StripedFly: Sofistike koda sahip ve casusluğa dair yeteneklerini gizleyen bir madenci solucan

Kaspersky uzmanları, en az 2017 yılından beri bir milyondan fazla kurbanı etkileyen, küresel yaygınlığa sahip, daha önce bilinmeyen, son derece karmaşık bir kötü amaçlı yazılım olan StripedFly’ı ortaya çıkardı. İlk bakışta bir kripto para madencisi gibi hareket eden bu zararlı yazılımın, çok işlevli solucana dönüştürülebilir yapıya sahip karmaşık bir zararlı yazılım olduğu ortaya çıktı.

Kaspersky’nin Küresel Araştırma ve Analiz Ekibi, 2022’de WININIT.EXE işleminde daha önce Equation kötü amaçlı yazılımında gözlemlenen kod dizileri tarafından tetiklenen iki beklenmedik tespitle karşılaştı. Bu faaliyet en az 2017’den beri devam etmekteydi ve daha önce kripto para madencisi olarak yanlış sınıflandırıldığı için önceki analizlerden kaçmayı başarmıştı. Sorunun kapsamlı bir şekilde incelenmesinin ardından, kripto para madencisinin çok daha büyük bir varlığın; karmaşık, çok platformlu, çok eklentili kötü amaçlı bir çerçevenin yalnızca bir bileşeni olduğu ortaya çıktı.

Kötü amaçlı yazılım yükü birden fazla modülü kapsıyor ve tehdit aktörünün bir APT, bir kripto madenci ve hatta bir fidye yazılımı grubu olarak çalışmasını sağlayarak potansiyel amacını casusluktan finansal kazanca kadar genişletiyor. Bu modül tarafından özellikle kazılan Monero kripto para birimi, 2017’deki yaklaşık 10 dolarlık değerine kıyasla 9 Ocak 2018’de 542,33 dolarla en yüksek değerine ulaştı. Monero 2023 itibarıyla yaklaşık 150 dolarlık değerini koruyor. Kaspersky uzmanları, madencilik modülünün kötü amaçlı yazılımın uzun bir süre boyunca tespit edilmekten kaçınmasını sağlayan birincil faktör olduğunu vurguluyor.

Bu operasyonun arkasındaki saldırgan, kurbanları gizlice gözetlemek için kapsamlı yeteneklere sahip. Kötü amaçlı yazılım her iki saatte bir kimlik bilgilerini toplayarak site ve Wi-Fi giriş bilgileri gibi hassas bilgileri çalıyor ve kurbanın iş unvanı da dahil olmak üzere kişisel bilgilerini tespit ediyor. Ayrıca kötü amaçlı yazılım tespit edilmeden kurbanın cihazındaki ekran görüntülerini yakalayabiliyor, makine üzerinde önemli bir kontrol elde edebiliyor ve hatta mikrofon girişini kaydedebiliyor.

Kurbanın sistemlerine sızmak için özel yapım bir EternalBlue ‘SMBv1’ açığının kullanıldığını ortaya çıkarana kadar ilk bulaşma vektörü bilinmiyordu. EternalBlue güvenlik açığı 2017’de kamuya açıklanmasına ve Microsoft bunun için bir yama (MS17-010) yayınlamasına rağmen, birçok kullanıcının sistemlerini güncellememiş olması nedeniyle tehdit önemini korumaya devam ediyor.

Kampanyanın teknik analizi sırasında Kaspersky uzmanları StripedFly ve Equation zararlı yazılımları arasında benzerlikler gözlemledi. Bunlar arasında Equation zararlı yazılımıyla ilişkili imzalar gibi teknik göstergelerin yanı sıra StraitBizzare (SBZ) zararlı yazılımında görülenlere benzeyen kodlama stili ve uygulamaları da yer alıyordu. Kötü amaçlı yazılımın barındırıldığı depo üzerinde görüntülenen indirme sayaçlarına göre, StripedFly tahminen dünya genelinde bir milyondan fazla kurbana ulaştı.

Kaspersky Global Araştırma ve Analiz Ekibi (GReAT) Güvenlik Araştırma Lideri Sergey Lozhkin, şunları söyledi: “Çerçevenin oluşturulması için harcanan çaba gerçekten dikkate değerdi ve çerçevenin ortaya çıkarılması da bir o kadar şaşırtıcıydı. Siber suçluların uyum sağlama ve evrim geçirme becerisi sürekli bir meydan okumaya dönüşüyor. Bu nedenle araştırmacılar olarak çabalarımızı sofistike siber tehditleri ortaya çıkarmaya ve yaymaya adıyoruz. Müşterilerimizin de siber suçlara karşı kapsamlı korumayı unutmamaları çok önemli.”