Infostealer nedir? Şifrelerinizi saniyeler içinde çalan sessiz yazılım

Bir sabah telefonunuza "hesabınıza tanımadığınız bir cihazdan giriş yapıldı" bildirimi düşüyor. Şifreniz güçlü, kimseyle paylaşmadınız, şüpheli bir bağlantıya da tıklamadınız. Ama birileri hesabınızın içinde.

Bunun arkasında çoğu zaman tek bir şey vardır: infostealer. Türkçesiyle bilgi hırsızı.

Adı kulağa dramatik geliyor ama aslında yaptığı iş çok sıradan ve o yüzden tehlikeli. Bu yazılım bilgisayarınıza bir kez bulaştığında dosyalarınızı kilitlemez, ekranınızda tehdit mesajı çıkarmaz, fidye istemez. Sessizce girer, tarayıcınızın içini boşaltır ve çıkar. Çoğu kurban aylarca bir şeyin ters gittiğini fark bile etmez.

Aslında ne yapıyor bu şey?

Modern tarayıcılar hayatımızı kolaylaştırmak için bir sürü şeyi hatırlıyor. Kayıtlı şifreler, otomatik dolan adres ve kart bilgileri, açık kalan oturumlar... Infostealer'ın tek işi bu hazineye ulaşmak.

Bilgisayara çalıştığı anda tarayıcının şifre veritabanını açar, içindeki kullanıcı adı–şifre çiftlerini düz metin haline getirir ve bir dosyaya toplar. Ama iş orada bitmiyor. Genellikle şunları da alır:

• Oturum çerezleri (yani hâlihazırda giriş yaptığınız hesapların "anahtarları")
• Otomatik doldurma verileri: ad, adres, telefon, bazen kart bilgileri
• Kripto cüzdan dosyaları ve tarayıcı uzantıları
• Telegram, Discord gibi uygulamaların oturumları
• Ekranın anlık görüntüsü ve makinenin sistem bilgileri

Bütün bunları toplaması ortalama birkaç saniye sürer. Fişi çektiğinizde iş çoktan bitmiştir.

Nasıl bulaşıyor? Çoğu zaman kendi elimizle

Burası can sıkıcı kısım. Infostealer'ların büyük bölümü bir açıktan sızmaz; kullanıcı yükler.

En büyük kaynak korsan yazılım. "Crack", "aktivatör", "patch", lisans kırıcı... Ne derseniz deyin, bunları indiren kişi zaten bir şey çalıştırmaya hazırdır ve antivirüs uyarı verdiğinde "normaldir, crack'ler hep öyle uyarı verir" diyerek kapatır. Saldırganın istediği tam da budur.

Diğer klasik yollar:

• YouTube açıklamalarındaki "ücretsiz program" linkleri, ekran kaydı ya da oyun hilesi vaadi
• Google aramalarında en üstte çıkan sahte reklamlar (gerçek bir programın adını arıyorsunuz, sahte siteye düşüyorsunuz)
• Sahte Chrome, Zoom ya da Windows güncellemesi bildirimleri
• Discord ve forumlarda "oyunumu dener misin" diye gönderilen dosyalar

Ortak nokta şu: neredeyse hepsinde kurban dosyayı bilerek indirip çalıştırıyor. Zararlı yazılım kendini meşru bir şeyin içine saklıyor, gerisini insan yapıyor.

Bir "log" tam olarak ne içeriyor?

Çalınan bu verilerin paketlenmiş haline sektörde "log" deniyor. Bir stealer log, tek bir kurbanın dijital hayatının fotoğrafı gibidir: e-postalar, banka panelleri, sosyal medya, kurumsal sistemler, ne varsa.

Bu loglar tek tek durmuyor. Telegram kanallarında ve yeraltı forumlarında yüz binlercesi toplu halde satılıyor, bir kısmı ise "tanıtım" amacıyla bedava dağıtılıyor. Yani bir kere log'unuz çıktığında, o veri artık tek bir hırsızın elinde değil; onlarca farklı kişinin erişebileceği bir havuzda.

"Ben önemli biri değilim ki" tuzağı

Çoğu insan "bende çalınacak ne var" diye düşünür. İşte asıl yanılgı burada.

Hatırlayın, infostealer sadece şifreleri değil oturum çerezlerini de alıyor. Bir çerez, siz zaten giriş yapmışken oluşan geçici anahtardır. Saldırgan bu çerezi kendi tarayıcısına yüklediğinde, sizin şifrenizi bilmesine gerek kalmadan hesabınıza girer. Üstelik iki adımlı doğrulamayı da atlar, çünkü sistem zaten "bu oturum daha önce doğrulanmıştı" diye düşünür.

Kurumsal tarafta ise tablo daha da ciddi. Büyük fidye saldırılarının önemli bir bölümü, aslında bir çalışanın kişisel bilgisayarına bulaşan sıradan bir infostealer ile başlıyor. O makinede kayıtlı bir kurumsal VPN ya da panel şifresi, saldırganın şirket ağına açılan kapısı oluyor. Yani "önemsiz" bir kullanıcının çalınan tek bir şifresi, koca bir kurumu tehlikeye atabiliyor.

Peki ne yapmalı?

Önce bulaşmayı engellemek, çünkü bu iş olduktan sonrasını temizlemek çok daha zor.

• Korsan yazılımdan uzak durun. Bu klişe değil, istatistik. Bulaşmaların en büyük kaynağı bu.
• İndirdiğiniz her dosyayı çalıştırmadan önce iki saniye durun. Özellikle "aktivatör" ve "patch" dosyaları en riskli grup.
• Şifrelerinizi tarayıcıya kaydetmek yerine gerçek bir şifre yöneticisi kullanın. Tarayıcının düz şifre deposu, infostealer için açık büfe gibidir.
• İki adımlı doğrulamayı açın. Çerez çalınsa bile birçok saldırıyı zorlaştırır.

Eğer bulaştığından şüpheleniyorsanız zaman kritik. Enfekte makineden değil, temiz başka bir cihazdan bütün önemli hesaplarınızın şifresini değiştirin ve mümkünse "tüm oturumları kapat" seçeneğini kullanın; bu, çalınan çerezleri geçersiz kılar. Ardından cihazı baştan kurmak en temiz çözüm.

Son olarak, verilerinizin daha önce sızıp sızmadığını da kontrol edin. Türkiye'de KVKK'ya bildirilen ihlalleri KVKK Veri İhlal İzleyici üzerinden takip edebilir, bir infostealer'ın nasıl bir fidye saldırısına dönüşebildiğini ise Fidye Yazılım İzleyici sayfamızdaki gerçek vakalarda görebilirsiniz.

Infostealer'ı tehlikeli yapan karmaşıklığı değil, sıradanlığı. Kapıyı çoğu zaman kırarak değil, biz açık bıraktığımız için giriyor.