Düzmece reklam engelleyiciye dikkat

Dijital güvenlik şirketi ESET, sofistike bir Çinli tarayıcı enjektörü keşfetti. Gizemli bir Çinli şirketin imzalı, savunmasız, reklam enjekte eden sürücüsü reklamları engelleyen bir güvenlik eseri üzere görünüyor ancak  daha da fazla reklam sunuyor.

ESET’in HotPage ismini verdiği bu tehdit, ana şoförünü yükleyen ve Chromium tabanlı tarayıcılara kütüphaneler enjekte eden yürütülebilir bir belgede kendi kendine geliyor. Reklamları engelleyebilen bir güvenlik eseri üzere görünerek aslında yeni reklamlar sunuyor. Ek olarak, berbat emelli yazılım mevcut sayfanın içeriğini değiştirebiliyor, kullanıcıyı yönlendirebiliyor yahut öteki reklamlarla dolu bir web sitesine yeni bir sekme açabiliyor. 

Kötü gayeli yazılım daha fazla güvenlik açığı ortaya çıkarır ve sistemi daha da tehlikeli tehditlere açık hale getirir. Ayrıcalıklı olmayan bir hesaba sahip bir saldırgan, legal ve imzalı bir şoför kullanırken SYSTEM ayrıcalıklarını elde etmek yahut daha fazla hasara neden olmak için uzak süreçlere kütüphane enjekte etmek için savunmasız şoförden yararlanabilir.

2023 yılının sonunda ESET araştırmacıları, uzak süreçlere kod enjekte edebilen bir şoför ve tarayıcıların ağ trafiğini yakalayıp kurcalayabilen iki kütüphane dağıtan “HotPage.exe” isimli bir yükleyiciye rastladı. Yükleyici, birden fazla güvenlik eseri tarafından bir reklam yazılımı bileşeni olarak algılandı. ESET araştırmacıları için asıl dikkat cazibeli olan, Microsoft tarafından imzalanan gömülü şoför oldu. İmzasına nazaran, Hubei Dunwang Network Technology Co. Ltd. isimli Çinli bir şirket tarafından geliştirilmişti. Tehdidi keşfeden ESET araştırmacısı Romain Dumont, “Şirket hakkındaki bilgi eksikliği ilgi cazipti. Dağıtım yolu hala belgisiz lakin araştırmamıza nazaran bu yazılım Çince konuşan bireylere yönelik bir internet kafe güvenlik tahlili olarak tanıtıldı. Reklamları ve makus niyetli web sitelerini engelleyerek web tarama tecrübesini geliştirdiğini tez ediyor lakin gerçek epeyce farklı; oyunla ilgili reklamları görüntülemek için tarayıcı trafiğini durdurma ve filtreleme yeteneklerinden yararlanıyor. Ayrıyeten büyük olasılıkla yükleme istatistiklerini toplamak için bilgisayarla ilgili kimi bilgileri şirketin sunucusuna gönderiyor” diye açıklama yaptı. 

Mevcut bilgilere nazaran şirketin iş kapsamı geliştirme, hizmetler ve danışmanlık üzere teknolojiyle ilgili faaliyetlerin yanı sıra reklamcılık faaliyetlerini de içeriyor. Ana hissedar şu anda reklam ve pazarlama konusunda uzmanlaşmış görünen çok küçük bir şirket olan Wuhan Yishun Baishun Culture Media Co, Ltd. Sürücüyü yüklemek için gereken ayrıcalıkların düzeyi nedeniyle berbat hedefli yazılım, öbür yazılım paketleriyle birlikte paketlenmiş yahut bir güvenlik eseri olarak tanıtılmış olabilir. 

Windows’un bildirim geri aramalarını kullanan şoför bileşeni, açılan yeni tarayıcıları yahut sekmeleri izler. Muhakkak şartlar altında reklam yazılımı, ağa müdahale eden kütüphanelerini yüklemek üzere tarayıcı süreçlerine kabuk kodu enjekte etmek için çeşitli teknikler kullanacaktır. Enjekte edilen kod, Microsoft’un Detours hooking kütüphanesini kullanarak HTTP(S) isteklerini ve cevaplarını filtreler. Berbat gayeli yazılım mevcut sayfanın içeriğini değiştirebilir, kullanıcıyı tekrar yönlendirebilir yahut oyun reklamlarıyla dolu bir web sitesine yeni bir sekme açabilir. Bariz ziyanlı davranışının yanı sıra bu çekirdek bileşeni öbür tehditlerin Windows işletim sisteminde mevcut olan en yüksek ayrıcalık düzeyinde kod çalıştırmasına açık kapı bırakır: SYSTEM hesabı. Bu çekirdek bileşenine yönelik uygunsuz erişim kısıtlamaları nedeniyle rastgele bir süreç bu bileşenle bağlantı kurabilir ve muhafazalı olmayan süreçleri amaç almak için kod ekleme özelliğinden yararlanabilir.

“HotPage şoförü bize Genişletilmiş Doğrulama sertifikalarını berbata kullanmanın hala bir şey olduğunu hatırlatıyor. Pek çok güvenlik modeli bir noktada inanca dayandığından, tehdit aktörleri yasal ve şaibeli ortasındaki çizgide oynamaya meyillidir. Bu cins yazılımlar ister bir güvenlik tahlili olarak tanıtılsın ister öbür bir yazılımla birlikte sunulsun, bu inanç sayesinde elde edilen yetenekler kullanıcıları güvenlik riskleriyle karşı karşıya bırakıyor.”

ESET, bu sürücüyü Mart 2024’te Microsoft’a bildirdi ve koordineli güvenlik açığı ifşa sürecini takip etti. ESET teknolojileri, Microsoft’un 1 Mayıs 2024’te Windows Server Kataloğu’ndan kaldırdığı bu tehdidi Win{32|64}/HotPage.A ve Win{32|64}/HotPage.B olarak algılar.

Kaynak: (BYZHA) Beyaz Haber Ajansı