Tıklama sahteciliği, kimlik bilgisi hırsızlığı gibi amaçlarla yaklaşık yarım milyon bilgisayarı kontrol eden Stantinko botneti, yeni suç yetenekleri edindi.
ESET Araştırmacıları, botnetin arkasındaki suçluların, kontrol ettikleri bilgisayarlara kripto para madenciliği modülü eklediklerini tespit etti. Suçlular, başkalarının kaynaklarını kullanarak Monero üretmeye çalışıyorlar.
Stantinko botneti’nin yaklaşık yarım milyon bilgisayarı kontrol eden ve en az 2012’den beri aktif olan operatörleri, temel olarak Rusya, Ukrayna, Belarus ve Kazakistan’daki kullanıcıları hedef alsa da artık genişleyerek yeni bir iş modeline geçti.
Araştırmayı yürüten ESET analisti Vladislav Hrčka, “Yıllarca tıklama sahteciliği, reklam ekleme, sosyal medya sahteciliği ve kimlik bilgisi hırsızlığı ile ilerleyen Stantinko, Monero madenciliğine başladı. Stantinko operatörleri, en az Ağustos 2018’den beri, kontrol ettikleri bilgisayarlara kripto para madenciliği modülü dağıtıyorlar” şeklinde konuştu.
Sıradışı gizlenme yöntemine sahip
ESET güvenlik ürünlerinin “CoinMiner.Stantinko“ olarak belirlediği Stantinko kripto para madenciliği modülü, xmr-stak açık kaynak kripto para madencisinin yüksek derecede değiştirilmiş bir versiyonu. Bu modülün en önemli özelliği, analizi önlemek ve algılamadan kaçınmak için kullandığı gizlenme yöntemi.
Hrčka, “Rastgele denebilecek şekilde kaynak düzeyinde gizlenme kullanılması ve Stantinko operatörlerinin her yeni kurban için bu modülü ayrı olarak derlemesi sayesinde, modülün her örneği benzersiz hale geliyor” diyerek durumu açıkladı.
Saklanmak için Youtube’u bile kullanıyor
CoinMiner.Stantinko, gizlenmenin yanı sıra bazı ilginç numaralar da kullanıyor. İletişimini gizlemek amacıyla modül, kendi madencilik havuzuyla doğrudan iletişim kurmak yerine IP adresleri YouTube videolarının açıklama metinlerinden alınan vekil sunucularla iletişim kuruyor. Yakın zamanda ESET araştırmacıları tarafından analiz Casbaneiro kötü amaçlı bankacılık yazılımında da benzer şekilde YouTube videolarının açıklamalarında veri gizleme tekniği kullanılmıştı. Hrčka, “YouTube’u bu kötüye kullanım hakkında bilgilendirdik ve bu tür videolara sahip kanallar kapatıldı” açıklamasını yaptı.
Kurbanları şüphelendirmemek için gerekirse çalışmalarına ara veriyor
CoinMiner.Stantinko, kurbanları şüphelendirmemek adına, bilgisayar batarya gücüyle çalıştığında veya görev yöneticisi algılandığında kripto para madenciliği işlevini askıya alıyor. Ayrıca bilgisayarda başka kripto para madenciliği uygulamaları olup olmadığını denetliyor ve sonuçta bunları da askıya alıyor. Güvenlik yazılımlarını bulmak amacıyla CoinMiner.Stantinko çalışan işlemleri de tarıyor.
Başka kötü amaçlı yazılımları da yükleme yeteneği var
Vladislav Hrčka şu uyarıyı yapıyor: “CoinMiner.Stantinko karşılaşabileceğiniz en tehlikeli kötü amaçlı yazılım olmasa da bilgisayarınızın suçlulara para kazandırmakla meşgul olması, en hafif tabirle sinir bozucu. Daha vahim olan şey ise Stantinko’nun istediği zaman kurbanların bilgisayarına başka, belki de daha tehlikeli kötü amaçlı yazılımlar yükleyebilecek olması.”
