RenEngine Kötü Amaçlı Yazılım Yükleyicisine Karşı Kapsamlı Analiz: Dağıtım Ağının Genişlediği ve Savunmanın Güçlendirildiği Bir Tehdit

Kaspersky Tehdit Araştırma ekibi, RenEngine olarak bilinen zararlı yazılım yükleyicisinin son dönem analizini paylaştı. İlk kez Mart 2025’te tespit edilen örnekler, güvenlik çözümlerinin o andan itibaren kullanıcıları bu tehditten koruduğunu gösteriyor.

Raporlar, saldırganların RenEngine’i piyasaya sürmek için onlarca web sitesini kullanarak korsan yazılımlar sunan bir ağ kurduğunu ortaya koyuyor. Bunlar arasında CorelDRAW gibi grafik düzenleme araçları da bulunuyor ve bu durum, hedefin yalnızca oyun topluluğu olmadığını, lisanssız yazılım arayan geniş bir kullanıcı kitlesini kapsadığını gösteriyor.

Olaylar, Kaspersky’nin Rusya, Brezilya, Türkiye, İspanya ve Almanya gibi farklı ülkelerde kayda geçtiğini ve dağıtım yaklaşımının hedefli bir operasyon yerine şans eseri etkiyi artırmaya odaklandığını ortaya koyuyor. İlk tespitler sırasında RenEngine, Lumma Stealer adlı bilgi hırsızını dağıtırken, güncel sürümlerde ise ACR Stealer yükleniyor; bazı enfeksiyon zincirlerinde Vidar Stealer da görüldü.

Bu kampanya, Ren’Py görsel roman motoru üzerinde oluşturulmuş oyunların değiştirilmiş sürümlerini istismar ediyor. Enfekte yükleyiciyi çalıştıran kullanıcılar, arka planda kötü amaçlı komut dosyalarının yürütüldüğünü görürlerken, masaüstünde sahte bir yükleme ekranı belirebiliyor. Bu dosyalar sanal ortam tespit mekanizmalarını da geçmeyi amaçlıyor ve süreçte HijackLoader gibi modüler bir zararlı yazılım dağıtım aracı kullanılıyor.

Kaspersky Tehdit Araştırmaları Kıdemli Zararlı Yazılım Analisti Pavel Sinenko şu yorumu paylaştı: “Bu tehdit yalnızca korsan oyunlarla sınırlı kalmıyor; saldırganlar crack’li verimlilik yazılımlarını da hedefleyerek potansiyel kurbanları önemli ölçüde genişletiyor. Oyun arşiv formatları motorlara ve oyunun adına göre değişebiliyor. Motor, kendi kaynaklarının bütünlüğünü kontrol etmiyorsa, kullanıcılar ‘oynat’ düğmesine bastığında tehlikeli yazılımlar kolayca sisteme yerleşebilir.”

Kaspersky’nin tanımlamaları, RenEngine’i Trojan.Python.Agent.nb ve HEUR:Trojan.Python.Agent.gen olarak sınıflandırırken, HijackLoader’ı Trojan.Win32.Penguish ve Trojan.Win32.DllHijacker olarak belirliyor. Kullanıcıların korunması için bazı öneriler şu şekilde özetlenebilir:

• Oyunları ve yazılımları yalnızca resmi kaynaklardan edinin; korsan içerikler yaygın zararlı yazılım dağıtım yöntemlerinden biri olmaya devam ediyor.
• Güvenilir bir güvenlik çözümü kullanın. Özellikle Kaspersky Premium’un Davranışsal Tespit bileşeni, meşru yazılımların görünümünü taklit eden tehditleri bile tespit ederek RenEngine gibi saldırılara karşı ek koruma sağlar.
• İşletim sistemi ve uygulamaların güncel tutulması, bilinen güvenlik açıklarının kapatılmasına yardımcı olur.
• Ücretsiz teklifler konusunda temkinli olun. Bir oyun veya yazılım ücretli iken resmi olmayan bir sitede ücretsiz olarak sunuluyorsa, güvenliğiniz açısından riskli olabilir.

Kaynak: Beyaz Haber Ajansı (BYZHA)