NordVPN’in Threat Intelligence araştırma ekibi, PC’de PlayStation 5 (PS5) oyunlarını çalıştırdığını iddia eden iki popüler GitHub deposunun aslında kötü amaçlı yazılım dağıttığını ortaya çıkardı. AnyPS5 ve Kyttyps5 adlı projeler taklit edilerek oluşturulan sahte depolar, kullanıcıları Windows yürütülebilir dosyası içeren bir zip dosyası indirmeye yönlendiriyor. Bu dosya çalıştırıldığında gizli bir uygulama açılıyor ve çok aşamalı bir yükleyici devreye giriyor.
Kötü amaçlı yazılım nasıl çalışıyor?
Yükleyici, önce çalıştığı sistemin gerçek bir oyuncu bilgisayarı mı yoksa güvenlik araştırmacılarına ait bir test ortamı mı olduğunu anlamak için kontroller yapıyor: RAM miktarı 2GB’den azsa, sanal makine veya bulut sunucusu tespit edilirse ya da fiziksel bir ekran kartı (GPU) bulunamazsa yazılım devreye girmiyor. Gerçek bir hedef tespit edildiğinde ise program kendini Windows Defender‘ın hariç tutma listesine ekleyerek antivirüs taramasından kaçıyor. Yükün, ticari bir “packer” ile korunan ve şifreler dahil hassas verileri çalan bir bilgi hırsızı (infostealer) olduğu düşünülüyor. Kötü amaçlı dosyalar sahte şirket adlarıyla imzalanmış sertifikalar taşıyor ve bu sertifikalar yazılımın oluşturulduğu gün hazırlanmış. NordVPN CTO’su Marijus Briedis, “Emülasyon hayranları mükemmel bir hedef; deneysel yazılımları GitHub’dan indirmeye ve imzasız dosyalar çalıştırmaya alışkınlar” diyerek dolandırıcıların neden bu yöntemi seçtiğini açıklıyor.
İzler neden bu kadar hızlı siliniyor?
Kötü amaçlı yazılımın en dikkat çekici özelliklerinden biri, bulaşmadan yalnızca 2 dakika sonra bir temizlik betiği çalıştırarak kendi izlerini silmesi. Bu durum, araştırmacıların kampanyanın otomatikleştirilmiş olabileceğini düşünmesine neden oluyor. GitHub depolarının da hızla değiştirilip yenilendiği belirtiliyor; bu da saldırganların GitHub’ı tek dağıtım kanalı olarak kullanmayabileceğine işaret ediyor. Etkilenen oyuncu sayısı henüz netlik kazanmadı.
Bunlar da İlginizi Çekebilir
Emülasyon ilgisi neden arttı?
Son aylarda PC’de PS5 emülasyonuna yönelik ilgi belirgin biçimde yükseldi. Astro Bot ve Demon’s Souls Remake gibi PS5’e özel oyunların PC’de çalıştırıldığı görüntüler paylaşıldı, Sony ise geçen hafta PS5 için yeni bir firmware güncellemesi yayımladı. Bazı yorumculara göre bu güncelleme, homebrew topluluğunun jailbreak çabalarını engellemeyi hedefliyor olabilir; ancak bu henüz doğrulanmış bir bilgi değil. Önümüzdeki ay piyasaya çıkması beklenen GTA 6’nın da emülasyona olan ilgiyi daha da artırabileceği öngörülüyor. Türkiye’deki PS5 kullanıcıları için şu an resmi bir uyarı bulunmasa da, GitHub üzerinden emülatör ya da benzeri araçları indiren herkesin dosya kaynağını dikkatle doğrulaması, imzasız yürütülebilir dosyalardan kaçınması öneriliyor. Bu tür kampanyaların kısa sürede yeni sahte depolarla tekrarlanması muhtemel görünüyor.
Kaynaklar:
YORUMLAR
(0)