Torrent sitelerinde dizi kılığına giren yeni zararlı yazılım tespit edildi
Öne çıkanlar
- Dizi ismi verilmiş sahte exe dosyası, analiz araçlarını atlatmak için anlamsız verilerle 886 MB boyutuna kadar şişirildi.
- Zararlı yazılım, sistemdeki kripto cüzdanları, tarayıcı şifrelerini, SSH ve AWS bulut anahtarlarını hedef alıyor.
- Komuta ve kontrol sunucusu adresleri YouTube kanalları ve GitHub Gist sayfaları üzerinden gizlenerek çekiliyor.
Açık kaynaklı medya otomasyon araçlarını hedef alan sahte torrent dosyaları, kullanıcıların cihazlarına gelişmiş bilgi hırsızı zararlı yazılımlar indirmeye başladı. Güvenlik araştırmacısı, popüler dizi ismi verilmiş ve sonuna doğrudan exe uzantısı eklenmiş bir dosyanın Sonarr platformu tarafından otomatik sıraya alındığını saptadı. Yaklaşık 2 bin 400 sahte dağıtımcı üzerinden yayılan 886 megabayt boyutundaki dosyanın incelenmesi sonucunda, güvenlik tarayıcılarını atlatmak için şişirilmiş 118 kilobaytlık bir PE yükü barındırdığı görüldü.
Tersine mühendislik analizleri, dosyanın son 64 baytındaki ChaCha20 anahtarlarıyla belleğe doğrudan ikinci bir zararlı yük çıkardığını gösterdi. İkinci aşama yazılımın ise AES-128-CTR ve RC4 katmanları ardına gizlenmiş kodlarla gelişmiş bir hırsız olduğu anlaşıldı. Yazılım; Chrome, Edge, Firefox tarayıcı verilerinin yanı sıra kripto para cüzdanlarını, parola yöneticilerini, SSH ve AWS bulut kimlik anahtarlarını topluyor.
Zararlı yazılımın komuta kontrol sunucusu adreslerini YouTube açıklamaları ve GitHub Gist gibi kanallara gizlediği belirlendi. Araştırmacı, qBittorrent istemcilerinde exe, bat veya scr uzantılı dosyaların otomatik hariç tutulmasını ve halka açık takipçilerin sıkı denetlenmesini tavsiye etti.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.