Beyaz Yılan Hırsızı Windows ve Linux Sistemlerine Saldırıyor

Beyaz yılan hırsızı, artık hem Windows hem de Linux platformlarını hedefleyebilen gelişmiş özelliklere sahip bir bilgi hırsızı, kullanıcı gizliliği ve güvenliği için önemli bir tehdit oluşturuyor.

Bilgi hırsızları, bilgisayar sistemlerine sızacak ve kişisel bilgiler, oturum açma kimlik bilgileri, finansal ayrıntılar vb. dahil olmak üzere kritik verileri alacak şekilde oluşturulur.

Çalınan veriler genellikle karanlık ağda satılır veya kimlik hırsızlığı, mali dolandırıcılık, kurumsal casusluk veya şantaj gibi yasa dışı faaliyetler için kullanılır.

Quick Heal’deki son gönderiye göre, White Snake Stealer 1.6’nın güncellenmiş sürümü, tarayıcı desteği, e-posta istemcisi uyumluluğu vb.

Güncellenmiş White Snake Stealer’ın özellikleri

• Kötü amaçlı yazılım Opera, CocCoc, CentBrowser ve Yandex ile uyumludur ve hassas verileri daha geniş bir kullanıcı tabanından çıkarmasına olanak tanır.
• Aşağıdaki e-posta istemcileri Outlook, Foxmail ve ‘The BAT!’ üzerinde desteklenebilir.
• 2FA uygulamaları ve VPN uygulamalarından bilgileri hedefleyebilir ve çıkarabilir
• Tuş vuruşlarını kaydederek, web kamerası görüntülerini yakalayarak ve belirli belge türlerini toplayarak kullanıcı verilerini kolayca tehlikeye atmasına olanak tanıyan tuş günlüğü, web kamerası yakalama ve belge yakalama gibi gelişmiş özellikler dahil edilmiştir.
• Talimatların alınmasına, çalınan verilerin iletilmesine ve ek yüklerin indirilmesine izin vererek C2 sunucusuyla iletişim kurabilir.
• İlgi çekici dosyaları kurbanın makinesinden toplayabilir ve sızdırabilir.
• USB flash sürücüler ve harici sabit sürücüler gibi çıkarılabilir sürücülere kopyalar yaparak USB aygıtları aracılığıyla yayılabilir.
• Kendini başlangıç ​​klasörlerine kopyalayarak yerel kullanıcılar arasında yayılabilir, kullanıcı oturum açtığında veya sistem yeniden başlatıldığında otomatik yürütme sağlar ve güvenliği ihlal edilmiş sistem içinde yayılmasını kolaylaştırır.

Beyaz Yılan Hırsızı Gizleme Teknikleri

Gizlemek için kötü amaçlı yazılıma gelişmiş kod gizleme teknikleri dahil edilmiştir. Bu kasıtlı karartma teknikleri, hırsızın analizini daha da karmaşık hale getiriyor.

Hırsızın ana () yönteminin yürütülmesi sırasında, kötü amaçlı yazılımın sanal ortamda çalışmasını önlemek için Anti VM yöntemi çağrılır.

Bu işlev, sistemin “Üretici” ve “Model” bilgilerini almak için Windows Yönetim Araçları (WMI) sorgularını kullanır.

Daha sonra, bu ayrıntıları VM’lerle ilişkili önceden tanımlanmış dizelerle karşılaştırır. Bir eşleşme algılanırsa, kötü amaçlı yazılım devam etmeden sonlandırılır.

Bundan sonra, hırsız kendini Appdata dizininde çoğaltır ve zamanlanmış bir görev oluşturur. Daha sonra, izlerini kapatmak için orijinal dosyayı kaldırır.

Hırsızın güncellenmiş sürümü artık TOR’u indirip yükleyebilir ve “HiddenServicePort 80 127.0.0.1:2392” yapılandırma yönergesini kullanır.

Bu yönerge, 80 numaralı bağlantı noktasındaki gizli hizmete gelen isteklerin yerel makinede rastgele oluşturulmuş bir bağlantı noktasına (2392) yönlendirileceğini belirtir.

Kötü amaçlı yazılım, gelen istekleri işlemekten sorumlu bir HTTP dinleyici hizmetini çalıştırmak için bu yeniden yönlendirilen bağlantı noktasını kullanır.

İşaret işlevi, TOR ile kurbanın sistemindeki açık bir bağlantı noktası arasında bir bağlantı kurularak uygulanır.

Gizli servis için benzersiz tanımlayıcı olarak hizmet veren soğan adresi, TOR konfigürasyon dosyasındaki “HiddenServiceDir” konfigürasyon direktifi tarafından belirtilen dizin içindeki bir dosyada üretilir ve saklanır.

Saldırgan, TOR ağı üzerinden bu soğan adresini kullanarak gizli hizmete bağlanır.

Saldırgan, HTTPListener() tarafından kolaylaştırılan bu iletişim kanalı aracılığıyla komutlar verebilir veya çalınan verileri sızdırabilir.

Veriler toplandıktan sonra, onu serileştirilmiş bir formata dönüştürmek için XmlSerializer kullanıldı. Ardından, serileştirilmiş veriler RSA şifreleme algoritması kullanılarak sıkıştırılır.

Son olarak, toplanan bilgilere dosya adı (ör. Kullanıcıadı@Bilgisayaradı_report.wsr) dahil olmak üzere etiketler ekler.

Kötü amaçlı yazılım, PUT HTTP yöntemiyle WebClient sınıfının ‘uploadData’ yöntemini kullanarak saldırgan tarafından kontrol edilen önceden belirlenmiş bir sunucuya bağlantı kurar.

Bu, saldırganın virüslü sistemlerden çalınan bilgileri almasına olanak tanır. Kötü amaçlı yazılım, Telegram BOT API’sine bir HTTP GET isteği yürüterek saldırganı bir Telegram sohbeti aracılığıyla bilgilendirir.

Uzlaşma Göstergeleri (IOC’ler)

“Yapay zeka tabanlı e-posta güvenlik önlemleri İşletmenizi E-posta Tehditlerinden Koruyun!” – Ücretsiz Demo İsteyin.