenle, sistem temizlenene kadar hassas bilgi ve işlemlerden kaçınılması kritik önem taşıyor.
Microsoft, MAS gibi araçları, lisanslama sistemini atlatan yetkisiz yöntemler kullandığı için bir korsanlık aracı olarak görüyor. Güvenlik uzmanları ise resmi olmayan Windows etkinleştiricilerinin uzun süredir kötü amaçlı yazılım dağıtmak için kullanıldığını vurguluyor. Kullanıcılara, uzaktan gelen ve işlevini tam olarak anlamadıkları kodları çalıştırmaktan kaçınmaları, komutları bir sanal ortamda (sandbox) test etmeleri ve bu tür araçları kullanmanın doğal risklerinin farkında olmaları tavsiye ediliyor.
