Kötü amaçlı yazılım kampanyası Discord ve YouTube'u araç olarak kullanıyor

Acronis Tehdit Araştırma Birimi, Discord ve YouTube üzerinden yayılan yeni bir kötü amaçlı yazılım kampanyasını ortaya çıkardı. Leet Stealer, RMC Stealer ve Sniffer Stealer gibi bilgi hırsızları, oyuncu kılığındaki kurbanları hedef alıyor. Bu yazılımlar, Baruda Quest, Warstorm Fire ve Dire Talon gibi sahte oyun yükleyicileriyle yayılıyor. Saldırganlar, meşru oyunlara ait isim ve görsellerle sahte web siteleri oluşturuyor. Kullanıcılar, bu sahte siteler aracılığıyla kötü amaçlı .exe dosyalarını indiriyor. Kurulumdan sonra sistem, tarayıcı verileri, Discord token’ları ve hesap bilgilerini çalıyor.

Dağıtım stratejisi, özellikle genç kullanıcıların yoğun olduğu Discord topluluklarını hedef alıyor. Bağlantılar genellikle Discord CDN veya Dropbox gibi güvenilir platformlar aracılığıyla sunuluyor. Özellikle Brezilya kaynaklı çok dilli içerikler, bu kampanyanın küresel ölçekte yürütüldüğünü gösteriyor. YouTube videoları ve sahte tanıtım görselleriyle desteklenen bu kampanya, kullanıcıları indirme konusunda ikna etmeye çalışıyor. Özellikle Baruda Quest sahte oyununda, yalnızca Windows sürümünde zararlı yazılım yerleştirilmiş durumda. Mac ve Android sürümleri ise dikkat çekmemek için temiz bırakılıyor.

Tehlike Göstergeleri (IoC)

Aşağıdaki tabloda, kampanya kapsamında tespit edilen dosyalar, ait oldukları kötü amaçlı yazılım ailesi ve SHA256 karmaları listelenmiştir:

Hedef: Hesap ele geçirme ve hassas verileri çalmak

Kampanya kapsamındaki bazı zararlı yazılımlar, Electron tabanlı yazılım çerçevesi ile oluşturulmuş. Bu, yazılımların platformlar arası çalışabilmesini sağlıyor ve kolayca paketlenebiliyor. Nullsoft Scriptable Install System (NSIS) ile hazırlanan kurulum dosyaları, içerisine gizlenen kötü amaçlı JavaScript kodlarıyla çalışıyor. Bu kodlar, sistemin sanal ortamda olup olmadığını algılayabiliyor ve gerekli durumda yürütmeyi durdurabiliyor. Eğer kurbanın bilgisayarı fiziksel bir cihazsa, tarayıcıyı hata ayıklama modunda açarak parolaları, çerezleri ve form verilerini topluyor. Toplanan veriler sıkıştırılarak gofile.io gibi platformlar üzerinden dışarı aktarılıyor.

Bu kampanyada yalnızca tarayıcılar değil, aynı zamanda popüler platformlar da hedef alınıyor. Steam, Minecraft, WhatsApp, Telegram ve BetterDiscord gibi uygulamalardan da veri toplanabiliyor. Discord belirteçleri sayesinde hesaplar doğrudan ele geçirilebiliyor. Bu da kötü niyetli kişilerin kullanıcı adına mesaj göndermesine ve dolandırıcılık yapmasına yol açıyor. Ayrıca, bazı zararlı yazılımların sahte hata mesajları göstererek kurbanı oyaladığı tespit edildi. RMC Stealer örneğinde, açıkta kalan kaynak kodu üzerinden sistemin kaçınma mekanizması analiz edildi. 2 GB’tan az RAM tespitiyle birlikte, bazı sanal sistemlerde yürütme otomatik olarak sonlandırılıyor.