CHILLYHELL: macOS İçin Gelişmiş Bir Arka Kapı
Jamf Threat Labs tarafından yapılan analizde, CHILLYHELL adlı kötü amaçlı yazılımın C++ ile yazıldığı ve Intel tabanlı macOS cihazlarda çalıştığı ortaya kondu. UNC4487 adlı sınıflandırılmamış tehdit grubuna ait olan bu zararlı yazılım, Ekim 2022’den beri aktif olarak Ukrayna hükümet kurumlarının web sitelerine yönelik saldırılarda kullanılıyor. Apple, 2025 Mayıs ayında VirusTotal platformunda yeni bir CHILLYHELL örneği tespit etti ve ilgili geliştirici sertifikalarını iptal etti.
CHILLYHELL, ele geçirilen sistemde kapsamlı profil çıkarma işlemleri yapıyor ve üç farklı kalıcılık yöntemi ile sistemde uzun süreli varlık sağlıyor. LaunchAgent veya LaunchDaemon olarak kendini kurarken, kullanıcının kabuk profil dosyalarına da başlatma komutları enjekte ediyor. Ayrıca, timestomping tekniğiyle dosya zaman damgalarını değiştirerek tespit edilmekten kaçınıyor.
ZynorRAT: Çok Platformlu Go Tabanlı RAT
ZynorRAT, Telegram botu @lraterrorsbot üzerinden komut alan ve Windows ile Linux sistemlerinde çalışan Go ile geliştirilmiş bir uzaktan erişim truva atı. İlk örneği 2025 Temmuz’da VirusTotal’a yüklendi. Linux sürümü, dosya dışa aktarma, sistem listeleme, ekran görüntüsü alma ve systemd servisleriyle kalıcılık gibi gelişmiş işlevler sunuyor. Windows varyantı ise Linux tabanlı kalıcılık mekanizmalarını kullanmaya devam ediyor, bu da geliştirme sürecinin sürdüğüne işaret ediyor.
Telegram, ZynorRAT için ana komut ve kontrol altyapısı olarak görev yapıyor. Araştırmacılar, kötü amaçlı yazılımın yüklerini Dosya.co üzerinden dağıttığını ve muhtemelen geliştiricinin kendi makinelerini test amaçlı enfekte ettiğini belirtiyor. Dil analizi, ZynorRAT’ın muhtemelen Türk kökenli tek bir aktör tarafından geliştirildiğini gösteriyor.
Güvenlik Profesyonelleri İçin Önemli Notlar
CHILLYHELL ve ZynorRAT, farklı mimarilerde çalışan ve çoklu kalıcılık mekanizmaları ile dikkat çeken tehditler olarak öne çıkıyor. Timestomping ve parola kırma gibi teknikler, bu kötü amaçlı yazılımların tespitini zorlaştırıyor. Ayrıca, onaylı geliştirici sertifikaları kullanılması, imzalı kötü amaçlı yazılım kavramına dair önemli bir uyarı niteliğinde.