Uzmanlar kötü amaçlı yazılım StripedFly'ı ortaya çıkardı!

İlk bakışta bir kripto para madencisi gibi hareket eden StripedFly'ın, çok işlevli solucana dönüştürülebilir yapıya sahip karmaşık bir zararlı yazılım olduğu ortaya çıktı.

Kaspersky uzmanları, en az 2017'den beri 1 milyondan fazla kurbanı etkileyen, küresel yaygınlığa sahip, daha önce bilinmeyen, son derece karmaşık bir kötü amaçlı yazılım olan StripedFly'ı ortaya çıkardı.

Şirketten yapılan açıklamaya göre, Kaspersky'nin Küresel Araştırma ve Analiz ekibi, 2022'de WININIT.EXE işleminde daha önce Equation kötü amaçlı yazılımında gözlemlenen kod dizileri tarafından tetiklenen iki beklenmedik tespitle karşılaştı.

Bu faaliyet en az 2017'den beri devam ederken, daha önce kripto para madencisi olarak yanlış sınıflandırıldığı için önceki analizlerden kaçmayı başardı. Sorunun kapsamlı bir şekilde incelenmesinin ardından, kripto para madencisinin çok daha büyük bir varlığın, karmaşık, çok platformlu ve eklentili kötü amaçlı bir çerçevenin yalnızca bir bileşeni olduğu ortaya çıktı.

Kötü amaçlı yazılım yükü birden fazla modülü kapsıyor ve tehdit aktörünün bir APT, kripto madenci ve hatta bir fidye yazılımı grubu olarak çalışmasını sağlayarak potansiyel amacını casusluktan finansal kazanca kadar genişletiyor.

Bu modül tarafından özellikle kazılan Monero kripto para birimi, 2017'deki yaklaşık 10 dolarlık değerine kıyasla 9 Ocak 2018'de 542,33 dolarla en yüksek değerine ulaştı. Monero 2023 itibarıyla yaklaşık 150 dolarlık değerini koruyor. Kaspersky uzmanları, madencilik modülünün kötü amaçlı yazılımın uzun bir süre boyunca tespit edilmekten kaçınmasını sağlayan birincil faktör olduğunu vurguluyor.

Bu operasyonun arkasındaki saldırgan, kurbanları gizlice gözetlemek için kapsamlı yeteneklere sahip bulunuyor. Kötü amaçlı yazılım her iki saatte bir kimlik bilgilerini toplayarak site ve Wi-Fi giriş bilgileri gibi hassas bilgileri çalıyor ve kurbanın iş ünvanı da dahil olmak üzere kişisel bilgilerini tespit ediyor.

Ayrıca kötü amaçlı yazılım tespit edilmeden kurbanın cihazındaki ekran görüntülerini yakalayabiliyor, makine üzerinde önemli bir kontrol elde edebiliyor ve hatta mikrofon girişini kaydedebiliyor.

Kurbanın sistemlerine sızmak için özel yapım bir EternalBlue "SMBv1" açığının kullanıldığını ortaya çıkarana kadar ilk bulaşma vektörü bilinmiyordu. EternalBlue güvenlik açığı 2017'de kamuya açıklanmasına ve Microsoft bunun için bir yama (MS17-010) yayınlamasına rağmen, birçok kullanıcının sistemlerini güncellememiş olması nedeniyle tehdit önemini korumaya devam ediyor.

Kampanyanın teknik analizi sırasında Kaspersky uzmanları, StripedFly ve Equation zararlı yazılımları arasında benzerlikler gözlemledi. Bunlar arasında Equation zararlı yazılımıyla ilişkili imzalar gibi teknik göstergelerin yanı sıra StraitBizzare (SBZ) zararlı yazılımında görülenlere benzeyen kodlama stili ve uygulamaları da yer alıyordu. Kötü amaçlı yazılımın barındırıldığı depo üzerinde görüntülenen indirme sayaçlarına göre, StripedFly tahminen dünya genelinde 1 milyondan fazla kurbana ulaştı.

Açıklamada görüşlerine yer verilen Kaspersky Global Araştırma ve Analiz Ekibi (GReAT) Güvenlik Araştırma Lideri Sergey Lozhkin, "Çerçevenin oluşturulması için harcanan çaba gerçekten dikkate değerdi ve çerçevenin ortaya çıkarılması da bir o kadar şaşırtıcıydı. Siber suçluların uyum sağlama ve evrim geçirme becerisi sürekli bir meydan okumaya dönüşüyor. Bu nedenle araştırmacılar olarak çabalarımızı sofistike siber tehditleri ortaya çıkarmaya ve yaymaya adıyoruz. Müşterilerimizin de siber suçlara karşı kapsamlı korumayı unutmamaları çok önemli." ifadelerini kullandı.

Kaspersky araştırmacıları, kullanıcıların bilinen veya bilinmeyen tehdit aktörlerinin hedefli saldırısının kurbanı olmaması için şunları önerdi:

"Bilinen güvenlik açıklarını yamamak için işletim sisteminizi, uygulamalarınızı ve antivirüs yazılımınızı düzenli olarak güncelleyin. Hassas bilgiler isteyen e-postalara, mesajlara veya aramalara karşı dikkatli olun. Herhangi bir kişisel bilgiyi paylaşmadan veya şüpheli bağlantılara tıklamadan önce gönderenin kimliğini doğrulayın. SOC ekibinizin en son tehdit istihbaratına (TI) erişimini sağlayın. Kaspersky Tehdit İstihbaratı Portalı, şirketin TI'sına ortak erişim noktasıdır ve Kaspersky tarafından 20 yılı aşkın bir süredir toplanan siber saldırı verilerini ve içgörülerini sağlar. GReAT uzmanları tarafından geliştirilen Kaspersky çevrim içi eğitimiyle siber güvenlik ekibinizi en son hedefli tehditlerle mücadele edecek şekilde geliştirin. Uç nokta düzeyinde tespit, araştırma ve olayların zamanında düzeltilmesi için Kaspersky Endpoint Detection and Response gibi EDR çözümlerini kullanın."