Siber güvenlik şirketi ESET, son iki yılın en yaygın bilgi hırsızlarından biri olan Lumma Stealer’ı engellemek için global olarak koordine edilen bir operasyonda yer aldı. Microsoft tarafından yönetilen operasyon, geçtiğimiz yıldan bilinen tüm C&C sunucuları da dahil olmak üzere Lumma Stealer altyapısını amaç aldı ve botnet’i büyük ölçüde çalışamaz hâle getirdi. ESET, Lumma Stealer geliştiricileri ziyanlı yazılımı etkin olarak geliştirip sürdürdükleri için hem teknik tahlil hem de istatistiksel bilgiler sağladı ve on binlerce örnekten temel dataları çıkardı.
ESET, Microsoft, BitSight, Lumen, Cloudflare, CleanDNS ve GMO Registry ile iş birliği yaparak berbat şöhretli bir hizmet olarak berbat emelli yazılım bilgi hırsızı olan Lumma Stealer’a karşı global bir kesinti operasyonu gerçekleştirdi. Operasyon Lumma Stealer altyapısını, bilhassa de geçtiğimiz yılın bilinen tüm C&C sunucularını maksat alarak botnet’i büyük ölçüde çalışamaz hâle getirdi.
Lumma Stealer’ı izleyen ve araştıran ESET araştırmacısı Jakub Tomanek yaptığı açıklamada şunları söyledi: “ESET otomatik sistemleri on binlerce Lumma Stealer örneğini işleyerek C&C sunucuları ve iştirak tanımlayıcıları üzere temel ögeleri çıkarmak için bunları inceledi. Bu sayede Lumma Stealer’ın faaliyetlerini daima olarak izleyebildik, iştirakleri kümeleyebildik, geliştirme güncellemelerini takip edebildik ve daha fazlasını yapabildik. Lumma Stealer üzere Infostealer ziyanlı yazılım aileleri, çoklukla gelecekteki çok daha yıkıcı taarruzların habercisidir. Toplanan kimlik bilgileri, siber hata yeraltı dünyasında bedelli bir metadır ve birinci erişim aracıları tarafından fidye yazılımı iştirakleri de dahil olmak üzere çeşitli başka siber hatalılara satılır. Lumma Stealer son iki yıldır en yaygın bilgi hırsızlarından biri oldu ve dünyanın dokunulmadık hiçbir yerini bırakmadı. Bu global kesinti operasyonu, Lumma Stealer’ı uzun vadeli takibimiz sayesinde mümkün oldu. Microsoft’un öncülük ettiği kesinti operasyonu, bilinen tüm Lumma Stealer C&C alan isimlerini ele geçirerek Lumma Stealer’ın bilgi sızdırma altyapısını fonksiyonsuz hâle getirmeyi amaçladı. Fakat ESET, bu kesinti operasyonunun akabinde Lumma Stealer faaliyetlerini yakından izlerken başka bilgi hırsızlarını da takip etmeye devam edecek.”
Düzenli olarak geliştiriliyor
Lumma Stealer geliştiricileri, makûs gayeli yazılımı etkin olarak geliştiriyor ve bakımını yapıyordu. ESET, küçük yanılgı düzeltmelerinden dize şifrelemesinin büsbütün değiştirilmesine ve ağ protokolü güncellemelerine kadar değişen kod güncellemelerini tertipli olarak tespit etti. Botnet operatörleri ayrıyeten paylaşılan ağ altyapısını da etkin olarak sürdürdü. ESET, 17 Haziran 2024 ile 1 Mayıs 2025 tarihleri ortasında, Telegram tabanlı meyyit nokta çözümleyicilerine yönelik orta sıra yapılan güncellemeleri de dahil olmak üzere, her hafta yaklaşık ortalama 74 yeni alanın ortaya çıktığı toplam 3.353 eşsiz C&C alanını gözlemledi. Devam eden bu evrim, Lumma Stealer’ın oluşturduğu kıymetli tehdidin altını çiziyor ve kesinti eforlarının değerini vurguluyor.
Abonelik yordamı çalışan makûs hedefli yazılım
Lumma Stealer, makus hedefli yazılım kavramını bir hizmet olarak benimsiyor ve iştirakçiler, en son berbat hedefli yazılım yapılarını ve bilgi sızıntısı için gerekli ağ altyapısını almak için katmanlarına nazaran aylık bir fiyat ödüyorlar. Katmanlı abonelik modeli, her biri giderek daha sofistike özelliklere sahip olan aylık 250 ila 1000 dolar ortasında değişen fiyat aralıklarına sahiptir. Lumma Stealer’ın operatörleri ayrıyeten çalınan dataları ortacılar olmadan satmak için bir derecelendirme sistemi ile bağlı kuruluşlar için bir Telegram pazarı oluşturdu. Yaygın dağıtım yolları ortasında kimlik avı, kırılmış yazılım ve başka makûs hedefli yazılım indiricileri yer alıyor. Lumma Stealer, tahlili olabildiğince karmaşık hâle getiren az sayıda lakin tesirli bir anti-emülasyon tekniği kullanmaktadır. Bu teknikler tespitten kaçmak ve güvenlik analistlerinin eforlarını engellemek için tasarlanmıştır.
Microsoft’un Dijital Hatalar Ünitesi, Amerika Birleşik Devletleri Georgia Kuzey Bölgesi Bölge Mahkemesi tarafından verilen bir mahkeme kararıyla Lumma Stealer’ın altyapısının bel kemiğini oluşturan makus hedefli alan isimlerinin kaldırılmasını, askıya alınmasını, el konulmasını ve engellenmesini kolaylaştırdı. ABD Adalet Bakanlığı eş zamanlı olarak Lumma Stealer denetim paneline de el koyarak Lumma Stealer pazarını ve hasebiyle Lumma Stealer berbat hedefli yazılımının alıcılarını maksat aldı. Bu süreç Europol’ün Avrupa Siber Cürüm Merkezi (EC3) ve Japonya’nın Siber Kabahat Denetim Merkezi (JC3) ile koordine edilerek lokal Lumma Stealer altyapısının askıya alınması sağladı.
Kaynak: (BYZHA) Beyaz Haber Ajansı
