Stantinko botneti’nin yaklaşık yarım milyon bilgisayarı kontrol eden ve en az 2012’den beri aktif olan operatörleri, temel olarak Rusya, Ukrayna, Belarus ve Kazakistan’daki kullanıcıları hedef alsa da artık genişleyerek yeni bir iş modeline geçti.
Araştırmayı yürüten ESET analisti Vladislav Hrčka, “Yıllarca tıklama sahteciliği, reklam ekleme, sosyal medya sahteciliği ve kimlik bilgisi hırsızlığı ile ilerleyen Stantinko, Monero madenciliğine başladı. Stantinko operatörleri, en az Ağustos 2018’den
beri, kontrol ettikleri bilgisayarlara kripto para madenciliği modülü dağıtıyorlar” şeklinde konuştu.
SIRADIŞI GİZLENME YÖNTEMİNE SAHİP
ESET güvenlik ürünlerinin “CoinMiner.Stantinko“ olarak belirlediği Stantinko kripto para madenciliği modülü, xmr-stak açık kaynak kripto para madencisinin yüksek derecede değiştirilmiş bir versiyonu. Bu modülün en önemli özelliği, analizi önlemek ve algılamadan kaçınmak için kullandığı gizlenme yöntemi.
Hrčka, “Rastgele denebilecek şekilde kaynak düzeyinde gizlenme kullanılması ve Stantinko operatörlerinin her yeni kurban için bu modülü ayrı olarak derlemesi sayesinde, modülün her örneği benzersiz hale geliyor” diyerek durumu açıkladı.
SAKLANMAK İÇİN YOUTUBE'U BİLE KULLANIYOR
CoinMiner.Stantinko, gizlenmenin yanı sıra bazı ilginç numaralar da kullanıyor. İletişimini gizlemek amacıyla modül, kendi madencilik havuzuyla doğrudan iletişim kurmak yerine IP adresleri YouTube videolarının açıklama metinlerinden alınan vekil sunucularla iletişim kuruyor. Yakın zamanda ESET araştırmacıları tarafından analiz Casbaneiro kötü amaçlı bankacılık yazılımında da benzer şekilde YouTube videolarının açıklamalarında veri gizleme tekniği kullanılmıştı. Hrčka, “YouTube’u bu kötüye kullanım hakkında bilgilendirdik ve bu tür videolara sahip kanallar kapatıldı” açıklamasını yaptı.
KURBANLARINI ŞÜPHELENDİRMEMEK İÇİN GEREKİRSE ÇALIŞMALARINA ARA VERİYOR
CoinMiner.Stantinko, kurbanları şüphelendirmemek adına, bilgisayar batarya gücüyle çalıştığında veya görev yöneticisi algılandığında kripto para madenciliği işlevini askıya alıyor. Ayrıca bilgisayarda başka kripto para madenciliği uygulamaları olup olmadığını denetliyor ve sonuçta bunları da askıya alıyor. Güvenlik yazılımlarını bulmak amacıyla CoinMiner.Stantinko çalışan işlemleri de tarıyor.
BAŞKA KÖTÜ AMAÇLI YAZILIMLARI DA YÜKLEME YETENEĞİ VAR
Vladislav Hrčka şu uyarıyı yapıyor:
“CoinMiner.Stantinko karşılaşabileceğiniz en tehlikeli kötü amaçlı yazılım olmasa da bilgisayarınızın suçlulara para kazandırmakla meşgul olması, en hafif tabirle sinir bozucu. Daha vahim olan şey ise Stantinko’nun istediği zaman kurbanların bilgisayarına başka, belki de daha tehlikeli kötü amaçlı yazılımlar yükleyebilecek olması.”
