Aktif tehdit ailesimacOSKimlik bilgisi hırsızlığı
Malware Intelligence

SHub Stealer

SHub Stealer, Dark Radar'ın stealer loglarında 12.368 bulaşma kaydıyla izlenen bir infostealer ailesidir. Son kayıt Ekim 2026. İncelenen 200 logda kayıtlı parola oranı %100, oturum çerezi oranı %100.

Aktivite haritası

Aktivite haritasıPaketlemeGönderimSHub StealerInfostealerVeri toplama3 hedefLog arşiviC2 sunucusu
Zararlı yükSHub Stealer · Infostealer

SHub Stealer, Dark Radar tarafından stealer loglarında tespit edilen bir infostealer ailesidir.

Ortam bilgileri

  • İşletim sistemi
  • Donanım
  • IP ve konum
  • Kurulu yazılımlar
  • Ekran görüntüsü

Kimlik ve uygulama verileri

  • Kayıtlı parolalar
  • Oturum çerezleri
  • Otomatik doldurma
  • Kayıtlı kartlar
  • Anahtar Zinciri
Dark Radar bulaşma kaydı
12.368
Son bulaşma kaydı
27 Ekim 2026
Zararlı yazılım türü
Infostealer
İncelenen log
200
01

Genel bakış

Dark Radar verisinde 12.368 bulaşma kaydıyla 52 aile arasında 33. sırada.

02

Teknik profil

Zararlı yazılım türüInfostealer
Hedef işletim sistemimacOS
Birincil amaçVeri hırsızlığı
Tehdit kategorisiKimlik bilgisi hırsızlığı
03

Hedeflenen uygulamalar

3 uygulama2 kategori
04

Veri toplama

Kimlik bilgileri

  • Tarayıcı parolaları%100Dark Radar gözlemi
  • Oturum çerezleri%100Dark Radar gözlemi
  • Süresi dolan oturumu yenileme—
  • Otomatik doldurma%100Dark Radar gözlemi
  • macOS Anahtar Zinciri%86,5Dark Radar gözlemi
  • 2FA ve parola yöneticileri—

Finansal

  • Kayıtlı kartlar%10Dark Radar gözlemi
  • Masaüstü kripto cüzdanları%3,5Dark Radar gözlemi
  • Cüzdan eklentileri—
  • Pano adresi değiştirme—

Sistem

  • Dosya toplama—
  • Ekran görüntüsü%6,5Dark Radar gözlemi
  • Sistem envanteri%100Dark Radar gözlemi
05

Dosya sistemi

Kullanıcı klasörü (~)
Dosya ayrıntıları Dark Radar Intelligence'taIntelligence'ta aç
06

Çalışma mekanizması

  1. 1Veri toplama

    Dark Radar gözlemi

    Son 200 logda bulunan veriler: parola dosyası %100, çerez %100, otomatik doldurma %100, kart %10, cüzdan %3,5.

    Kırılma noktası: Tarayıcı dışındaki bir sürecin tarayıcı profil dosyalarını okuması engellenir veya alarm üretir.

07

IOC ve tespit

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç
08

Risk ve etki

  • Çalınan oturum çerezleri parola ve çok aşamalı doğrulama sorulmadan bulut, e-posta ve SaaS oturumlarının devralınmasına yeter.
  • Kişisel cihazda kayıtlı kurumsal parolalar, kurum ağı dışındaki bulaşmalarla da sızar; bu loglar ilk erişim komisyoncularına satılır.
  • Log arşivleri yıllarca yeniden paylaşılır; parola değişmedikçe aynı kimlik bilgisi tekrar tekrar kullanılabilir.
  • Ele geçirilen e-posta, mesajlaşma ve sosyal medya hesapları kimlik avının ve zararlı dağıtımının bir sonraki halkası olur.
09

Savunma

  • Bulaşma tespit edildiğinde yalnızca parolayı değil, ilgili tüm oturumları ve erişim belirteçlerini iptal edin.
  • Tarayıcıda parola kaydını kurumsal politika ile kapatın; kurumsal parola yöneticisi kullanın.
  • Kimlik avına dayanıklı çok aşamalı doğrulamaya (FIDO2/passkey) geçin; oturumları cihaza bağlayın.
  • Lisanssız yazılım, oyun hilesi ve sponsorlu arama sonuçlarından indirilen kurulum dosyalarını engelleyin.
  • Kullanıcının Çalıştır penceresine veya terminale yapıştırarak komut çalıştırdığı akışları (ClickFix) uç nokta kurallarıyla izleyin.
  • Dark Radar ile kurum alan adlarınızı ve çalışan e-postalarınızı stealer loglarında sürekli izleyin.
10

Öğrenme merkezi

Bu zararlı yazılım nasıl bulaşır?
  • Infostealer aileleri çoğunlukla lisanssız yazılım, sahte güncelleme, sponsorlu arama reklamları ve kimlik avı e-postalarıyla yayılır.
Bir sistemde varlığı nasıl anlaşılır?
  • Hesaplarda tanınmayan ülke veya cihazdan oturum açılması.
  • Dark Radar’da kurum alan adınıza veya çalışan e-postanıza ait yeni bir infostealer logu.
Hangi macOS artefaktları incelenir?
  • ~/Downloads altındaki DMG dosyaları ve com.apple.quarantine özniteliği.
  • Kullanıcının Terminal geçmişi (~/.zsh_history).
  • /tmp altında geçici ZIP arşivleri.
  • ~/Library/LaunchAgents altındaki yeni plist dosyaları.
Hangi log kayıtları önemlidir?
  • Birleşik günlük (log show)osascript süreçleri ve kullanıcıdan parola isteyen iletişim kutuları.
  • TCC veritabanıTerminal veya bilinmeyen bir uygulamaya verilen Tam Disk Erişimi izni.
  • Uç nokta güvenlik çerçevesi (ESF)Anahtar Zinciri dosyasına ve tarayıcı profillerine erişen süreçler.
  • ~/.zshrc, LaunchAgentsKalıcılık için eklenen satırlar ve plist dosyaları.
Bir SOC analisti nasıl müdahale etmelidir?
  1. Cihazı ağdan ayırın; bellek ve disk imajını almadan yeniden kurmayın.
  2. Bulaşma tarihini belirleyin; o tarihten sonra cihazda oturum açılmış tüm hesapları listeleyin.
  3. Bu hesapların parolalarını değiştirin, oturumlarını ve erişim belirteçlerini iptal edin, çok aşamalı doğrulama cihazlarını yeniden kaydedin.
  4. Kimlik sağlayıcı ve SaaS günlüklerinde bulaşma sonrasındaki yeni ülke, cihaz ve belirteç kullanımlarını arayın.
  5. Kurtarma ifadesi veya cüzdan dosyası açığa çıktıysa varlıkları yeni bir cüzdana taşıyın.
  6. İlk erişim yolunu (e-posta, reklam, lisanssız yazılım, sahte CAPTCHA) bulun ve aynı yolu kullanan diğer kullanıcıları kontrol edin.
  7. Cihazı temiz bir imajla yeniden kurun.
11

Kaynaklar

  • Dark Radar Infostealer İstihbarat Kütüphanesi12.368 bulaşma kaydı, son 200 log incelendi. Güncelleme: 30 Ekim 2026
Essential paketinden itibaren

Infostealer Detection

Kurumunuzun sızıntı yüzeyini tek ekranda görün: kaç bulgu, hangi önem derecesinde, hangi alan adında.

Ürünü incelePaketleri karşılaştırın