VoidStealer Zararlı Yazılımının Chrome Uygulama Bağlı Şifrelemesini (ABE) Atlama Yöntemi ve Anahtar Çıkarımı

VoidStealer Zararlı Yazılımının Chrome Anahtar Çıkarma Yöntemi

Bu makale, VoidStealer adlı bilgi hırsızı (infostealer) zararlı yazılımının, Google Chrome tarayıcısının güvenlik mekanizmalarını nasıl atlattığını ve depolanan hassas verileri (şifreler, çerezler vb.) deşifre etmek için kullanılan ana anahtarı (master key) nasıl çaldığını teknik olarak açıklamaktadır. VoidStealer, Chrome'un Uygulama Bağlı Şifreleme (Application-Bound Encryption - ABE) mekanizmasını hedef almaktadır.

Sorun: Chrome ABE ve Master Key Korunması

Google Chrome, kullanıcı verilerini depolarken (örneğin kayıtlı şifreler), bu verileri işletim sistemi tarafından sağlanan bir anahtar (genellikle Windows DPAPI veya macOS Keychain) ile şifreler. ABE, bu şifreleme anahtarının tarayıcı sürecinin kendisiyle sıkı sıkıya bağlı olmasını sağlar, böylece kötü amaçlı yazılımların yalnızca tarayıcı çalışırken anahtarı ele geçirmesini zorlaştırır. Geleneksel yöntemler genellikle bellekteki şifreleme çağrılarını yakalamaya çalışır.

VoidStealer Saldırı Vektörü: Hata Ayıklayıcı Hilesi

VoidStealer, bu korumayı aşmak için benzersiz bir yaklaşım benimser: Hata Ayıklayıcı (Debugger) Tespiti ve Manipülasyonu.

1. Süreç Enjeksiyonu: Zararlı yazılım, Chrome sürecine enjekte edilir.
2. ABE Korumasını Tetikleme: Saldırgan, Chrome'un anahtar yönetim fonksiyonlarını (genellikle GetMasterKey veya benzeri) tetiklemeye çalışır. Normalde, bu fonksiyonlar bir hata ayıklayıcının bağlı olup olmadığını kontrol eder.
3. Debugger Trick: VoidStealer, Chrome'un kendini hata ayıklama modunda algılamasını sağlamak için özel bir teknik kullanır. Bu, genellikle Chrome'un kullandığı Chromium çekirdeğindeki belirli API çağrılarını manipüle etmeyi veya belirli hata bayraklarını ayarlamayı içerir.
4. Anahtarın Açığa Çıkarılması: Chrome, bir hata ayıklayıcı tarafından izlendiğini algıladığında, güvenlik amacıyla hassas verileri şifrelemek için kullanılan ana anahtarı bellekteki güvenli bir konumdan (genellikle şifreleme bağlamı içinde) geçici olarak açığa çıkarır.
5. Anahtar Çekimi: VoidStealer, anahtarın bu geçici olarak açığa çıktığı anı yakalar ve belleği okuyarak ana anahtarı (Master Key) ele geçirir.
6. Veri Şifresini Çözme: Ele geçirilen ana anahtar kullanılarak, yerel diskte depolanan tüm şifreli veriler (oturum çerezleri, kayıtlı parolalar vb.) deşifre edilir ve saldırganın sunucusuna gönderilir.

Önleyici Tedbirler ve Mitigasyon

Bu tür saldırılar, işletim sistemi ve tarayıcı güncellemeleriyle sürekli olarak hedeflendiğinden, savunma katmanlı olmalıdır.

1. Sistem Düzeyinde Koruma

İşletim sisteminin anahtar koruma mekanizmalarının (DPAPI/Keychain) bütünlüğünü korumak kritiktir. Saldırganın ilk erişimi genellikle kimlik avı veya zayıf yazılımlar üzerinden olur.

# Windows DPAPI Koruması için önerilen adımlar:
# 1. Kullanıcı hesabı ayrıcalıklarını sınırlayın.
# 2. Güvenilir olmayan uygulamaların sistem süreçlerine enjeksiyonunu engelleyin (örneğin, Kernel Patch Protection).

2. Tarayıcı Güvenliği

Chrome'un güncel tutulması, ABE mekanizmasındaki bilinen güvenlik açıklarının yamalanmasını sağlar. Ancak bu saldırı, yamalanmış bir mekanizmayı değil, mekanizmanın çalışma prensibini manipüle ettiği için daha tehlikelidir.

UYARI: Bu tür zararlı yazılımlar genellikle sisteme kalıcılık sağlamak için kayıt defteri veya başlangıç klasörlerini kullanır. Antivirüs (AV) ve Uç Nokta Tespit ve Yanıt (EDR) çözümlerinin sürekli çalışır durumda olması zorunludur.

Tehdit Analizi Özeti

VoidStealer'ın bu yeni tekniği, geleneksel bellek içi koruma mekanizmalarının, hata ayıklayıcı izleme (debugging hooks) yoluyla kasıtlı olarak devre dışı bırakılabileceğini göstermektedir. Bu, özellikle Windows ortamlarında, tarayıcı verilerini çalmak için kullanılan gelişmiş kalıcılık tekniklerinin bir göstergesidir.