Türkiye’yi de gaye alan iki ziyanlı yazılıma global operasyon

Siber güvenlik alanında dünya lideri olan ESET, teknik tahlil, altyapı takibi ve bağlı kuruluş seviyesinde içgörüler sağlayarak Amadey botneti ile Stealc bilgi hırsızının faaliyetlerinin durdurulmasına yardımcı oldu. 

 ESET telemetri tespit oranları, Amadey’in belli bir bölgeye odaklanmaksızın global çapta gözlemlendiğini gösteriyor. En yüksek tespit oranları Hindistan, Türkiye, Mısır, Meksika ve İspanya’da gözlemlendi. Stealc de makul bir bölgeye odaklanmaksızın global olarak yayılırken en yüksek tespit oranları ABD, Polonya ve İtalya’da gözlemlendi. 

ESET Research, teknik tahlil, altyapı takibi ve bağlı kuruluş seviyesinde içgörüler sağlayarak Amadey botneti ile Stealc bilgi hırsızının faaliyetlerinin durdurulmasına yardımcı oldu. Her ikisi de "kötü gayeli yazılım hizmeti" (MaaS) olarak işletiliyor. Microsoft Dijital Suçlar Birimi (DCU), BitSight, Lumen ve Mitsui Bussan Secure Directions (MBSD) tarafından koordine edilen operasyon, Amadey ve Stealc bağlı kuruluşları tarafından kullanılan tüm bilinen ağ altyapısını maksat alarak siber kabahat faaliyetlerini felce uğratmayı amaçladı. Tıpkı vakitte, Europol’un Avrupa Siber Suç Merkezi (EC3), Almanya Federal Kriminal Polis Dairesi ile Hollanda ve Danimarka Ulusal Polis Teşkilatları da dâhil olmak üzere Avrupalı kolluk kuvvetleri ortaklarıyla birlikte IBM ve Proofpoint ile ortaklaşa “Operation Endgame” kapsamında Stealc’i soruşturuyordu.

ESET, her iki berbat maksatlı yazılım ailesini uzun müddetli olarak takip ederken topladığı teknik tahliller, istatistiksel bilgiler, bilinen komuta ve denetim (C&C) sunucuları, şifreleme anahtarları, kampanya ve derleme tanımlayıcıları ile başka tehdit istihbaratlarını paylaşarak bu operasyonun başarısına katkıda bulundu.

Amadey ve Stealc’in engellenmesi çalışmalarına takviye veren ESET araştırmacısı Jakub Tomanek “ESET, son üç yıldır hem Amadey botnetini hem de Stealc bilgi hırsızını takip ediyor. Engelleme operasyonu kapsamında, işlenmiş berbat emelli yazılım örneklerinden elde edilen teknik göstergeler ve yapılandırma bilgilerinin yanı sıra 2025’in 4. çeyreğinden 2026’nın birinci yarısına kadar olan dönemi kapsayan istatistikleri paylaştık. Otomatik sistemlerimiz, Amadey ve Stealc örneklerini ayrıntılı bir halde inceliyor ve büyük ölçekli izleme için en kıymetli alanları tespit ediyor. Bunlar arasında C&C sunucuları, derleme tanımlayıcıları, şifreleme anahtarları, URL yolları, kampanya tanımlayıcıları ve berbat emelli yazılım ailelerinin saldırganların denetimindeki altyapıyla irtibat kurarken kullandığı öbür gömülü bedeller yer alıyor,” açıklamasını yaptı. 

Teknik tahlillerin, istatistiksel bilgilerin ve C&C sunucu listeleri, bağlı kuruluş tanımlayıcıları ve şifreleme anahtarları üzere tehdit istihbaratının paylaşılması, kolluk kuvvetlerinin altyapıları yüksek bir inanç derecesiyle tespit etmelerine, önceliklendirmelerine ve bunlara karşı harekete geçmelerine imkan tanıyor.  Amadey, modüler bir berbat emelli yazılım yükleyicisidir. Ana hedefi, ele geçirilmiş sistemlere ek berbat emelli yazılımlar dağıtmak olmakla birlikte, data sızdırma ve uzaktan erişim için modüller de sunuyor. Buna karşılık Stealc, tipik bir “hizmet olarak bilgi hırsızı”. Kimlik bilgileri, çerezler, kripto para cüzdanları, tarayıcı uzantıları ve iş ortakları tarafından tanımlanan kalıplara uyan belgeleri amaç alıyor.

Her iki berbat gayeli yazılım ailesi de hizmet olarak satılıyor ve darknet forumlarında tanıtılıyor. Her iki ekosistemde de iş ortakları, kendi sunucu altyapılarına kurulması gereken, kendi barındırdıkları bir idare paneli alırlar. Bu, iş ortaklarından belli bir seviyede teknik marifet gerektirir ve onlara kurban dataları ve yük dağıtımı üzerinde direkt denetim sağlar. Dağıtım sistemleri sonuncu olarak her bir iş ortağına bağlı olsa da ESET telemetri bilgileri her iki berbat gayeli yazılım ailesinin de çok çeşitli kanallar aracılığıyla yayıldığını dengeli bir formda göstermiştir. En yaygın teknikler arasında uydurma yazılım güncellemeleri, kırılmış yazılım yükleyicileri ve üçüncü taraf berbat hedefli yazılım yükleyicileri yer almaktadır.

Amadey, yine derleme başına ödeme modelini kullanıyor. Ortaklar bir lisans satın aldıktan sonra, yeni bir derleme oluşturmaları gerektiğinde (örneğin, yeni bir C&C sunucusuna geçiş yaparken) her seferinde ek bir fiyat ödüyor. Öbür bir deyişle Amadey operatörleri iş ortaklarına bir derleme aracı sağlamadı; bunun yerine, örnekler her iş ortağı için talep üzerine derlendi. Hizmet, daha fazla bilgi sızdırma ve erişim için üç modül sunar: Panoya izleme modülü, kimlik bilgisi hırsızlığı modülü ve VNC tabanlı uzaktan erişim modülü. Hizmetin tek bir lisans için fiyatı Bitcoin cinsinden 600 ABD dolarıdır ve her tekrar derleme için ek 50 ABD doları fiyat alınıyor.

Stealc ise iş ortaklarına daha dostça bir yaklaşım benimsemiş ve abonelik kapsamında sınırsız derleme oluşturma imkânı sunuyor. Bu, C&C altyapısını değiştirmenin operasyonel maliyetini düşürmüş ve iş ortaklarının muhtaçlık duydukları anda yeni örnekler oluşturmasını kolaylaştırıyor. Web tarayıcıları, e-posta istemcileri, FTP istemcileri, oyun platformları, kripto para cüzdanı belgeleri ve tarayıcı uzantıları tarafından depolanan kimlik bilgileri dâhil olmak üzere çok çeşitli data kaynaklarını hedefliyor. Stealc, aylık abonelik olarak satılıyor ve en ucuz abonelik altı ay için 1.000 ABD doları.

Kimlik sahtekârlığı dolandırıcılıklarından kaçınmaya çalışan her iki operatör de darknet forumlarındaki potansiyel iş ortaklarına kendileriyle sırf resmî kanallar aracılığıyla irtibata geçmeleri konusunda açıkça talimat verdi. Amadey, alıcıları eserin tanıtıldığı darknet forumundaki özel iletilere yönlendirirken Stealc ise darknet forumlarındaki özel iletileri yahut Telegram’ı kullandı.

ESET, her iki ailenin faaliyetlerini izlemeye devam edecek ve operasyonun durdurulmasının akabinde operasyonel altyapıyı yine kurma teşebbüslerini takip edecek.

 

Kaynak: (BYZHA) Beyaz Haber Ajansı