PrivateLoader olarak bilinen kötü amaçlı yazılım yayma hizmeti, RisePro adında daha önce belgelenmiş ve bilgi çalan kötü amaçlı yazılımı dağıtmak için kullanılıyor.

En son 13 Aralık 2022 tarihinde FlashPoint radarına takılan son aktivite toplanan bilgilerin, birkaç veri seti halinde ‘Russian Market’ adındaki illegal siber suç pazarında yayınlandığı tespit edildi. 

RisePro Zararlı Yazılımı Neler Yapabilir?

C++ tabanlı olan RisePro yazılımı, 2018’de şifre çalma üzerine ortaya çıkan Vidar adlı kötü amaçlı yazılımla benzerlikler barındırıyor. FlashPoint tarafından bu zararlı yazılımın DLL dizinleri aşağıdaki tabloda listelenmiştir. 

RisePro çerezler, şifreler, kredi kartları, kripto cüzdanları da dahil olmak üzere 36 web tarayıcısından çok çeşitli verileri çalabilme ve diğer uygulamaların yaptığı gibi ilgi çekici dosyaları toplayabilme ve fazla yük yükleyebilmesi nedeniyle diğer uygulamalardan çokta farklı değildir.

PrivateLoader bir ‘pay-per-install’ zararlı dağıtım servisi yazılımıdır. Tehdit aktörleri, dağıtmak istedikleri kötü amaçlı yazılım örneğini hedefleme kriterlerini ve ödemeyi PrivateLoader ekibine sağlar ve PrivateLoader ekibi daha sonra kötü amaçlı yazılımı dağıtmak için sahte ve saldırıya uğramış web sitelerinin ağlarını kullanır. 

Tahmin edilen senaryolar arasında en popüleri RisePro’yu geliştiren ekibin PrivateLoader geliştiricileri olduğu yönünde. Başka bir teori ise, RisePro’nun PrivateLoader’ın evrimleşmiş hali olduğu veya eski geliştiricilerin şu an RisePro’yu ön plana çıkarmaya çalıştığı yönünde. 

Toplanan veriler ışığında, Sekoia hala bu iki proje arasındaki kesin bağlantıyı çözmüş değil.

Kaynakça:

https://thehackernews.com/2022/12/privateloader-ppi-service-found.html

https://thehackernews.com/2022/12/privateloader-ppi-service-found.html