Sahte Oyun Kampanyası Nasıl Çalışıyor: RenPy Loader, MSBuild ve EtherHiding Açıklaması

Malwarebytes güvenlik araştırmacıları, pek çok oyuncunun hiç düşünmeden güvendiği bir şeyin arkasına gizlenen bir kötü amaçlı yazılım kampanyasını ortaya çıkardı: Ren'Py motoruyla geliştirilmiş bağımsız bir oyun. Ren'Py, görsel roman tarzı oyunlar oluşturmak için kullanılan meşru ve yaygın bir araçtır, bu yüzden de bu kadar ikna edici bir kamuflaj oluşturuyor. Saldırganlar, RenPy Loader adı verilen bir yükleyiciyi, normal indirilebilir bir oyun gibi görünen ve davranan oyun dosyalarının içine paketliyor.

Kurban sahte oyunu çalıştırdığında, yükleyici sessizce MSBuild aracını kötüye kullanıyor. MSBuild, birçok Windows makinesinde kod derlemek için zaten yüklü olan meşru bir Microsoft geliştirme aracıdır. MSBuild, güvenilir ve imzalı bir Windows bileşeni olduğu için, güvenlik araçlarının onun üzerinden yürütülen etkinlikleri işaretleme olasılığı daha düşüktür; bu da kötü amaçlı yükün, bağımsız bir çalıştırılabilir dosyaya kıyasla daha az incelemeyle çalışmasına olanak tanır.

Kampanya ayrıca EtherHiding adı verilen bir tekniğe de dayanıyor. Bu teknikte kötü amaçlı kod veya yapılandırma verileri blok zinciri işlemlerinin veya akıllı sözleşmelerin içine gizleniyor. Saldırganlar, kapatılabilecek veya kara listeye alınabilecek bir sunucuda talimat barındırmak yerine, savunmacıların engellemesi çok daha zor olan merkeziyetsiz altyapıdan komutları çekebiliyor. Güvenilir bir oyun motoru, güvenilir bir derleme aracı ve blok zinciri tabanlı gizlemenin bir zincir halinde birleştirilmesi, bu kampanyayı dikkat çekici kılıyor: her bir parça kendi başına sıradan görünüyor, ancak birlikte Amatera Stealer için bir dağıtım hattı oluşturuyorlar.

Amatera Stealer Enfekte Cihazlardan Gerçekte Ne Alıyor?

Amatera Stealer bu zincirdeki son yüktür ve görevi basittir: enfekte makineden değerli olan her şeyi toplamak. Bu tür hırsız kötü amaçlı yazılımlar genellikle kayıtlı tarayıcı şifrelerini, otomatik doldurma verilerini, kripto para cüzdan dosyalarını, oturum çerezlerini ve oyun, e-posta veya sosyal hesaplara ait kimlik bilgilerini çalmak için tasarlanmıştır. Toplandıktan sonra bu veriler saldırgana gönderilir; saldırgan bunları satabilir, hesap ele geçirmek için kullanabilir veya başka kampanyalara dahil edebilir.

Amatera gibi hırsızları tehlikeli yapan şey, fidye yazılımı tarzı gösterişli bir kesinti değil; sessiz, sinsi bir hırsızlıktır. Kurban sahte oyunu oynamaya günlerce devam edebilir ve hiçbir şeyin yanlış olduğuna dair görünür bir işaret almazken, giriş bilgileri ve cüzdan verileri çoktan başkasının eline geçmiştir. Yetkisiz girişler veya boşaltılmış hesaplar ortaya çıktığında, kötü amaçlı yazılım genellikle işini çoktan yapmış ve yoluna devam etmiştir.

Kötü Amaçlı Yazılım Çalıştırıldıktan Sonra VPN Sizi Neden Korumaz?

Pek çok oyuncunun yanlış anladığı bir konuda net olmakta fayda var: bir VPN antivirüs değildir ve bu tür bir bulaşmayı durduramaz. VPN, internet trafiğinizi şifreler ve IP adresinizi maskeler; bu, gizlilik, bölgesel engelleri aşmak ve halka açık Wi-Fi'de maruziyeti azaltmak için gerçekten yararlıdır. Ancak, kötü amaçlı bir dosyayı gönüllü olarak indirip çalıştırdıktan sonra bunların hiçbir önemi kalmaz. Kötü amaçlı yazılım cihazınızda yerel olarak çalışır, kayıtlı şifrelerinizi ve dosyalarınızı yerel olarak okur ve yalnızca çaldıklarını dışarı sızdırmaya hazır olduğunda ağa dokunur; bu noktada VPN, hırsızlığı engellemek yerine sadece aktarım sırasında şifreler.

Bu ayrım, gecikmeyi azaltmak veya bölge kilitli içeriğe erişmek gibi meşru nedenlerle zaten VPN kullanan oyuncular için bile önemlidir. Belirli bir oyun için seçenek araştırıyorsanız, Roblox için En İyi VPN rehberi gibi kaynaklar bağlantı kalitesi ve engel kaldırma konusunda yardımcı olabilir, ancak bu, kimlik bilgisi çalan kötü amaçlı yazılımlara karşı korunmaktan ayrı bir karardır. İki sorun farklı araçlar gerektirir: ağ düzeyinde gizlilik için VPN, kötü amaçlı yazılımlar için ise güvenli indirme alışkanlıkları ve uç nokta güvenliği.

Oyuncuların Kimlik Bilgisi Çalan Kötü Amaçlı Yazılımlardan Kaçınmak İçin Güvenli İndirme Alışkanlıkları

Bu kampanya oyuncuları bir dosyayı çalıştırmaları için kandırmaya dayandığından, en güçlü savunma teknik değil davranışsaldır. Birkaç alışkanlık uzun bir yol kat eder:

  • Oyunları yalnızca resmi mağazalardan veya geliştiricinin doğrulanmış web sitesinden indirin ve Discord sunucularında, forum gönderilerinde veya "bir oyunu denemenizi" isteyen istenmeyen DM'lerde paylaşılan bağlantılara şüpheyle yaklaşın.
  • Özellikle Ren'Py gibi normalde ayrı derleme araçlarına ihtiyaç duymasını beklemeyeceğiniz bir oyun motoruyla birlikte gelenler olmak üzere, tanımadığınız çalıştırılabilir dosyaları çalıştırmadan önce dosya özelliklerini ve dijital imzaları kontrol edin.
  • Antivirüs ve uç nokta korumasını aktif ve güncel tutun, çünkü bunlar teslimat yöntemi yeni olsa bile bilinen hırsız imzalarını yakalayabilir.
  • Olağandışı izinler isteyen veya kendinizin yüklemediği MSBuild veya benzer geliştirme araçlarını çağırmak da dahil olmak üzere beklenmedik arka plan işlemlerini tetikleyen oyunlara karşı dikkatli olun.
  • Güvenilir bir şifre yöneticisinde saklanan benzersiz, güçlü şifreler kullanın, tarayıcıda kaydetmek yerine; böylece tek bir hırsız bulaşması sahip olduğunuz her hesabın kilidini açamaz.

Bu Sizin İçin Ne Anlama Geliyor?

Burada açıklanan sahte oyunlar kötü amaçlı yazılım hırsız kampanyası, ister bir oyun motoru, ister bir derleme yardımcı programı, ister bir blok zinciri olsun, tanıdık bir araca duyulan güvenin, savunmacıların tehditleri nasıl aradığını anlayan saldırganlar tarafından silah haline getirilebileceğini hatırlatıyor. Oyuncuların panik yapmasına gerek yok, ancak resmi olmayan indirmelere, yabancılardan gelen e-posta eklerine gösterdikleri özeni göstermeleri gerekiyor.

Sonuç Olarak

Oyun indirmeleri için doğrulanmış kaynaklara bağlı kalın, güvenlik yazılımınızı güncel tutun ve bir VPN'in cihazınızı değil, bağlantınızı koruduğunu unutmayın. Bir şey sizden bilmediğiniz bir bağlantıdan bir yükleyici çalıştırmanızı isterse, tıklamadan önce duraklayın ve doğrulayın. Bu tek alışkanlık, bunun gibi kampanyalara karşı herhangi bir güvenlik yazılımından daha etkilidir.