ESET Araştırmacıları, botnetin arkasındaki suçluların, kontrol ettikleri bilgisayarlara kripto para madenciliği modülü eklediklerini tespit etti. Suçlular, başkalarının kaynaklarını kullanarak Monero üretmeye çalışıyorlar.
Stantinko botneti’nin yaklaşık yarım milyon bilgisayarı kontrol eden ve en az 2012’den beri aktif olan operatörleri, temel olarak Rusya, Ukrayna, Belarus ve Kazakistan’daki kullanıcıları hedef alsa da artık genişleyerek yeni bir iş modeline geçti.
SIRADIŞI GİZLENME YÖNTEMİNE SAHİP
ESET güvenlik ürünlerinin “CoinMiner.Stantinko“ olarak belirlediği Stantinko kripto para madenciliği modülü, xmr-stak açık kaynak kripto para madencisinin yüksek derecede değiştirilmiş bir versiyonu. Bu modülün en önemli özelliği, analizi önlemek ve algılamadan kaçınmak için kullandığı gizlenme yöntemi.
SAKLANMAK İÇİN YOUTUBE'U BİLE KULLANIYOR
CoinMiner.Stantinko, gizlenmenin yanı sıra bazı ilginç numaralar da kullanıyor. İletişimini gizlemek amacıyla modül, kendi madencilik havuzuyla doğrudan iletişim kurmak yerine IP adresleri YouTube videolarının açıklama metinlerinden alınan vekil sunucularla iletişim kuruyor. Yakın zamanda ESET araştırmacıları tarafından analiz edilen Casbaneiro kötü amaçlı bankacılık yazılımında da benzer şekilde YouTube videolarının açıklamalarında veri gizleme tekniği kullanılmıştı.
KURBANLARI ŞÜPHELENDİRMEMEK İÇİN GEREKİRSE ÇALIŞMALARINA ARA VERİYOR
CoinMiner.Stantinko, kurbanları şüphelendirmemek adına, bilgisayar batarya gücüyle çalıştığında veya görev yöneticisi algılandığında kripto para madenciliği işlevini askıya alıyor. Ayrıca bilgisayarda başka kripto para madenciliği uygulamaları olup olmadığını denetliyor ve sonuçta bunları da askıya alıyor. Güvenlik yazılımlarını bulmak amacıyla CoinMiner.Stantinko çalışan işlemleri de tarıyor.