RedLine: Kendi kendine yayılan hırsız, YouTube oyuncularını hedefliyor

Kaspersky araştırmacıları, YouTube'daki oyuncuları hedefleyen alışılmadık bir kötü amaçlı demet (tek bir kurulum dosyası, kendi kendini ekleyen arşiv veya yükleyici tipi işlevselliğe sahip başka bir dosya şeklinde dağıtılan kötü amaçlı programlar koleksiyonu) tespit etti. Ana yükü tarayıcılardan şifreleri ve kimlik bilgilerini çalmak için kullanılan en yaygın Truva atlarından biri olan Redline Stealer oluşturuyor.

Siber suçlular, aktif olarak oyun hesaplarını ve güçlü oyun bilgisayarlarının kaynaklarını sömürmek için ava çıkıyor. Kaspersky uzmanlarının oyunla ilgili siber tehditlere ilişkin son incelemesinde belirttiği üzere, hırsız tipi kötü amaçlı yazılımlar genellikle korsan oyunlar, hileler ve kırık yazılımlar kisvesi altında dağıtılıyor. Bu kez araştırmacılar oyunla bağlantılı başka bir kötü amaçlı etkinlik türü keşfettiler: Saldırganlar, video açıklamasında kendi kendine açılan bir RAR arşivine bağlantının yanı sıra oyunla ilgili içerik kisvesi altında kurbanların YouTube kanallarına zehirli paketler yerleştiriyor. Arşiv, aralarında kötü üne sahip RedLine hırsızının da olduğu birkaç kötü amaçlı dosya içeriyor.

Hırsız, Chromium ve Gecko tabanlı tarayıcılardan kullanıcı adlarını, şifreleri, çerezleri, banka kartı bilgilerini, otomatik doldurma verilerini, kripto cüzdanlardan, anlık mesajlaşma programlarından ve FTP/SSH/VPN istemcilerinden gelen verileri ve cihazlardaki belirli uzantılara sahip dosyaları yağmalıyor. Ayrıca RedLine, üçüncü taraf programları indirip çalıştırabiliyor, cmd.exe ile komutları çalıştırabiliyor ve bağlantıları varsayılan tarayıcıda açabiliyor. Hırsız, kötü niyetli spam e-postalar ve üçüncü parti yükleyiciler dahil olmak üzere çeşitli şekillerde yayılıyor.

RedLine yükünün kendisine ek olarak, keşfedilen paket kendi kendini yayma kabiliyeti açısından dikkate değer özellikler içeriyor. Açıklamadaki pakette bulunan birkaç dosya bundan sorumlu. Videoları alıyor ve şifre korumalı arşivin bağlantılarıyla birlikte virüslü kullanıcıların YouTube kanallarına gönderiyor. Videolar hilelerin ve kırık yazılımların reklamını yapıyor, popüler oyun ve yazılımların haklanmasıyla ilgili talimatlar sağlıyor. Bahsedilen oyunlar arasında APB Reloaded, CrossFire, DayZ, Dying Light 2, F1^® 22, Farming Simulator, Farthest Frontier, FIFA 22, Final Fantasy XIV, Forza, Lego Star Wars, Osu!, Point Blank, Project Zomboid, Rust, Sniper Elite, Spider-Man, Stray, Thymesia, VRChat ve Walken yer alıyor.

Kurbanlar orijinal paketi indirdikten sonra, RAR arşivi kendi kendine açılıyor. Paket içeriği otomatik olarak çalıştırmak için bir dizi kötü amaçlı dosya, temiz yardımcı programlar ve bir de komut dosyası içeriyor. Dosya adlarından bazıları uygunsuz bir dil içeriyor.

Araştırmacıların gözüne takılan bir diğer unsur ise korsan madenciler. Videoya bakan ana hedef kitle oyuncular olduğu için bu durum mantıklı, çünkü madencilik için kullanılabilecek ekran kartlarına sahip olmaları muhtemel.

Kaspersky Kıdemli Güvenlik Araştırmacısı Oleg Kupreev, şunları söylüyor: “Oyuncular, siber suçluların hedef aldığı en popüler gruplardan biri. Bu kez saldırganlar, oyunla ilgili içeriği kurbanların kimlik bilgilerini çalmak ve bilgisayarlarından madencilik yapmak için yem olarak kullanıyorlar. Tavsiyemiz, oyun açlığınızı giderecek kaynakları dikkatli bir şekilde seçmeniz ve güvenilmeyen hesaplardan şüpheli arşivleri indirmemeniz yönünde olacaktır.”

Securelist web sitesinde oyunla ilgili Redline saldırıları hakkında bilgi edinebilirsiniz.

Kendinizi açık kaynaklı paketlerde gizlenmiş kötü amaçlı yazılımlardan korumak için Kaspersky şunları öneriyor:

• Açık kaynak depoları, herkesin kendi paketlerini yayınlamasına izin verir ve bunların hepsi güvenli değildir. Örneğin saldırganlar, kullanıcıyı orijinal paketi indirdiklerini düşündürmek için bir veya iki harfi değiştirerek popüler açık kaynak paketlerinin kimliğine bürünebilir. Bu nedenle dikkatli olmanızı ve bu paketlere güvenilir muamelesi yapmamanızı öneririz.
• Genel olarak geliştirme ortamları, tedarik zinciri saldırılarını organize etmeye çalışan saldırganlar için uygun hedeflerdir. Bu, bu tür ortamların acilen Kaspersky Hybrid Cloud Security gibi güçlü araçlarla korunmasını gerektirir.
• Açık kaynak kodu aracılığıyla yayılan yeni kötü amaçlı kampanyalardan öncelikle haberdar olmak istiyorsanız, Tehdit İstihbarat Portalımız aracılığıyla sağlananlar gibi tehdit istihbaratı beslemelerine ve raporlarına abone olabilirsiniz.