18.000'den fazla bilgisayar korsanı kendi bilgisayarlarına virüs bulaştırdı
Bir bilgisayar korsanı, "meslektaşlarına" kötü amaçlı yazılım derleyicisinin truva atı haline getirilmiş bir sürümünü büyük miktarda bulaştırdı. Güvenlik şirketi CloudSEK'in verdiği bilgiye göre çoğu ABD, Hindistan, Rusya, Ukrayna ve Türkiye'de olmak üzere en az 18 bin cihaza virüs bulaştı.
Şirketin uzmanları, saldırganın sahte bir XWorm RAT kötü amaçlı yazılım oluşturucusu veya derleyicisi kullanarak düşük vasıflı bilgisayar korsanlarına (kulhacker'lar) saldırdığını iddia ediyor. Bu bir uzaktan erişim Truva atıdır.
Görünüşe göre kurbanların siber güvenlik konusunda sağlam bir bilgisi yoktu ve kendilerine sunulan her şeyi, yani çeşitli ağ kaynakları aracılığıyla reklamı yapılan kötü amaçlı yazılımları indirdiler.
DAĞITIM VE İŞLEVLER
Truva atı haline getirilen XWorm RAT, GitHub depoları, dosya barındırma platformları, Telegram kanalları ve YouTube videoları aracılığıyla dağıtılıyor. Tüm bu kaynaklarda, truva atı haline getirilmiş derleyici, ödeme yapılması gerekmeyen RAT programları oluşturmanın bir yolu olarak sunulmaktadır.
Cihazına yüklendikten sonra yazılım, sistemi sanallaştırma veya hata ayıklama ortamı belirtileri açısından kontrol eder. Bunu gösteren işlemler bulunursa program çalışmayı durdurur. Sistemin en sıradan olduğu ortaya çıkarsa, kötü amaçlı yazılım, sistem kayıt defterinde, her yeniden başlatmanın ardından etkinleştirilmesine izin veren değişiklikler yapar.
Virüs bulaşan sistem aynı zamanda Telegram platformunu temel alan komut sunucusunda da oturum açıyor. Bu amaçla Telegram botuna ait sabit bir ID ve token kullanılır.
Kötü amaçlı yazılım daha sonra Discord tokenlarını ve sistem bilgilerini otomatik olarak çalıyor, fiziksel konumunu IP adresine göre belirliyor, tüm bu bilgileri kontrol sunucusuna gönderiyor ve operatörün ek komutlarını bekliyor.
Toplam 56 komut desteklenmektedir: Kötü amaçlı yazılım, web tarayıcısından şifreleri, çerezleri ve otomatik doldurma bilgilerini çalmaya çalışabilir. Ayrıca tuş vuruşlarını engelleyebilir, ekran görüntüleri alabilir, belirli işlemleri durdurabilir (güvenlik yazılımıyla ilgili olanlar dahil) ve belirli dosya türlerini sistemden kaldırabilir.
Kendi kendini silme seçeneği de mümkündür. Belki de en tehlikelisi, herhangi bir dosyayı kontrol sunucusu tarafından gönderilen bir parolayla şifreleme yeteneğidir.
TAMAMLANMAMIŞ BİR BOTNET
CloudSEK uzmanları, kötü amaçlı yazılım operatörlerinin virüslü cihazların yaklaşık %11'inden veri çıkardığını tespit etti. Kötü amaçlı yazılımın kodundaki sabit API belirteçlerini kullanarak ortaya çıkan botnet'i etkisiz hale getirmeyi başardılar; bu, o sırada ağa bağlı olan tüm makinelere toplu, döngüsel bir kendini kaldırma komutu göndermelerine ve buna ek olarak, buradan çıkarılan tanımlayıcıların "kabaca aranmasına" olanak tanıdı.
Araştırmacılar ayrıca basit bir sayısal model kullanarak tüm tanımlayıcıları 1'den 9999'a kadar zorladılar. Bu, botnet'in yalnızca bir kısmını etkisiz hale getirmelerine olanak tanıdı çünkü ilk olarak komut başlatıldığında tüm makineler çevrimiçi değildi. İkinci olarak, Telegram'ın algoritmaları toplu gönderimi sınırlıyor, bu nedenle bazı mesajlar ulaşmamış olabilir.
Bilgisayar korsanları aktif olarak birbirlerine saldırır. Bu durumda, tüm bu kampanyanın operatörü, diğer şeylerin yanı sıra, "başarısız bilgisayar korsanlarına" bir ders verme arzusuyla hareket etmiş olabilir. Ancak kampanyanın boyutu ve kötü amaçlı yazılımı yayma çabaları, operatörün daha pratik hedefleri olduğunu gösteriyor.
