Mosyle, Apple cihaz yönetimi ve güvenlik alanında tanınan bir firma, daha önce bilinmeyen bir macOS kötü amaçlı yazılım kampanyasına dair ayrıntıları 9to5Mac ile paylaştı. MacOS üzerinde kripto madencilerinin bulunması yeni bir durum olmasa da, bu keşif, generatif AI modellerinin kodunu içeren ilk Mac kötü amaçlı yazılım örneği olarak kaydedildi. Bu durum, kötü amaçlı yazılımların yazılmasında büyük dil modellerinin kullanılmasıyla ilgili endişelerin artmasına neden oluyor. AI destekli Mac malware hakkında Apple, Yükselen Maliyetlerle Sınanıyor: 2026’ya Dair Endişeler Artıyor Apple’dan iOS Kullanıcılarına Acil Güvenlik Uyarısı
AI destekli Mac malware Neler Sunuyor?
Mosyle’in güvenlik araştırma ekibi, keşif anında bu tehdidin tüm büyük antivirüs motorları tarafından tespit edilmediğini belirtti. Bu durum, Moonlock Lab’ın yaklaşık bir yıl önce karanlık web forumlarında büyük dil modellerinin macOS’u hedef alan kötü amaçlı yazılımlar yazmak için kullanıldığına dair yaptığı uyarının ardından geldi.
SimpleStealth Kötü Amaçlı Yazılım Kampanyası
Mosyle, bu kötü amaçlı yazılım kampanyasına SimpleStealth adını verdi. Bu kampanya, popüler AI uygulaması Grok’ı taklit eden ikna edici bir sahte web sitesi üzerinden yayılmakta. Tehdit aktörleri, kullanıcıları kötü amaçlı bir macOS kurulum dosyası indirmeye ikna etmek için benzer bir alan adı kullanıyor. Başlatıldığında, kurbanlar kendilerine normal bir Grok uygulaması gibi görünen bir arayüzle karşılaşıyor. Bu durum, zararlı etkinliklerin arka planda sessizce işlemesine olanak tanıyarak kötü amaçlı yazılımın fark edilmeden daha uzun süre çalışmasına yardımcı oluyor.
Mosyle’e göre, SimpleStealth, ilk çalıştırma sırasında macOS güvenlik korumalarını aşacak şekilde tasarlanmış. Uygulama, kullanıcıdan basit bir kurulum işlemi tamamlamak bahanesiyle sistem şifresini talep ediyor. Bu şekilde, kötü amaçlı yazılım, Apple’ın karantina korumalarını kaldırarak gerçek yükünü hazırlıyor. Kullanıcı açısından her şey normal görünürken, uygulama gerçek Grok uygulamasıyla benzer AI içeriklerini göstermeye devam ediyor.
Arka planda ise, Monero (XMR) kripto madencisinin gizlice devreye girdiği görülüyor. Bu madenci, “daha hızlı ödemeler” ve “gizli ve izlenemez” olduğunu iddia eden bir web sitesine sahip. Madencilik faaliyeti, Mac’in en az bir dakika boyunca boşta olduğunda başlıyor ve kullanıcı fareyi hareket ettirdiğinde veya yazı yazdığında hemen duruyor. Madenci, kendisini kernel_task ve launchd gibi yaygın sistem süreçlerini taklit ederek gizlemeyi başarıyor, bu da kullanıcıların anormal davranışları fark etmesini zorlaştırıyor.
AI Kullanımının Artışı
9to5Mac tarafından incelenen kanıtlar, kötü amaçlı yazılımın kodunda AI kullanımının yaygın olduğunu gösteriyor. Kodu yazan kişilerin, alışılmadık uzunlukta yorumlar, İngilizce ve Brezilya Portekizcesi karışımı gibi özellikler taşıdığı ve AI tarafından üretilen betiklerin karakteristiklerine sahip olduğu belirlenmiştir.
Bu durumun pek çok nedeni ile endişe verici olduğu ifade ediliyor. Özellikle, AI’nın saldırganlar için giriş engelini daha da düşürmesi, kötü amaçlı yazılım servislerinin hızla yayılmasına neden oluyor. İnternet erişimi olan hemen herkes, SimpleStealth gibi örnekler oluşturabilir hale geldi ve yeni tehditlerin yaratılması ve yayılması sürecini önemli ölçüde hızlandırıyor.
Kullanıcıların en güvenli yolunun, üçüncü taraf sitelerden herhangi bir şey indirmekten kaçınmak olduğu vurgulanıyor. Uygulamalarınızı her zaman doğrudan Mac App Store’dan veya güvendiğiniz geliştirici web sitelerinden temin etmeniz öneriliyor.
Tehditin Belirtileri
Aşağıda, SimpleStealth kötü amaçlı yazılım örneği için bazı Tehdit Göstergeleri (IoCs) bulunmaktadır:
– Kötü Amaçlı Yazılım Ailesi: SimpleStealth
– Dağıtım Adı: Grok.dmg
– Hedef Platform: macOS
– Gözlemlenen Alan: xaillc[.]com
– Cüzdan Adresi: 4AcczC58XW7BvJoDq8NCG1esaMJMWjA1S2eAcg1moJvmPWhU1PQ6ZYWbPk3iMsZSqigqVNQ3cWR8MQ43xwfV2gwFA6GofS3
SHA-256 Hash Değerleri:
– 553ee94cf9a0acbe806580baaeaf9dea3be18365aa03775d1e263484a03f7b3e (Grok.dmg)
– e379ee007fc77296c9ad75769fd01ca77b1a5026b82400dbe7bfc8469b42d9c5 (Grok wrapper)
– 2adac881218faa21638b9d5ccc05e41c0c8f2635149c90a0e7c5650a4242260b (grok_main.py)
– 688ad7cc98cf6e4896b3e8f21794e33ee3e2077c4185bb86fcd48b63ec39771e (idle_monitor.py)
– 7813a8865cf09d34408d2d8c58452dbf4f550476c6051d3e85d516e507510aa0 (working_stealth_miner.py)
