Rusya bağlantılı siber suç grubunun sahte "nudify" yapay zekâ siteleri üzerinden zararlı yazılım yaydığı bildirildi

Siber güvenlik firması Silent Push tarafından yayımlanan araştırmada, Rusya merkezli ve finansal motivasyonlu siber suç grubu FIN7’nin (Sangria Tempest olarak da bilinir), kullanıcıları zararlı yazılım indirmeye teşvik etmek amacıyla sahte yapay zekâ tabanlı "nudify" (fotoğrafları yapay zekâ ile çıplaklaştırma) sitelerini paravan olarak kullandığı tespit edildi. "aiNude.ai" markası ve benzeri alan adları altında faaliyet gösteren bu sitelerin, özellikle rıza dışı derin sahte (deepfake) içerik oluşturmak isteyen kullanıcıları hedefleyen birer "bal küpü" (honeypot) düzeneği olduğu değerlendirilmektedir.

Araştırmada, saldırganların iki farklı yöntem izlediği bildirilmiştir. Bazı sitelerin doğrudan "ücretsiz indir" seçeneği sunduğu ve kullanıcıları Dropbox gibi platformlar üzerinden zararlı yükler içeren bağlantılara yönlendirdiği aktarıldı. Diğer yöntemde ise "ücretsiz deneme" vaadiyle kullanıcıdan bir fotoğraf yüklemesinin istendiği; yükleme işleminin ardından "deneme sürümü hazır" mesajıyla birlikte içinde Lumma Stealer, Redline Stealer veya D3F@ck Loader gibi bilgi çalıcı ve yükleyici zararlı yazılımların bulunduğu ZIP dosyalarının servis edildiği belirtildi.

Söz konusu zararlı yazılımların; tarayıcı çerezlerini, şifreleri ve kimlik bilgilerini ele geçirmeyi amaçladığı, ayrıca kurumsal ağlara sızarak fidye yazılımı saldırılarına zemin hazırlayabileceği vurgulandı. Silent Push, bu sitelerin arama motoru optimizasyonu (SEO) teknikleriyle arama sonuçlarında üst sıralara çıkarıldığını bildirdi. Ayrıca grubun; SAP Concur, Microsoft ve Thomson Reuters gibi tanınmış markaları taklit eden sahte web siteleri ve tarayıcı uzantıları üzerinden NetSupport RAT gibi uzaktan erişim araçlarını yaydığı ayrı bir kampanya yürüttüğü ifade edildi.

ABD Adalet Bakanlığı tarafından daha önce faaliyetlerinin sonlandırıldığı açıklanan FIN7 grubunun, bu yeni yöntemlerle aktif kalmaya devam ettiği öne sürülmektedir. Bildirilen web sitelerinin bir kısmının siber güvenlik müdahaleleriyle erişime kapatıldığı; ancak grubun benzer altyapılarla yeni kampanyalar başlatma olasılığının yüksek olduğu değerlendirilmektedir.