Sahte GTA 6 PC indirmesi WARDEN Stealer kuruyor: hedefte Steam ve Roblox hesapları ile kripto cüzdanlar var
Cynet araştırmacıları, bir Google Colab not defterindeki "GTA 6 EXE" bağlantısının WARDEN Stealer yükleyicisine çıktığını bildirdi. Dosyanın yanındaki README, kullanıcıdan antivirüs istisnası eklemesini istiyor.
Yılın en çok beklenen oyunu çıkmadan önce "PC sürümü" vaat eden sahte indirme sayfaları ortaya çıktı. Güvenlik şirketi Cynet'in araştırmacıları, "GTA 6 EXE file download" yazan bir bağlantıyı takip ettiklerinde oyun yerine WARDEN Stealer adlı bir infostealer'ın yükleyicisiyle karşılaştı. Bulguları Help Net Security 13 Kasım'da aktardı.
Help Net Security'nin haberine göre Grand Theft Auto VI 19 Kasım'da çıkıyor ve PC sürümü yok. Yani bugün PC kurulum dosyası sunan her site, oyundan başka bir şey dağıtıyor.
Tuzak nasıl kurulmuş?
Araştırmacıların izlediği zincir bir Google Colab not defterinde başlıyor. Not defterindeki bağlantı, "Windows Software Hub" adını taşıyan bir sayfaya gidiyor. Sayfa güven vermek için kurgulanmış: sürüm numarası, indirme sayacı ve "Virus Free", "Secure", "Verified" rozetleri var. Sayfada 72 MB'lık bir indirme vaat ediliyor.
İnen ZIP arşivinin içinden ise yalnızca iki dosya çıkıyor: 796 KB'lık bir çalıştırılabilir dosya ve 1 KB'lık bir README. Haberde boyut farkının tek başına kanıt sayılmayacağı, asıl ipucunun README olduğu belirtiliyor. Bu metin kullanıcıdan üç şey istiyor:
- dosyayı yönetici olarak çalıştırmasını,
- çıkan güvenlik uyarısını geçmesini,
- dosya engellenirse antivirüste istisna tanımlamasını.
Not defterinin ya da sayfanın kullanıcılara hangi yolla ulaştırıldığı (reklam, arama sonucu, sosyal medya) haberde yer almıyor. Kaç kişinin etkilendiğine dair bir sayı da verilmiyor; kampanya belirli bir threat actor'a atfedilmiş değil.
Zararlı ne yapıyor?
Cynet'e göre dosyada oyun motoru, oyun içeriği ya da Rockstar imzası bulunmuyor. Bunun yerine:
- kayıtlı parolaları ve tarayıcı çerezlerini topluyor,
- Steam ve Roblox hesap bilgilerini hedef alıyor,
- kripto cüzdan verilerini arıyor,
- panoya kopyalanan kripto adreslerini saldırganın adresiyle değiştiriyor,
- tarayıcı süreçlerine kod enjekte ediyor,
- sanal makinede ya da sandbox'ta çalışıp çalışmadığını kontrol ediyor,
- ek zararlı yazılım indirebiliyor.
Araştırmacılar olası komuta kontrol sunucusu olarak uroker[.]casa alan adını gösterdi ve iki dosyanın SHA-256 değerlerini yayımladı. Raporda bir IP adresi de geçiyor; ancak Cynet bu adresin paylaşımlı bir Cloudflare adresi olduğunu, engellenmesinin meşru siteleri de etkileyebileceğini belirtiyor.
Neden önemli?
Çalınan tarayıcı çerezleri, parola ve MFA sorulmadan oturum açmaya yarayabiliyor. Evdeki oyun bilgisayarı çoğu zaman iş e-postasına, VPN'e ya da kurumsal SaaS hesaplarına da giriyor; bu yüzden "oyuncuya yönelik" bir infostealer, kurumlar için de initial access kaynağı olabiliyor. Sitede bugün yayımlanan Avrupa'daki okullara gönderilen bomba ihbarı e-postaları haberinde de izler infostealer ile çalınmış hesaplara çıkıyordu.
Ne yapılmalı?
- Oyunları yalnızca yayıncının resmi mağazasından ve resmi platformlardan edinin. Çıkış tarihinden önce "erken erişim", "crack" ya da "PC sürümü" sunan sayfalara güvenmeyin.
- Bir kurulum yönergesi antivirüsü kapatmanızı ya da istisna eklemenizi istiyorsa durun; meşru bir oyun bunu istemez.
- Böyle bir dosyayı çalıştırdıysanız parolalarınızı başka bir cihazdan değiştirin, Steam, Roblox, e-posta ve borsa hesaplarındaki açık oturumları sonlandırın, MFA'yı açın.
- Kripto gönderirken yapıştırdığınız adresi alıcı adresiyle karakter karakter karşılaştırın.
- Kurumsal ekipler: Cynet raporundaki alan adını ve hash değerlerini EDR ve DNS kayıtlarında arayın; paylaşımlı Cloudflare IP'sini engelleme listesine almayın. Kişisel cihazdan kurumsal hesaba girilen ortamlarda oturum sürelerini ve cihaz uyumluluk koşullarını gözden geçirin.
- Çocukların kullandığı bilgisayarlarda yönetici yetkisi olmayan ayrı bir kullanıcı hesabı tanımlayın.
