Yeni Blitz kötü amaçlı yazılım, Monero Miner’ı dağıtmak için Windows sunucularını hedefliyor

2024’te Blitz adında yeni bir Windows tabanlı kötü amaçlı yazılım tanımlandı ve 2025’in başlarında güncellenmiş bir sürüm tespit edildi.

Aldatıcı oyun hileleri ile aktif olarak geliştirilen ve dağıtılan bu kötü amaçlı yazılım, bilgi çalma ve hizmet reddi (DOS) yeteneklerinin yanı sıra bir Monero kripto para birimi madencisini dağıtarak önemli bir tehdit oluşturmaktadır.

Palo Alto Networks birimi 42 tarafından ayrıntılı analiz, Blitz’in iki aşamada bir indirici ve komuta ve kontrol (C2) altyapısı için sarılma yüz boşlukları gibi alışılmadık platformlardan yararlanan bir bot yükü kullandığını ortaya koyuyor.

– Reklamcılık –

Meşru AI kodu depolarının bu stratejik istismarı, özellikle oyun topluluğunda, şüphesiz kullanıcıları hedeflerken tespitten kaçınmayı amaçlayan siber suçluların gelişen taktiklerini vurgulamaktadır.

Teknik incelikler

Blitz kötü amaçlı yazılım, Nisan 2025’e kadar 100 milyondan fazla indirme yapan popüler mobil oyun Standoff 2 için öncelikle geri yüklenen oyun hileleri ile yayılıyor.

Elysium_crackby@sw1zzx_dev.zip ve nerest_crackby@sw1zzx_dev.zip adlı bu kötü niyetli paketler, Rusça konuşan bir kişi tarafından SW1ZZX kullanılarak işletilen bir telgraf kanalı aracılığıyla dağıtılır.

Yürütüldükten sonra, backdoured yürütülebilir ürünler, daha sonra Blitz botunu geri alan ve yükleyen Blitz Downloader’ı dağıtır.

Bu bot, Keylogging, ekran görüntüsü yakalama ve web sunucularına karşı DOS saldırıları gibi gelişmiş özelliklerle donatılmıştır.

Ayrıca, kötü amaçlı yazılım, sanal ortamlarda algılanmayı önlemek için zamanlama döngüsü yinelemeleri ve yüzen nokta öğretim kontrolleri gibi gelişmiş sandbox karşıtı teknikler kullanır.

Sarılma yüz boşluklarının C2 ana bilgisayar olarak kullanılması, Bot yükünü ve Monero kripto para birimini benimsemek için explorer.exe enjekte edilen bir XMRIG madencisini depoladığı için özellikle dikkat çekicidir.

Kötü amaçlı yazılım, FastaPi çerçevesi üzerine inşa edilmiş bir REST API ile iletişim kurar ve uç noktalar kurban kaydı ve 26 ülkede 289 enfeksiyonda 289 enfeksiyonda, ağırlıklı olarak Rusya, Ukrayna ve Belarus’ta komuta yürütmeyi kolaylaştırır.

Sonuçlar

Blitz’in sonuçları, özellikle Windows kayıt defteri girişleri aracılığıyla devam etme ve runtimeBroker.exe gibi meşru süreçlere yükleri enjekte etme yeteneği göz önüne alındığında şiddetlidir.

Kötü amaçlı yazılım operatörünün Mayıs 2025’in başlarında, kısmen etkili bir kaldırma aracının eşlik ettiği iddia edildiği iddiası, bu tehdidin geleceği hakkında sorular gündeme getiriyor.

Bununla birlikte, 2024’ün sonlarından itibaren trojanize montajcılar ve anlaşmazlık kanalları aracılığıyla yayılan önceki bir versiyon da dahil olmak üzere Blitz’in tarihsel evrimi, bu tür tehditlerin yeni kılavuzlar altında yeniden ortaya çıkabileceğini düşündürmektedir.

Palo Alto Networks, Blitz ile ilgili faaliyetleri tespit eden ve hafifleten gelişmiş orman yangını, gelişmiş tehdit önleme ve Cortex XDR gibi ürünlerle savunmaları güçlendirdi.

Kuruluşlar, çatlak yazılımlardan kaçınmaları ve oyun topluluklarını hedefleyen sosyal mühendislik taktiklerine karşı uyanık kalmaları istenir.

Uzlaşma Göstergeleri (IOC)

Siber güvenlik becerilerinizi yükseltmek için 150’den fazla pratik siber güvenlik kursuyla elmas üyeliği alın – buraya kaydolun