Stantinko botneti’nin yaklaşık yarım milyon bilgisayarı kontrol eden ve en az 2012’den beri aktif olan operatörleri, temel olarak Rusya, Ukrayna, Belarus ve Kazakistan’daki kullanıcıları hedef alsa da artık genişleyerek yeni bir iş modeline geçti.
Araştırmayı yürüten ESET analisti Vladislav Hrčka, “Yıllarca tıklama sahteciliği, reklam ekleme, sosyal medya sahteciliği ve kimlik bilgisi hırsızlığı ile ilerleyen Stantinko, Monero madenciliğine başladı. Stantinko operatörleri, en az Ağustos 2018’den beri, kontrol ettikleri bilgisayarlara kripto para madenciliği modülü dağıtıyorlar” şeklinde konuştu.
ESET güvenlik ürünlerinin “CoinMiner.Stantinko“ olarak belirlediği botnet kripto para madenciliği modülü; xmr-stak açık kaynak kripto para madencisinin yüksek derecede değiştirilmiş bir versiyonu. Bu modülün en önemli özelliği, analizi önlemek ve algılamadan kaçınmak için kullandığı gizlenme yöntemi.
Hrčka, “Rastgele denebilecek şekilde kaynak düzeyinde gizlenme kullanılması ve botnet operatörlerinin her yeni kurban için bu modülü ayrı olarak derlemesi sayesinde; modülün her örneği benzersiz hale geliyor” diyerek durumu açıkladı.
Youtube’u bile kullanıyorCoinMiner.Stantinko, gizlenmenin yanı sıra bazı ilginç numaralar da kullanıyor. İletişimini gizlemek amacıyla modül, kendi madencilik havuzuyla doğrudan iletişim kurmak yerine IP adresleri YouTube videolarının açıklama metinlerinden alınan vekil sunucularla iletişim kuruyor. Yakın zamanda ESET araştırmacıları tarafından analiz Casbaneiro kötü amaçlı bankacılık yazılımında da benzer şekilde YouTube videolarının açıklamalarında veri gizleme tekniği kullanılmıştı. Hrčka; “YouTube’u bu kötüye kullanım hakkında bilgilendirdik ve bu tür videolara sahip kanallar kapatıldı” açıklamasını yaptı.
Kurbanları şüphelendirmemek için...CoinMiner.Stantinko, kurbanları şüphelendirmemek adına, bilgisayar batarya gücüyle çalıştığında veya görev yöneticisi algılandığında kripto para madenciliği işlevini askıya alıyor. Ayrıca bilgisayarda başka kripto para madenciliği uygulamaları olup olmadığını denetliyor ve sonuçta bunları da askıya alıyor. Güvenlik yazılımlarını bulmak amacıyla CoinMiner.Stantinko çalışan işlemleri de tarıyor.
Yükleme yeteneği varVladislav Hrčka şu uyarıyı yapıyor: “CoinMiner.Stantinko karşılaşabileceğiniz en tehlikeli kötü amaçlı yazılım olmasa da bilgisayarınızın suçlulara para kazandırmakla meşgul olması, en hafif tabirle sinir bozucu. Daha vahim olan şey ise botnetin istediği zaman kurbanların bilgisayarına başka, belki de daha tehlikeli kötü amaçlı yazılımlar yükleyebilecek olması.”