Saldırının Genel Çerçevesi
2023 başında ortaya çıkan StealC, MaaS (Malware-as-a-Service) modeliyle çalışan ve özellikle çerez hırsızlığına odaklanan bir bilgi hırsızıdır. YouTube başta olmak üzere popüler platformlarda sahte crack dosyaları ve sosyal mühendislik taktikleriyle yayılım sağlıyor. Son dönemde StealC yönetim panelinde tespit edilen kritik bir XSS açığı, tehdit aktörlerinin operasyonel detaylarının ve çalınan oturum çerezlerinin ele geçirilmesine imkan verdi.
Saldırı Zinciri ve Teknik Detaylar
StealC’nın yayılımında kullanılan yöntemler arasında YouTube Hayalet Ağı olarak adlandırılan YouTube üzerinden dağıtım, sahte Blender Foundation dosyaları ve FileFix sosyal mühendislik kampanyaları bulunuyor. Ayrıca, Telegram bot entegrasyonu ile bildirim gönderme, gelişmiş yük teslimatı ve yeniden tasarlanmış yönetim paneli gibi özellikler StealC V2 sürümünde yer aldı. Paneldeki XSS açığı, saldırganların hedef sistemlerde kötü amaçlı JavaScript çalıştırmasına, çerezleri çalmasına ve kimlik taklidine olanak tanıyor. Bu durum, MITRE ATT&CK teknikleri arasında T1539 (Steal Web Session Cookie) ve T1059 (Command and Scripting Interpreter) ile ilişkilendirilebilir.
Panel Açığının Operasyonel Etkileri
Yönetim panelinin kaynak kodunun sızdırılması, araştırmacıların tehdit aktörlerinin bilgisayar donanımı, genel konum bilgileri ve aktif oturum çerezlerine erişmesini sağladı. Bu durum, operasyonların daha şeffaf hale gelmesine ve saldırı zincirinin daha iyi anlaşılmasına imkan verdi. Ayrıca, panelde sadece bir yönetici kullanıcının olduğu ve bu kullanıcının Rusça ve İngilizce dil ayarlarına sahip Apple M3 işlemcili bir cihaz kullandığı belirlendi. Temmuz 2025’te VPN kullanılmadan yapılan bağlantı sonucu gerçek IP adresi açığa çıktı ve bu IP Ukrayna merkezli bir sağlayıcıya ait çıktı.
Siber Güvenlik Ekipleri İçin Öneriler
- Yönetim panellerinde XSS ve diğer istemci tarafı zafiyetler için düzenli güvenlik taramaları yapılmalı.
- Çerez güvenliği için httpOnly ve Secure bayrakları etkinleştirilmeli.
- EDR çözümleri ile anormal oturum aktiviteleri ve çerez hırsızlığı tespit edilmeli.
- Firewall ve ağ segmentasyonu ile yönetim panellerine erişim sınırlandırılmalı.
- Çok faktörlü kimlik doğrulama (MFA) zorunlu hale getirilmeli.
- SIEM sistemlerinde oturum açma ve yönetim paneli erişim logları detaylı izlenmeli.
- Phishing ve sosyal mühendislik saldırılarına karşı e-posta güvenliği artırılmalı.
- Olay müdahale planları, bu tür MaaS tabanlı tehditlere karşı güncellenmeli.
Teknik Özet
- Kötü amaçlı yazılım: StealC MaaS, özellikle çerez hırsızlığı odaklı.
- Yayılım kanalları: YouTube Hayalet Ağı, sahte crack dosyaları, sosyal mühendislik (FileFix).
- Kullanılan zafiyet: Yönetim panelinde XSS (Cross-Site Scripting) açığı.
- Saldırı zinciri: Sosyal mühendislik ile bulaşma, panel üzerinden yönetim, çerez ve oturum bilgisi hırsızlığı.
- Önerilen savunma: Panel yamaları, httpOnly çerez politikası, MFA, EDR ve SIEM entegrasyonu.
StealC örneği, MaaS ekosisteminin tehdit aktörlerine sağladığı ölçeklenebilirlik avantajının yanı sıra, bu tür servislerin kendi altyapılarındaki güvenlik zafiyetlerinin operasyonel riskler doğurduğunu gösteriyor. Siber güvenlik profesyonelleri için bu tür zafiyetlerin tespiti ve hızlı müdahalesi, hem tehdit aktörlerinin faaliyetlerinin engellenmesi hem de kurumsal güvenliğin sağlanması açısından kritik önem taşıyor.