DeepSneak aldatmacası: Yapay zeka asistanı gibi görünen yeni zararlı yazılım kullanıcı verilerini çalıyor

Kaspersky Küresel Araştırma ve Tahlil Grubu araştırmacıları, PC’ler için uydurma DeepSeek-R1 Büyük Lisan Modeli (LLM) uygulaması aracılığıyla Truva atı dağıtan yeni bir berbat gayeli kampanya keşfetti. Daha evvel bilinmeyen makûs emelli yazılım, Google Reklamları aracılığıyla tanıtılan resmi DeepSeek ana sayfası üzere davranan bir kimlik avı sitesi aracılığıyla teslim ediliyor. Akınların maksadı, web trafiğini saldırganların sunucuları üzerinden yönlendirmek için kurbanın aygıtındaki web tarayıcılarını yapılandıran, böylelikle kullanıcı datalarını (kimlik bilgileri ve öbür hassas bilgiler) toplamaya müsaade veren bir berbat emelli yazılım olan BrowserVenom’u yüklemek olarak öne çıkıyor. Olayla ilgili Brezilya, Küba, Meksika, Hindistan, Nepal, Güney Afrika ve Mısır’da birden fazla enfeksiyon tespit edildi.

DeepSeek-R1 şu anda en tanınan LLM’lerden biri. Kaspersky daha evvel kurbanları çekmek için bu modeli taklit eden zararlı yazılımlarla yapılan taarruzları rapor etmişti. DeepSeek, Ollama yahut LM Studio üzere araçlar kullanılarak bilgisayarlarda çevrimdışı olarak da çalıştırılabiliyor. Saldırganlar kampanyalarında bundan faydalanıyor.

Kullanıcılar, Google Reklamları aracılığıyla yepyeni DeepSeek platformunun adresini taklit eden bir kimlik avı sitesine yönlendiriliyor. Kullanıcı “deepseek r1” araması yaptığında tuzak ilişkisi reklamda gösteriliyor. Kullanıcı düzmece DeepSeek sitesine ulaştığında, kurbanın işletim sistemini belirlemek için bir denetim yapılıyor. Şayet işletim sistemi Windows ise, kullanıcıya LLM ile çevrimdışı çalışmaya yönelik araçları indirmek için bir seçenek sunuluyor. Araştırma sırasında öteki işletim sistemlerinin hedeflenmediği de görüldü.

DeepSeek’i taklit eden makus hedefli web sitesi

Düğmeye tıklayıp CAPTCHA testini geçtikten sonra, makus gayeli bir yükleyici evrakı indiriliyor ve kullanıcıya Ollama yahut LM Studio’yu indirme ve yükleme seçenekleri sunuluyor. Her iki seçenek de seçildiğinde, yasal Ollama yahut LM Studio yükleyicileriyle birlikte makûs gayeli yazılım Windows Defender’ın muhafazasını özel bir algoritma ile atlayarak sisteme yükleniyor. Bu prosedür Windows’taki kullanıcı profili için yönetici ayrıcalıkları gerektiriyor. Windows’taki kullanıcı profili bu ayrıcalıklara sahip değilse, bulaşma gerçekleşmiyor.

İstismar edilen LLM çerçevelerini yüklemek için sunulan iki seçenek

Kötü maksatlı yazılım yüklendikten sonra, sistemdeki tüm web tarayıcıları saldırganlar tarafından denetim edilen bir proxy’yi zorla kullanacak biçimde yapılandırarak hassas tarama bilgilerini gözetlenmesi ve tarama aktifliğinin izlenmesi sağlanıyor. Kaspersky araştırmacıları, zorlayıcı yapısı ve makus niyetli maksadı nedeniyle bu ziyanlı yazılımı BrowserVenom olarak isimlendirdi.

Kaspersky Küresel Araştırma ve Tahlil Grubu Güvenlik Araştırmacısı Lisandro Ubiedo, şunları söylüyor: “Büyük lisan modellerini çevrimdışı çalıştırmak kapalılık avantajları sunarken ve bulut hizmetlerine olan bağımlılığı azaltırken, uygun tedbirler alınmadığında değerli riskleri de beraberinde getirebilir. Siber hatalılar tuş kaydedicileri, kripto madencileri yahut bilgi hırsızlarını gizlice yükleyebilen makus maksatlı paketler ve uydurma yükleyiciler dağıtarak açık kaynaklı yapay zeka araçlarının popülerliğini giderek daha fazla istismar ediyor. Bu düzmece araçlar, bilhassa kullanıcılar bunları doğrulanmamış kaynaklardan indirdiğinde, kullanıcının hassas datalarını tehlikeye atıyor ve tehdit oluşturuyor.” 

Bu üzere tehditlerden korunmak için Kaspersky aşağıdakileri öneriyor:

• Gerçek olduklarını doğrulamak ve dolandırıcılıktan kaçınmak için web sitelerinin adreslerini denetim edin.
• Çevrimdışı LLM araçlarını sırf resmi kaynaklardan indirin (örneğin ollama.com, lmstudio.ai gibi).
• Windows’u yönetici ayrıcalıklarına sahip bir profilde kullanmaktan kaçının.
• Kötü hedefli evrakların açılmasını önlemek için sağlam siber güvenlik tahlilleri kullanın.

 

 

 

 

Kaynak: (BYZHA) Beyaz Haber Ajansı