Kaspersky Tehdit Araştırma ekibi, son dönemde dikkat çeken kötü amaçlı yazılım yükleyicisi RenEngine’e ilişkin kapsamlı analizini yayımladı. Şirket, RenEngine örneklerini ilk olarak Mart 2025’te tespit ettiğini ve o tarihten bu yana güvenlik çözümlerinin kullanıcıları bu tehdide karşı koruduğunu açıkladı.
Araştırmaya göre saldırganlar yalnızca korsan oyunlarla yetinmiyor. Aralarında CorelDRAW gibi grafik düzenleme yazılımlarının da bulunduğu crack’li programları sunan onlarca sahte web sitesi oluşturulduğu belirlendi. Bu durum, tehdidin sadece oyuncuları değil, lisanssız yazılım arayan geniş bir kullanıcı kitlesini hedef aldığını gösteriyor.
Türkiye Dahil Birçok Ülkede Tespit Edildi
Kaspersky, Rusya, Brezilya, Türkiye, İspanya ve Almanya dahil olmak üzere birçok ülkede vakalar kaydedildiğini bildirdi. Dağıtım modelinin hedefli operasyonlardan ziyade fırsatçı saldırı yaklaşımına işaret ettiği belirtiliyor.
RenEngine ilk tespit edildiğinde nihai yük olarak Lumma Stealer dağıtıyordu. Güncel kampanyalarda ise ACR Stealer’ın kullanıldığı, bazı enfeksiyon zincirlerinde Vidar Stealer’ın da yer aldığı gözlemlendi.
Oyun Motoru Üzerinden Sızma
Kampanyanın dikkat çeken yönlerinden biri, Ren’Py görsel roman motoru üzerine inşa edilmiş oyunların değiştirilmiş sürümlerinin istismar edilmesi. Kullanıcılar enfekte yükleyicileri çalıştırdığında, sahte bir kurulum ekranı görüntülenirken arka planda kötü amaçlı komut dosyaları devreye giriyor.
Bu komut dosyalarının sanal ortam (sandbox) tespit yeteneklerine sahip olduğu ve süreçte modüler bir dağıtım aracı olan HijackLoader’ın kullanıldığı bildirildi.
Kaspersky Tehdit Araştırmaları Kıdemli Zararlı Yazılım Analisti Pavel Sinenko, tehdidin yalnızca korsan oyunlarla sınırlı olmadığını belirterek, crack’li verimlilik yazılımlarının da hedef alındığını ifade etti. Sinenko’ya göre, bazı oyun motorlarının kaynak bütünlüğünü kontrol etmemesi saldırganlara ciddi avantaj sağlıyor.
Nasıl Korunmalı?
Kaspersky, kullanıcıların korunması için şu önerileri paylaştı:
Oyun ve yazılımları yalnızca resmi kaynaklardan indirin.
Güvenilir bir güvenlik çözümü kullanın.
İşletim sistemi ve uygulamaları güncel tutun.
“Ücretsiz” tekliflere karşı temkinli olun.
Şirket, RenEngine’i Trojan.Python.Agent.nb ve HEUR:Trojan.Python.Agent.gen; HijackLoader’ı ise Trojan.Win32.Penguish ve Trojan.Win32.DllHijacker olarak tespit ettiğini açıkladı.
Uzmanlara göre lisanssız yazılım arayışı, siber suçlular için en kolay giriş kapılarından biri olmaya devam ediyor. Özellikle ücretsiz sunulan ücretli yazılımlar, kullanıcılar için görünmeyen ama ağır sonuçlar doğurabilecek bir risk barındırıyor.
