DOUBLECUP adlı yeraltı altyapısı, ClickFix tuzaklarını kullanarak kurbanların tarayıcı önbelleğine kötü amaçlı PNG dosyaları yerleştiren ve buradan CountLoader ile daha önce belgelenmemiş DeviceManager adlı uzaktan erişim truva atını dağıtan bir operasyon yürüttü. Araştırmacılar, kampanyanın en az 2026 Haziran başından beri faal olduğunu ve hem Windows hem de macOS hedeflerini kapsadığını belirledi.
İncelemeye göre ilk aşamada tarayıcı önbelleğine steganografiyle gizlenmiş bir PNG bırakılıyor, içerik buradan çıkarılıyor ve ikinci aşama çalıştırılıyor. Ardından bellek içinde, kurbanın genel IPv4 adresini şifreleme anahtarı olarak kullanan özel bir SHA-256 akış şifresi ve bit düzeyinde XOR ile son yük çözülüyor. Bu yapı, yanlış makinede çözme girişimlerini doğrudan boşa çıkarıyor.
ClickFix sayfasından lisans paneline uzanan zincir
Siber güvenlik şirketinin teknik analizine göre DOUBLECUP, operatörlere lisans ve istemci aracı sağlayan bir servis modeliyle çalışıyor. Her lisans, tekil bir anahtarın yanında müşteri IP adresi, aktif gün sayısı, etiket ve sürüm gibi meta veriler taşıyor. Aynı lisans üzerinden birden fazla kampanya yönetilebiliyor.
İnceleme, 213.139.77[.]109:9090 adresindeki açık bir dizinde bulunan test dosyalarıyla başladı. Bu dosyaların daha sonra DOUBLECUP lisans panelinin parçası olduğu anlaşıldı. Go tabanlı Windows GUI istemci, operatörlere yapılandırmaları güncelleme, yazılımı güncelleme ve Broadcast Pane üzerinden doğrudan komut verme olanağı sunuyor. Payload Builder Pane ise saldırganın ClickFix kandırmacasında tetiklenecek komutu hazırladığı bölüm olarak çalışıyor.
Bu arayüzde alan adı, slug, steganografi yöntemi, gömme türü, arşiv biçimi, eylem ve payload URL’leri belirleniyor. Sistem daha sonra https://{domain}/{slug}/api/config biçiminde bir yapılandırma uç noktası üretiyor. Bu adrese gönderilen GET isteği, hedef alan adında barındırılan steganografik görüntünün URL’si, görüntü boyutu, oturum uç noktası ve Chrome, Edge, Firefox, Brave ile Opera için ayrı ayrı hazırlanmış tarayıcı komutlarını döndürüyor.
Operatörün ClickFix sitesi üzerinde gerekli ön yüz kodunu da enjekte etmesi gerekiyor. Süreç; /api/config uç noktasının çekilmesi, steganografik PNG’nin önceden yüklenmesi, bir oturumun kaydedilmesi ve User-Agent bilgisinin okunarak uygun tarayıcı yükünün seçilmesiyle ilerliyor. Ardından kullanıcıya ClickFix yönergeleri gösteriliyor, tarayıcıyla eşleşen komut panoya kopyalanıyor ve son yönlendirmeyi çalıştırmak için bir sorgulama mekanizması başlatılıyor.
DOUBLECUP, ek gizleme ya da analiz karşıtı mekanizmaların payload içine eklenmesine de izin veriyor; ancak bu ek adımların sorumluluğu tamamen operatöre bırakılıyor. Kampanyada ayrıca Telegram üzerindeki @harrypoterlohBOT kullanılıyor. Bot, müşteri ziyaretlerini izliyor, komut gönderiyor, anahtar dağıtıyor ve belirlenmiş DOUBLECUP URL’si üzerinden payload geri bildirimlerini alıyor.
Bu botun “johnnysilverhe” adlı bir tehdit aktörü tarafından yönetildiği, aynı kişinin resmi pazarda şüpheli bir Microsoft Visual Studio Code uzantısı olarak yayımlanan Agent IDE isimli paketi de paylaştığı aktarılıyor.
Kampanyalarda, NetSuite, Odoo, HubSpot ve Salesforce gibi CRM giriş sayfalarını taklit eden çok sayıda sahte site kullanıldı. Bu sayfalara gömülü iframe öğeleriyle yük taşıyan DOUBLECUP, ardından ClickFix komutlarını devreye soktu. Kullanıcı komutu çalıştırdığında tarayıcı önbelleği taranıyor, PNG içinden kötü amaçlı JavaScript, VBScript ya da PowerShell çıkarılıyor ve bir sonraki aşama başlatılıyor.
Bu noktada C2 sunucusu, bulaşmanın başarılı olduğu yönünde bilgilendiriliyor. İkinci aşama, şifrelenmiş yükü bırakıp kurbanı başka bir sayfaya yönlendiren bir dropper gibi davranıyor. Yük, yalnızca hedef makinede açılacak şekilde çevresel anahtarlama yöntemiyle korunuyor. Araştırmacılar, kurbanın genel IPv4 adresinin bir anahtar türetme işlevine tohum olarak verildiğini, bunun da şifre çözmek için gereken anahtarı ürettiğini söyledi. Başka bir makinede aynı işlem yanlış anahtar üretiyor ve çözme başarısız oluyor.
Bu zincirden dağıtılan ailelerden biri, güncellenmiş Windows ve macOS sürümleriyle gelen CountLoader oldu. Yeni sürüm; zamanlanmış görevlerle kalıcılık kurabiliyor, yüklü tarayıcı eklentilerini kripto para cüzdanları açısından denetleyebiliyor ve Signal’in masaüstü uygulamasının kurulu olup olmadığını görmek için sistemi profilleyebiliyor.
CountLoader’ın ayrıca masaüstü ve Başlat menüsünde yer alan popüler tarayıcı kısayollarını, yani .LNK dosyalarını tarayan bir işlevi bulunuyor. Rapora göre bu işlev, kısayolun hedefini yeniden yazarak kullanıcı tarayıcı simgesine çift tıkladığında arka planda RAT’ı gizlice başlatacak şekilde tasarlanmış. Ancak araştırmacılar, bu özelliğin hiçbir zaman çağrılmadığını, dolayısıyla tamamlanmamış bir geliştirme kalemi ya da ölü kod olabileceğini belirtti.
CountLoader’ın ana görevi C2 sunucusuna bağlanmak, sistem meta verilerini toplamak ve dışarı aktarmak, ardından operatörden gelecek ek görevleri beklemek. Yük, ikincil çalıştırılabilir dosyaları, DLL, MSI ve HTML Application (HTA) dosyalarını çalıştırabiliyor; sıkıştırılmış arşiv indirip içeriğini açabiliyor ve içinden çıkan ana ikiliyi başlatabiliyor. Ayrıca kalıcılık izlerini temizleyerek adli inceleme izlerini silmeye de çalışıyor.
macOS için hazırlanan eşdeğer sürüm de Windows’taki PowerShell varyantıyla aynı işlevleri taşıyor, ancak kalıcılık ve keşif yöntemlerini Apple’ın masaüstü işletim sistemine uyarlıyor.
DOUBLECUP üzerinden dağıtılan ikinci yük, DeviceManager kod adlı modüler Python tabanlı bir RAT. Bu trojan, C2 ayrıntılarını almak için blokzinciri bir dead drop çözücü gibi kullanan EtherHiding tekniğinden yararlanıyor. Zararlı yazılım, Ethereum ve Polygon üzerindeki akıllı sözleşmeler aracılığıyla aktif C2 düğümlerini dinamik biçimde çözüyor ve ardından iletişime geçiyor.
DeviceManager, şifrelenmiş yükü içine gömen Delphi derlemeli bir Inno Setup yükleyicisi olarak dağıtılıyor. Çalıştırıldığında tam bir Python ortamını çıkarıyor ve Python zararlı yazılımını bu ortam içinde başlatıyor. Aynı anda, Bağımsız Devletler Topluluğu dillerine ait yerel ayarlara sahip makinelerde çalışmaktan özellikle kaçınıyor.
Hedef sistem CIS dil yerel ayarı kullanıyorsa DeviceManager kendini siliyor. Araştırmaya göre zararlı yazılım zamanlanmış görevini kaldırıyor, cmd.exe üzerinden kurulum dizinini siliyor ve işlemi sonlandırıyor.
Ardından cihazdan geniş kapsamlı bilgiler toplanıyor, EtherHiding kullanılarak C2 sunucusu “91.92.240[.]100” çözülüyor ve sistem verilerini dışarı aktarmak, görevleri sorgulamak, payload indirmek, komut çalıştırma sonuçlarını iletmek ve görev durumunu raporlamak için DNS ya da HTTP üzerinden iletişim kuruluyor. DeviceManager, PowerShell ve Python betiklerini çalıştırabilecek şekilde tasarlanmış; operatör komutlarını da cmd.exe’ye yönlendirebiliyor.
Araştırmacılar, DOUBLECUP’ın ClickFix kampanyalarının nasıl genişlediğini gösterdiğini, tehdit aktörlerine düşük sürtünmeli ve yüksek güvenilirlikli bir payload dağıtım hattı sunduğunu aktardı. Yapı, kaçınmayı merkezine alıyor; steganografi ve çevresel anahtarlama ile savunmaları aşmaya çalışıyor.
CountLoader’ın süreç izlemeyi atlatmak için meşru Windows ikililerini kopyalayıp başlık yamalaması yaptığı, DeviceManager’ın ise dayanıklı C2 çözümlemesi için Ethereum ve Polygon blokzincirlerindeki akıllı sözleşmeleri kullandığı ifade edildi.