Kuzey Koreli Hackerlar Zoom Görüşmesinde Deepfake Kullanarak macOS Cihazlara Zararlı Yazılım Yükledi

Kuzey Kore bağlantılı BlueNoroff adlı hacker grubu, sahte Zoom görüşmelerinde üst düzey yöneticilerin deepfake görüntülerini kullanarak hedef kişilere zararlı yazılım yükletti. Grup, bu saldırılarla özellikle macOS cihazları hedef alıyor ve kripto para hırsızlığı amacı taşıyor.

BlueNoroff, Sahte Zoom Bağlantısı Üzerinden macOS Cihazlara Sızdı

Saldırı ilk olarak 11 Haziran 2025’te Huntress güvenlik firması tarafından tespit edildi. Olayda, bir teknoloji firmasında çalışan kişi, Telegram üzerinden dışarıdan bir profesyonel gibi görünen kişilerce Zoom görüşmesine davet edildi. Paylaşılan bağlantı, Google Meet gibi görünse de gerçekte sahte bir Zoom alan adına yönlendirme yapıyordu.

Görüşmede, şirketin tanınan yöneticilerinin deepfake videoları kullanıldı. Katılımcının mikrofonu çalışmayınca, deepfake görüntüler “Zoom eklentisi” adı altında zararlı bir AppleScript dosyasının indirilmesini önerdi. İndirilen dosya, yüzeyde Zoom SDK sayfasını açıyor gibi görünse de gizli kodlarla zararlı yazılımı sisteme yüklüyordu.

İndirilen script, sistemde Rosetta 2 yüklü değilse bunu sessizce kurdu. Böylece Apple Silicon cihazlarda x86_64 tabanlı yazılımların çalıştırılması mümkün hâle geldi. Ardından “.pwd” adlı gizli bir dosya oluşturuldu ve zararlı yük başka bir sunucudan sisteme aktarıldı. Analiz sonucunda hedef cihaza en az sekiz farklı zararlı bileşenin yüklendiği tespit edildi. Saldırıda kullanılan zararlı yazılımlar arasında şu araçlar yer aldı:

• Telegram 2: Gerçek bir güncelleme gibi görünen Nim tabanlı bir arka kapı. Sürekli çalışarak ana enfeksiyon zincirini başlatıyor.
• Root Troy V4: Go dilinde yazılmış bir arka kapı. Uzaktan komut çalıştırma ve veri çekme işlevlerini içeriyor.
• InjectWithDyld: Bellek içi zararlı yükleri şifreli şekilde çalıştıran ikincil bir yükleyici.
• XScreen (keyboardd): Ekran görüntüsü, tuş vuruşları ve pano izleme gibi gözetleme işlemleri yapan bileşen.
• CryptoBot (airmond): 20’den fazla kripto cüzdan platformunu hedef alan ve veri çalan bir bilgi toplayıcı.

Huntress, birçok macOS kullanıcısının zararlı yazılımlara karşı yeterince önlem almadığı uyarısında bulundu. macOS işletim sisteminin kurumsal alanda daha fazla kullanılmaya başlanması, bu platformu hacker gruplarının radarına sokuyor. BlueNoroff’un gerçekleştirdiği bu sofistike saldırı, sosyal mühendislik tekniklerinin yapay zekâ destekli olarak nasıl tehlikeli boyutlara ulaşabileceğini gösteriyor.