Yeni bir kötü amaçlı yazılım paketi, kötü niyetli paketi daha da yaymak için popüler video oyunları için sahte hileler ve çatlaklar reklamı yapmak için kurbanların YouTube kanallarını kullanır.
Kendi kendine yayılan kötü amaçlı yazılım paketi, FIFA, Final Fantasy, Forza Horizon, LEGO Star Wars ve Spider-Man'ı oynayan hayranları hedefleyen YouTube videolarında tanıtıldı.
Bu yüklenen videolar, sahte çatlakları ve hileleri indirmek için bağlantılar içerir, ancak gerçekte, yükleyiciye enfekte olan aynı kendi kendine yayılan kötü amaçlı yazılım paketini yükler.
Kaspersky'nin yeni bir raporunda, araştırmacılar, en önemlisi en çok dağıtılmış bilgi çalıcılarından biri olan Redline, Redline, bir koleksiyon içeren bir RAR arşivi buldular.
Redline, kurbanın web tarayıcısında depolanan bilgileri, çerezler, hesap şifreleri ve kredi kartları, anında messenger konuşmalarına erişim ve kripto para cüzdanlarından ödün verebilir.
Buna ek olarak, RAR arşivine bir madenci dahil edilir ve kurbanın grafik kartından yararlanır, bu da YouTube'da oyun videolarını izledikleri için, saldırganlar için kripto para birimini benimser.
"Nir.exe" adlı paketteki meşru Nirsoft NIRCMD yardımcı programı sayesinde, başlatıldığında, tüm yürütülebilir ürünler gizli olacak ve arayüzde veya herhangi bir görev çubuğu simgesinde pencereler üretmeyecek, bu nedenle her şey kurbandan gizleniyor.
Paketlenmiş enfeksiyonlar ve yürütülebilir ürünler kendi başlarına özellikle ilginç değildir ve diğer kötü amaçlı yazılım dağıtım kampanyalarında tehdit aktörleri tarafından yaygın olarak kullanılmaktadır.
Bununla birlikte, Kaspersky arşivde saklanan, kötü amaçlı yazılımın internetteki diğer kurbanlara kendi kendine yayılmasını sağlayan alışılmadık ve ilginç bir kendini tanıtım mekanizması keşfetti.
Özellikle, RAR, paketin kendi kendine yayılmasını gerçekleştiren üç kötü amaçlı yürütülebilir dosyalar, yani “makisekurisu.exe”, “download.exe” ve “upload.exe” adlı toplu iş dosyaları içerir.
Birincisi, Makisekurisu, yalnızca tarayıcılardan kurabiyeleri çıkarmak ve yerel olarak saklamak için kullanılan yaygın olarak mevcut bir C# şifre stealer'ın değiştirilmiş bir versiyonudur.
İkinci yürütülebilir dosyası olan “Download.exe”, kötü amaçlı demeti tanıtan videoların bir kopyası olan YouTube'dan bir video indirmek için kullanılır.
Videolar, YouTube'dan rapor edilen ve kaldırılan video URL'leri işaret etmekten kaçınmak için bir GitHub deposundan getirilen bağlantılardan indirilir.
Son olarak, kurbanın YouTube hesabına giriş yapmak ve paketi kanalları üzerinden yaymak için çalınan çerezleri kullanarak kötü amaçlı yazılımları destekleme videolarını YouTube'a yüklemek için “upload.exe” kullanılır.
Raporda Kaspersky, “Bu [upload.exe], Devtools protokolünü kullanarak Chrome ve Microsoft Edge'i yönetmek için üst düzey bir API sağlayan kuklacı düğüm kitaplığını kullanıyor” diye açıklıyor.
“Video YouTube'a başarıyla yüklendiğinde, upload.exe, yüklenen videoya bağlantı ile Discord'a bir mesaj gönderir.”
Tehdit oyuncusu yeni yükleme hakkında bilgilendirilirken, kanal sahibinin platformda çok aktif değilse YouTube'da kötü amaçlı yazılımları teşvik ettiklerini fark etmesi olası değildir.
Bu agresif dağıtım yöntemi, kötü niyetli indirmelere işaret eden videolar, uzun süredir devam eden temiz bir kayda sahip hesaplardan yüklendiğinden, YouTube'da incelemeyi ve alımları daha da zorlaştırıyor.
Korsan 3Dmark Benchmark Aracı Info-Stealer kötü amaçlı yazılım sunan
Dev Backdoors, diğer bilgisayar korsanlarından veri çalmak için kötü amaçlı yazılımlara sahip
Info-Renting kötü amaçlı yazılımları zorlamak için kullanılan sahte 'Cthulhu World' P2E projesi
Kötü niyetli PYPI paketleri anlaşmazlığı şifre çalan kötü amaçlı yazılımlara dönüştürür
Amadey kötü amaçlı yazılım Smokeloader kampanyasında yazılım çatlakları yoluyla itildi
Kaynak: Bleeping Computer