ESET araştırmacıları, Winnti Group tarafından kullanılan ve MMO (kitlesel çok oyunculu çevrimiçi) oyunlar geliştiren birkaç video oyunu şirketini hedefleyen yeni bir modüler arka kapı keşfetti. ESET tarafından ‘PipeMon’ olarak adlandırılan bu zararlı yazılım, Güney Kore ve Tayvan'daki şirketleri hedef alıyor. Bu şirketler tarafından geliştirilen video oyunları tüm dünyaya dağıtılıyor ve popüler oyun platformlarında binlerce eşzamanlı oyuncuya sahip.

Ne yapıyorlar?

ESET Araştırmacıları Mathieu Tartare ve Martin Smolár’e göre saldırganlar en az bir kere ilgili şirketlerin yapı düzenleme sunucusunun güvenliğini aşarak otomatik yapım sistemlerinin kontrolünü ele aldı. Bu, saldırganların video oyununun yürütülebilir dosyalarına truva atı yerleştirmelerini sağlamış olabilir. Başka bir durumda da, saldırganlar şirketin oyun sunucularını tehlikeye attı. Bu saldırı sonucunda ise oyun içi para birimlerini finansal kazanç için manipüle etmek mümkün. ESET, etkilenen şirketlerle temasa geçti ve sorunu düzeltmek için gerekli bilgi ve yardımı sağladı.

Arkasında grup

“Birden çok delil, bu saldırının Winnti Grubu tarafından gerçekleştirildiğini anlamamıza yol açtı” diyen araştırmacı Mathieu Tartare, sözlerini şöyle sürdürdü: “PipeMon tarafından kullanılan komuta ve kontrol sunucu alan adlarından bazıları, önceki kampanyalarda Winnti tarafından kullanılmıştı. Ayrıca, PipeMon ile tehlikeye atıldığı keşfedilen aynı şirketlerden bazılarında 2019 yılından başka Winnti zararlı yazılımları bulundu.”

Çalınmış sertifikayı kullanıyorlar

Yeni modüler arka kapı PipeMon’un, önceki bir saldırıda Nfinitiy Games’den çalındığı anlaşılan bir kod imzalama sertifikasıyla imzalanmış PortReuse arka kapısıyla benzerlikleri bulunuyor. Tartare, “Bu yeni gelişme, saldırganların birden fazla açık kaynaklı proje kullanarak aktif olarak yeni araçlar geliştirdiğini ve yalnızca ShadowPad ve Winnti zararlılarına güvenmediğini gösteriyor. ESET, PipeMon'un iki farklı varyantını izledi.

Winnti Grubu

En az 2012 yılından beri aktif olan Winnti Grubu, video oyunu ve yazılım endüstrilerine karşı yüksek profilli tedarik zinciri saldırılarından sorumlu. Truva atı bulaştırılmış pek çok popüler yazılımı dağıttığı tespit edilen Winnti Grubu, ayrıca yakın zamanda ‘ShadowPad’ ve ‘Winnti’ kötü amaçlı yazılımlarıyla bazı Hong Kong Üniversitelerini de hedef almıştı.

Oyun modu bulunan güvenlik yazılımı kullanın!

Sadece oyun şirketlerinin değil oyuncuların da siber hırsızların hedefinde bulunduğunu hatırlatan ESET güvenlik uzmanları, cihazlarda mutlaka güncel ve proaktif güvenlik yazılımı bulundurulmasını tavsiye ediyor.

Özellikle ‘Oyun Modu‘na sahip güvenlik yazılımlarının oyuncuları rahatsız etmeden koruduğunu belirten uzmanlar, “Oyun modu; yazılımlarını kesintisiz olarak kullanabilmeyi talep eden, açılır pencerelerle rahatsız edilmek istemeyen ve CPU kullanımının en aza inmesini isteyen kullanıcılara yönelik bir özelliktir. Bu özellik etkinleştirildiğinde tüm açılır pencereler devre dışı bırakılır ve zamanlayıcının etkinlikleri tamamen durdurulur. Sistem koruması arka planda çalışmaya devam eder ancak kullanıcıdan herhangi bir etkileşim talebi olmaz“ bilgisini paylaştı. Oyun modu, ESET NOD32 ve ESET Internet Security gibi ESET’in bireysel güvenlik yazılımlarında uzun yıllardan bu yana yer alıyor.