AzalanWindowsFinansal dolandırıcılık
Malware Intelligence

ClipBanker

ClipBanker, panodaki kripto cüzdan adreslerini değiştiren ve tarayıcı geçmişi, çerezler, Outlook, Skype ve Telegram verilerini toplayan bir truva atıdır.

Aktivite haritası

Malpedia (Fraunhofer FKIE)

Aktivite haritasıÇalıştırmaPaketlemeGönderimKimlik avıe-postasıSosyal medyagönderisiPowerShellKomutlarClipBankerPano değiştirici ve infos…Veri toplama11 hedefLog arşiviC2 sunucusu
Zararlı yükClipBanker · Pano değiştirici ve infostealer

ClipBanker, panodaki kripto cüzdan adreslerini değiştiren ve tarayıcı geçmişi, çerezler, Outlook, Skype ve Telegram verilerini toplayan bir truva atıdır.

Ortam bilgileri

  • İşletim sistemi
  • Donanım
  • IP ve konum
  • Kurulu yazılımlar
  • Ekran görüntüsü

Kimlik ve uygulama verileri

  • Kayıtlı parolalar
  • Oturum çerezleri
  • Otomatik doldurma
  • Kayıtlı kartlar
  • Discord
  • Steam
  • Telegram
  • Battle.net
  • Microsoft Outlook
Dark Radar bulaşma kaydı
734
Son bulaşma kaydı
2 Mart 2026
Zararlı yazılım türü
Pano değiştirici ve infostealer
Bulaşan sistemler
Windows 10 %25,5
01

Genel bakış

Dark Radar verisinde 734 bulaşma kaydıyla 52 aile arasında 47. sırada.

Diğer adları: ClipBlanker

02

Teknik profil

Zararlı yazılım türüPano değiştirici ve infostealer
Hedef işletim sistemiWindows
Birincil amaçKripto varlık hırsızlığı
Tehdit kategorisiFinansal dolandırıcılık
Dağıtım modeliÇeşitli
Bulaşan sistemlerWindows 10 %25,5, Windows 11 %21
Kamu kaynağı güveniDüşük
03

Hedeflenen uygulamalar

11 uygulama5 kategori
04

Veri toplama

Kimlik bilgileri

  • Tarayıcı parolaları%96,5Dark Radar gözlemi
  • Oturum çerezleri%96Doğrulandı
  • Süresi dolan oturumu yenileme—
  • Otomatik doldurma%91Dark Radar gözlemi
  • macOS Anahtar Zinciri—
  • 2FA ve parola yöneticileri—

Finansal

  • Kayıtlı kartlar%28,5Dark Radar gözlemi
  • Masaüstü kripto cüzdanları%98,5Dark Radar gözlemi
  • Cüzdan eklentileri—
  • Pano adresi değiştirmeDoğrulandı

Uygulamalar

  • E-posta istemcileriBildirildi
  • FTP istemcileri—
  • VPN istemcileri—
  • Mesajlaşma uygulamaları%27,5Bildirildi
  • Oyun platformları%17,5Dark Radar gözlemi

Sistem

  • Dosya toplama—
  • Ekran görüntüsü%35,5Dark Radar gözlemi
  • Sistem envanteri%90,5Dark Radar gözlemi
05

Dosya sistemi

Kullanıcı profili (%USERPROFILE%)
Dosya ayrıntıları Dark Radar Intelligence'taIntelligence'ta aç
06

Çalışma mekanizması

  1. 1Çalıştırma ve gizlenme

    T1059.001PowerShell

    Kırılma noktası: Kullanıcı klasörlerinden çalışan imzasız dosyalar ve .NET araçlarına yapılan enjeksiyonlar uygulama denetimi ve EDR ile durdurulur.

  2. 2Keşif

    Dark Radar gözlemi

    Bulaşan sistemler: Windows 10 %25,5, Windows 11 %21, Windows Server %9,5.

    Kırılma noktası: Kısa ömürlü bir süreçten gelen toplu sistem ve güvenlik yazılımı sorguları EDR alarmı üretir.

  3. 3Veri toplama

    Dark Radar gözlemi

    Son 200 logda bulunan veriler: parola dosyası %96,5, çerez %96, otomatik doldurma %91, kart %28,5, cüzdan %98,5.

    T1115Clipboard DataT1539Steal Web Session Cookie

    Kırılma noktası: Tarayıcı dışındaki bir sürecin tarayıcı profil dosyalarını okuması engellenir veya alarm üretir.

  4. 4Kalıcılık ve sonrası

    T1565.002Transmitted Data Manipulation

    Kırılma noktası: Bulaşma doğrulandığında cihazdaki tüm oturumlar ve erişim belirteçleri iptal edilir.

07

MITRE ATT&CK

Execution
Collection
Impact
Credential Access
08

IOC ve tespit

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç
09

Risk ve etki

  • Çalınan oturum çerezleri parola ve çok aşamalı doğrulama sorulmadan bulut, e-posta ve SaaS oturumlarının devralınmasına yeter.
  • Kişisel cihazda kayıtlı kurumsal parolalar, kurum ağı dışındaki bulaşmalarla da sızar; bu loglar ilk erişim komisyoncularına satılır.
  • Log arşivleri yıllarca yeniden paylaşılır; parola değişmedikçe aynı kimlik bilgisi tekrar tekrar kullanılabilir.
  • Ele geçirilen e-posta, mesajlaşma ve sosyal medya hesapları kimlik avının ve zararlı dağıtımının bir sonraki halkası olur.
10

Savunma

  • Bulaşma tespit edildiğinde yalnızca parolayı değil, ilgili tüm oturumları ve erişim belirteçlerini iptal edin.
  • Tarayıcıda parola kaydını kurumsal politika ile kapatın; kurumsal parola yöneticisi kullanın.
  • Kimlik avına dayanıklı çok aşamalı doğrulamaya (FIDO2/passkey) geçin; oturumları cihaza bağlayın.
  • Lisanssız yazılım, oyun hilesi ve sponsorlu arama sonuçlarından indirilen kurulum dosyalarını engelleyin.
  • Kullanıcının Çalıştır penceresine veya terminale yapıştırarak komut çalıştırdığı akışları (ClickFix) uç nokta kurallarıyla izleyin.
  • Dark Radar ile kurum alan adlarınızı ve çalışan e-postalarınızı stealer loglarında sürekli izleyin.
11

Öğrenme merkezi

Bu zararlı yazılım nasıl bulaşır?
  • Infostealer aileleri çoğunlukla lisanssız yazılım, sahte güncelleme, sponsorlu arama reklamları ve kimlik avı e-postalarıyla yayılır.
Bir sistemde varlığı nasıl anlaşılır?
  • Hesaplarda tanınmayan ülke veya cihazdan oturum açılması.
  • Dark Radar’da kurum alan adınıza veya çalışan e-postanıza ait yeni bir infostealer logu.
Hangi Windows artefaktları incelenir?
  • Prefetch (C:\Windows\Prefetch) — kısa ömürlü yükün çalıştığını gösterir.
  • Amcache.hve ve ShimCache — çalıştırılan dosyanın yolu ve özeti.
  • İndirilenler klasörü ve Zone.Identifier akışı — dosyanın hangi adresten indirildiği.
  • Tarayıcı geçmişi — sahte indirme sayfası veya sahte CAPTCHA adresi.
  • RunMRU kayıt anahtarı — Çalıştır penceresine yapıştırılan komutlar.
  • %TEMP% ve %LOCALAPPDATA% altındaki rastgele adlı klasörler ve DLL'ler.
Hangi log kayıtları önemlidir?
  • Sysmon Olay 1 / Güvenlik 4688Süreç oluşturma: Temp ve İndirilenler klasöründen başlayan imzasız süreçler, mshta, powershell -enc zincirleri.
  • Sysmon Olay 11 / 23Dosya oluşturma ve silme: kendini silen yükler, Temp altına bırakılan DLL'ler.
  • Sysmon Olay 3 / 22Ağ bağlantısı ve DNS sorgusu: yeni kaydedilmiş alan adlarına, Telegram, Steam veya Pastebin üzerinden C2 çözümleme.
  • Nesne erişimi denetimi (4663)Tarayıcı süreci dışındaki bir sürecin Login Data, Cookies ve Local State dosyalarını okuması.
  • PowerShell 4104Betik bloğu kaydı: gizlenmiş indirici komutları.
  • Kimlik sağlayıcı oturum günlükleriBulaşmadan sonra farklı ülke ve cihazdan gelen, çok aşamalı doğrulama sorulmayan oturumlar.
Hangi MITRE teknikleriyle ilişkilidir?
T1059.001PowerShellT1115Clipboard DataT1565.002Transmitted Data ManipulationT1539Steal Web Session Cookie
Bir SOC analisti nasıl müdahale etmelidir?
  1. Cihazı ağdan ayırın; bellek ve disk imajını almadan yeniden kurmayın.
  2. Bulaşma tarihini belirleyin; o tarihten sonra cihazda oturum açılmış tüm hesapları listeleyin.
  3. Bu hesapların parolalarını değiştirin, oturumlarını ve erişim belirteçlerini iptal edin, çok aşamalı doğrulama cihazlarını yeniden kaydedin.
  4. Kimlik sağlayıcı ve SaaS günlüklerinde bulaşma sonrasındaki yeni ülke, cihaz ve belirteç kullanımlarını arayın.
  5. Kurtarma ifadesi veya cüzdan dosyası açığa çıktıysa varlıkları yeni bir cüzdana taşıyın.
  6. İlk erişim yolunu (e-posta, reklam, lisanssız yazılım, sahte CAPTCHA) bulun ve aynı yolu kullanan diğer kullanıcıları kontrol edin.
  7. Cihazı temiz bir imajla yeniden kurun.
12

Kaynaklar

İlgili terimler

Kripto cüzdan hırsızlığı
Essential paketinden itibaren

Infostealer Detection

Kurumunuzun sızıntı yüzeyini tek ekranda görün: kaç bulgu, hangi önem derecesinde, hangi alan adında.

Ürünü incelePaketleri karşılaştırın