Lunex Stealer: AMD Sürücüleri Üzerinden Gizlenen Yeni Nesil Tehdit

Lunex Stealer, siber güvenlik dünyasına yeni bir karmaşıklık katmanı ekleyen, özellikle Lunex Stealer AMD sürücüsü istismarıyla dikkat çeken tehlikeli bir bilgi hırsızlığı platformu olarak ortaya çıktı. Bu MaaS (Hizmet Olarak Zararlı Yazılım) tehdidi, hedeflenen sistemlerde güvenlik izleme süreçlerini devre dışı bırakmak ve tarayıcı kimlik bilgilerini çalmak için son derece sofistike yöntemler kullanıyor. İlk olarak Ukraynaca konuşan kullanıcıları hedef aldığı tespit edilen bu zararlı yazılım, sahte CAPTCHA sayfaları ve taklit edilmiş Cloudflare doğrulama kontrolleri aracılığıyla yayılıyor. Saldırının ardındaki mekanizma, güvenlik yazılımlarını kör etmek amacıyla güvenliği zafiyetli bir AMD kernel mod sürücüsünü kullanmasıyla geleneksel bilgi hırsızlarından ayrışıyor.

Lunex Stealer: Yükselen Bir Hizmet Olarak Zararlı Yazılım

Lunex, siber suç dünyasında “Hizmet Olarak Zararlı Yazılım” (MaaS) modeliyle faaliyet gösteren, giderek yayılan bir platformu temsil ediyor. Bu platformun bir parçası olarak ortaya çıkan Psychedelic Stealer, siber güvenlik araştırmacılarının yakın takibinde bulunuyor. Başlangıçta Ukraynaca konuşan kullanıcıları hedef aldığı belirtilen bu tehdit, ele geçirilmiş web siteleri üzerinden “ClickFix” benzeri Cloudflare doğrulama kontrolleri kılığında yayılım gösteriyor. Ontinue güvenlik araştırmacılarının tespitlerine göre, dört aşamalı bir saldırı zinciriyle işleyen Lunex, kurbanlarını sahte bir CAPTCHA sayfasıyla tuzağa düşürüyor. Saldırının nihai hedefi, tam teşekküllü bir komuta-kontrol (C2) ajanının kurbanın sistemine yerleştirilmesi. Siber güvenlik literatüründeki en eski Lunex referansları Haziran 2026’ya kadar uzanıyor; BlueTeamCoolTeam’den Luke Wilkinson, ABD, Finlandiya, Almanya, Hollanda ve Ukrayna genelinde altı aktif Lunex Stealer C2 panelini belirlemişti. Bu durum, tehdidin coğrafi olarak geniş bir alana yayılma potansiyelini gözler önüne seriyor. Psychedelic Stealer ve Lunex Stealer isimleri, aslında aynı MaaS platformunun farklı bileşenlerine atıfta bulunuyor. Psychedelic, kurban cihazlarında çalışan zararlı yazılım dosyasını ifade ederken, Lunex, birden fazla siber suç grubuna satılan temel platformu belirtiyor.

Sahte Kimlik Doğrulamadan Sisteme Sızma Süreci

Lunex Stealer’ın sızma süreci, kurbanları aldatmaya yönelik dikkat çekici mühendislik becerileri içeriyor. Saldırı, meşru gibi görünen ancak aslında ele geçirilmiş web sitelerinde gizlenen bir iframe elementi aracılığıyla başlıyor. Arctic Wolf Labs’in detaylandırdığı gibi, bir saç tedavi kliniğinden ölçekli model üreticisine, uzman kitapçıdan psikolojik tesise, alet perakendecisinden otomotiv satıcısına kadar çeşitli meşru siteler bu iframelerle enfekte edilmiş durumda. Kullanıcılar bu siteleri ziyaret ettiğinde, zararlı bir “ClickFix” tuzağına yönlendiriliyorlar. Ardından, sahte bir CAPTCHA sayfasıyla karşılaşan kurbanlar, yanıltıcı bir doğrulama sürecine çekiliyor. Bu aşamadan sonra, zararlı yazılımın dağıtımı sahte MSI yükleyicileri aracılığıyla tetikleniyor. Bu yükleyiciler, “LunexLoader” adında bir yükleyiciyi sisteme bırakıyor. LunexLoader, Windows’un Kullanıcı Hesabı Denetimi (UAC) mekanizmasını atlatma konusunda uzmanlaşmış. Bunu, CMSTPLUA COM nesnesini kullanarak başarıyor, böylece zararlı faaliyetlerinin tespit edilmeden ilerlemesi için kritik bir engel aşılmış oluyor. UAC atlatıldıktan sonra, saldırının bir sonraki kritik aşaması devreye giriyor: savunma sistemlerini etkisiz hale getirmeye yönelik “kendi savunmasız sürücünüzü getirin” (BYOVD) tekniğinin kullanılması.

AMD Radeon Sürücüsü Üzerinden Siber Güvenlik Körlemesi

Lunex Stealer’ın en dikkat çekici özelliği, hedef sistemdeki güvenlik mekanizmalarını devre dışı bırakmak için sistem çekirdeği düzeyinde bir açık istismar etmesi. Zararlı yazılım, “kendi savunmasız sürücünüzü getirin” (BYOVD) saldırı tekniğini kullanarak, genellikle bilgi hırsızlığı gibi son aşama yükler öncesinde nadiren görülen bir yöntemle savunma atlatma yeteneği sergiliyor. Bu saldırı, AMD Radeon Yazılımı’na ait “PDFWKRNL.sys” adlı savunmasız bir çekirdek modu sürücüsünden faydalanıyor. Bu sürücü, CVE-2023-20598 olarak tanımlanan bir güvenlik açığına sahip. Bu zafiyetten yararlanan Lunex Stealer, sistemde ayrıcalık yükseltmesi yaparak kendi operasyonları için zemin hazırlıyor. Ancak daha da endişe verici olan, zararlı yazılımın güvenlik ile ilgili süreçleri tamamen kapatmak yerine, onları çalışır durumda tutarak “kör etmesi”. Bu, kurbanın makinesindeki güvenlik yazılımlarının aktifmiş gibi görünmesine rağmen, aslında zararlı yazılımın faaliyetlerini izleyemediği ve müdahale edemediği anlamına geliyor. Bu durum, siber güvenlik yazılımlarının kendi varlıklarını raporlamaya devam etmesine karşın, Lunex Stealer’ın arka planda kimlik bilgilerini, oturum çerezlerini ve kripto para cüzdanı verilerini sorunsuz bir şekilde çalmasını sağlıyor. Bu yöntem, geleneksel tespit mekanizmalarını atlatan son derece sinsi bir yaklaşım.

Kapsamlı Veri Hırsızlığı ve Kurumsal Tehditler

Lunex Stealer’ın hedef sistemi ele geçirmesiyle ortaya çıkan sonuçlar oldukça geniş kapsamlı ve yıkıcı. Zararlı yazılım, sistemdeki güvenlik katmanları etkisiz hale getirildikten sonra, yedi farklı Chromium tabanlı tarayıcıdan kimlik bilgilerini ve hassas verileri hedef alıyor. Bu tarayıcılardan çalınan bilgiler arasında, şifreler ve oturum çerezleri gibi kritik veriler bulunuyor. Oturum çerezlerinin çalınması, siber suçluların kurbanın mevcut oturumlarını kullanarak doğrudan hesaplarına erişmesine olanak tanıyor, bu da parolasız erişim anlamına gelebiliyor. Bununla sınırlı kalmayarak, Lunex Stealer kripto para cüzdanlarını da hedef alarak dijital varlıkların exfiltrasyonunu gerçekleştiriyor. Belki de en kalıcı tehditlerden biri, zararlı yazılımın kurbanın tarayıcısı içine PowerShell tabanlı bir Yerel Mesajlaşma Sunucusu (Native Messaging Host) kurarak kalıcı uzaktan dosya sistemi erişimi sağlaması. Bu mekanizma, saldırganlara uzun süreli bir arka kapı sunarak, sisteme istedikleri zaman yeniden erişme ve ek zararlı yükler yerleştirme imkanı tanıyor. Saldırının meşru web sitelerini tehlikeye atması, dijital tedarik zinciri güvenliği açısından da ciddi endişeler yaratıyor. Birçok kullanıcı, güvendiği bir web sitesini ziyaret ederek farkında olmadan bir tehdidin kurbanı olabiliyor.

Dijital Savunma ve Geleceğin Siber Tehditleri Karşısında Alınacak Önlemler

Lunex Stealer gibi gelişmiş tehditler karşısında bireylerin ve kurumların dijital savunma stratejilerini gözden geçirmesi kritik önem taşıyor. Öncelikle, web sitelerini ziyaret ederken beklenmedik CAPTCHA veya doğrulama isteklerine karşı son derece dikkatli olmak gerekiyor; bu tür yapılar sıklıkla kötü niyetli yükleri dağıtmak için kullanılıyor. İşletim sistemleri, tarayıcılar ve özellikle sürücüler dahil olmak üzere tüm yazılımların güncel tutulması, bilinen güvenlik açıklarının istismar edilmesini engellemek için vazgeçilmezdir. Güvenilir bir uç nokta güvenlik çözümü kullanmak, ancak bu çözümlerin kendilerinin de BYOVD gibi tekniklerle kör edilebileceği gerçeği göz önünde bulundurularak, katmanlı bir savunma yaklaşımı benimsemek önemlidir. Kimlik doğrulama süreçlerinde çok faktörlü kimlik doğrulama (MFA) kullanmak, çalınan kimlik bilgilerinin etkisini büyük ölçüde azaltabilir. Bu tür saldırılar, MaaS platformlarının giderek daha sofistike hale geldiğini ve saldırganların daha önce nadiren kullanılan teknikleri (BYOVD gibi) kolayca erişilebilir hale getirdiğini gösteriyor. Bu durum, siber güvenlik araştırmacılarının ve yazılım geliştiricilerinin, hem işletim sistemi çekirdeği düzeyindeki zafiyetlere karşı daha proaktif önlemler almasını hem de tehdit istihbaratını sürekli güncel tutarak yeni saldırı vektörlerine karşı hazırlıklı olmasını gerektiriyor. Gelecekte, benzeri görülmemiş tekniklerle karşımıza çıkacak siber tehditlere karşı sürekli tetikte olmak ve adaptif güvenlik stratejileri geliştirmek, dijital dünyamızın güvenliği için temel bir zorunluluktur.