Aktif tehdit ailesiWindowsKimlik bilgisi hırsızlığı
Malware Intelligence

META Stealer

META, RedLine ile aynı işlevselliği, kodu ve paneli taşıdığını iddia ederek Mart 2022’de satışa çıkan bir infostealer’dır. Raccoon’un geçici olarak durduğu dönemde boşluğu doldurdu.

Ekim 2024’te RedLine ile birlikte Magnus Operasyonu kapsamında kesintiye uğratıldı.

Aktivite haritası

NCC GroupMalpedia (Fraunhofer FKIE)

Aktivite haritasıEkİçeriği etkinleştirÇalıştırmaPaketlemeGönderimKimlik avıe-postasıÖdeme, faturaXLSExcel ekiVBA makrosuUzak sunucudanindirmeYükMETA StealerInfostealerVeri toplama22 hedefLog arşiviC2 sunucusu
Çalıştırılabilir yükDosya
Zararlı yükMETA Stealer · Infostealer

META, RedLine ile aynı işlevselliği, kodu ve paneli taşıdığını iddia ederek Mart 2022’de satışa çıkan bir infostealer’dır. Raccoon’un geçici olarak durduğu dönemde boşluğu doldurdu.

Ortam bilgileri

  • İşletim sistemi
  • Donanım
  • IP ve konum
  • Kurulu yazılımlar
  • Güvenlik yazılımları
  • Masaüstü dosyaları

Kimlik ve uygulama verileri

  • Kayıtlı parolalar
  • Oturum çerezleri
  • Otomatik doldurma
  • Kayıtlı kartlar
  • Steam
  • Telegram
  • Discord
  • MetaMask
  • Exodus
  • Electrum
  • Atomic Wallet
  • Bitcoin Core
  • Ethereum keystore
  • Coinomi
Dark Radar bulaşma kaydı
2.270.426
Son bulaşma kaydı
10 Ekim 2026
Zararlı yazılım türü
Infostealer
İlk görülme
Mart 2022
01

Genel bakış

Dark Radar verisinde 2.270.426 bulaşma kaydıyla 52 aile arasında 4. sırada.

Diğer adları: MetaStealer

02

Köken ve gelişim

  1. Mart 2022"_META_" adlı aktör tarafından satışa çıkarıldı.Malpedia (Fraunhofer FKIE)
  2. Mayıs 2022Raccoon’un durmasının ardından yayılımı arttı.NCC Group
  3. Ekim 2024Magnus Operasyonu ile kesintiye uğradı.Malpedia (Fraunhofer FKIE)
03

Teknik profil

Zararlı yazılım türüInfostealer
Hedef işletim sistemiWindows
Birincil amaçVeri hırsızlığı
Tehdit kategorisiKimlik bilgisi hırsızlığı
Programlama dili.NET (C#)
Dağıtım modeliAylık 125 dolar veya 1.000 dolar sınırsız lisans
İlk görülmeMart 2022
Bulaşan sistemlerWindows 10 %46, Windows 11 %18
Kamu kaynağı güveniYüksek
04

Hedeflenen uygulamalar

22 uygulama8 kategori
05

Veri toplama

Kimlik bilgileri

  • Tarayıcı parolaları%100Doğrulandı
  • Oturum çerezleri%75Doğrulandı
  • Süresi dolan oturumu yenileme—
  • Otomatik doldurma%55Doğrulandı
  • macOS Anahtar Zinciri—
  • 2FA ve parola yöneticileri—

Finansal

  • Kayıtlı kartlarDoğrulandı
  • Masaüstü kripto cüzdanları%6Doğrulandı
  • Cüzdan eklentileriDoğrulandı
  • Pano adresi değiştirme—

Uygulamalar

  • E-posta istemcileri—
  • FTP istemcileriDoğrulandı
  • VPN istemcileriSürüme bağlı
  • Mesajlaşma uygulamaları%12,5Doğrulandı
  • Oyun platformları%13Doğrulandı

Sistem

  • Dosya toplama%17,5Doğrulandı
  • Ekran görüntüsü—
  • Sistem envanteri%99Doğrulandı

Davranış

  • Ek yük indirmeDoğrulandı
  • Kalıcılık—
  • Analizden kaçınma—
06

Dosya sistemi

Kullanıcı profili (%USERPROFILE%)
Dosya ayrıntıları Dark Radar Intelligence'taIntelligence'ta aç
07

Sistem bileşenleri

  • RedLine ile aynı sistem envanteri: donanım, güvenlik yazılımı, konum, kurulu yazılımlar
08

Çalışma mekanizması

  1. 1Bulaşma

    • Kötü amaçlı ekli e-posta kampanyaları (makrolu belgeler).
    T1566.001Spearphishing Attachment

    Kırılma noktası: E-posta ekleri, sponsorlu reklam bağlantıları ve lisanssız yazılım indirmeleri e-posta ve web geçidinde engellenir.

  2. 2Çalıştırma ve gizlenme

    • Yük bellekte açılır, yapılandırma çözülür.
    Dark Radar gözlemi

    Yük appdata klasöründen çalıştı (son 200 log, %32,9).

    Meşru RegAsm.exe süreci içinde çalıştı (son 200 log, %15,7).

    Meşru aspnet_compiler.exe süreci içinde çalıştı (son 200 log, %8,6).

    T1204.002User Execution: Malicious FileT1027Obfuscated Files or Information

    Kırılma noktası: Kullanıcı klasörlerinden çalışan imzasız dosyalar ve .NET araçlarına yapılan enjeksiyonlar uygulama denetimi ve EDR ile durdurulur.

  3. 3Keşif

    • Sistem envanteri.
    Dark Radar gözlemi

    Bulaşan sistemler: Windows 10 %46, Windows 11 %18.

    T1082System Information DiscoveryT1518.001Security Software DiscoveryT1518Software DiscoveryT1614System Location Discovery

    Kırılma noktası: Kısa ömürlü bir süreçten gelen toplu sistem ve güvenlik yazılımı sorguları EDR alarmı üretir.

  4. 4Veri toplama

    • Tarayıcı, cüzdan ve uygulama verileri.
    Dark Radar gözlemi

    Son 200 logda bulunan veriler: parola dosyası %100, çerez %75, otomatik doldurma %55, kart %2,5, cüzdan %6.

    T1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1005Data from Local System

    Kırılma noktası: Tarayıcı dışındaki bir sürecin tarayıcı profil dosyalarını okuması engellenir veya alarm üretir.

  5. 5Sızdırma ve C2

    • C2 sunucusuna gönderim.
    T1071.001Web ProtocolsT1041Exfiltration Over C2 Channel

    Kırılma noktası: Yeni kaydedilmiş alan adlarına, doğrudan IP adreslerine ve standart dışı portlara giden trafik engellenir.

09

Ağ iletişimi

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç
10

MITRE ATT&CK

Initial Access
Execution
Credential Access
Discovery
Collection
Command and Control
Exfiltration
Defense Evasion
11

IOC ve tespit

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç
12

Risk ve etki

  • Çalınan oturum çerezleri parola ve çok aşamalı doğrulama sorulmadan bulut, e-posta ve SaaS oturumlarının devralınmasına yeter.
  • Kişisel cihazda kayıtlı kurumsal parolalar, kurum ağı dışındaki bulaşmalarla da sızar; bu loglar ilk erişim komisyoncularına satılır.
  • Log arşivleri yıllarca yeniden paylaşılır; parola değişmedikçe aynı kimlik bilgisi tekrar tekrar kullanılabilir.
  • Ele geçirilen e-posta, mesajlaşma ve sosyal medya hesapları kimlik avının ve zararlı dağıtımının bir sonraki halkası olur.
13

Savunma

  • Bulaşma tespit edildiğinde yalnızca parolayı değil, ilgili tüm oturumları ve erişim belirteçlerini iptal edin.
  • Tarayıcıda parola kaydını kurumsal politika ile kapatın; kurumsal parola yöneticisi kullanın.
  • Kimlik avına dayanıklı çok aşamalı doğrulamaya (FIDO2/passkey) geçin; oturumları cihaza bağlayın.
  • Lisanssız yazılım, oyun hilesi ve sponsorlu arama sonuçlarından indirilen kurulum dosyalarını engelleyin.
  • Kullanıcının Çalıştır penceresine veya terminale yapıştırarak komut çalıştırdığı akışları (ClickFix) uç nokta kurallarıyla izleyin.
  • Dark Radar ile kurum alan adlarınızı ve çalışan e-postalarınızı stealer loglarında sürekli izleyin.
14

Öğrenme merkezi

Bu zararlı yazılım nasıl bulaşır?
  • Kötü amaçlı ekli e-posta kampanyaları (makrolu belgeler).
  • Yük appdata klasöründen çalıştı (son 200 log, %32,9).
Bir sistemde varlığı nasıl anlaşılır?
  • Hesaplarda tanınmayan ülke veya cihazdan oturum açılması.
  • Dark Radar’da kurum alan adınıza veya çalışan e-postanıza ait yeni bir infostealer logu.
Hangi Windows artefaktları incelenir?
  • Prefetch (C:\Windows\Prefetch) — kısa ömürlü yükün çalıştığını gösterir.
  • Amcache.hve ve ShimCache — çalıştırılan dosyanın yolu ve özeti.
  • İndirilenler klasörü ve Zone.Identifier akışı — dosyanın hangi adresten indirildiği.
  • Tarayıcı geçmişi — sahte indirme sayfası veya sahte CAPTCHA adresi.
  • RunMRU kayıt anahtarı — Çalıştır penceresine yapıştırılan komutlar.
  • %TEMP% ve %LOCALAPPDATA% altındaki rastgele adlı klasörler ve DLL'ler.
Hangi log kayıtları önemlidir?
  • Sysmon Olay 1 / Güvenlik 4688Süreç oluşturma: Temp ve İndirilenler klasöründen başlayan imzasız süreçler, mshta, powershell -enc zincirleri.
  • Sysmon Olay 11 / 23Dosya oluşturma ve silme: kendini silen yükler, Temp altına bırakılan DLL'ler.
  • Sysmon Olay 3 / 22Ağ bağlantısı ve DNS sorgusu: yeni kaydedilmiş alan adlarına, Telegram, Steam veya Pastebin üzerinden C2 çözümleme.
  • Nesne erişimi denetimi (4663)Tarayıcı süreci dışındaki bir sürecin Login Data, Cookies ve Local State dosyalarını okuması.
  • PowerShell 4104Betik bloğu kaydı: gizlenmiş indirici komutları.
  • Kimlik sağlayıcı oturum günlükleriBulaşmadan sonra farklı ülke ve cihazdan gelen, çok aşamalı doğrulama sorulmayan oturumlar.
Hangi MITRE teknikleriyle ilişkilidir?
T1566.001Spearphishing AttachmentT1204.002User Execution: Malicious FileT1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1082System Information DiscoveryT1005Data from Local SystemT1071.001Web ProtocolsT1041Exfiltration Over C2 ChannelT1518.001Security Software DiscoveryT1518Software DiscoveryT1614System Location DiscoveryT1027Obfuscated Files or Information
Bir SOC analisti nasıl müdahale etmelidir?
  1. Cihazı ağdan ayırın; bellek ve disk imajını almadan yeniden kurmayın.
  2. Bulaşma tarihini belirleyin; o tarihten sonra cihazda oturum açılmış tüm hesapları listeleyin.
  3. Bu hesapların parolalarını değiştirin, oturumlarını ve erişim belirteçlerini iptal edin, çok aşamalı doğrulama cihazlarını yeniden kaydedin.
  4. Kimlik sağlayıcı ve SaaS günlüklerinde bulaşma sonrasındaki yeni ülke, cihaz ve belirteç kullanımlarını arayın.
  5. Kurtarma ifadesi veya cüzdan dosyası açığa çıktıysa varlıkları yeni bir cüzdana taşıyın.
  6. İlk erişim yolunu (e-posta, reklam, lisanssız yazılım, sahte CAPTCHA) bulun ve aynı yolu kullanan diğer kullanıcıları kontrol edin.
  7. Cihazı temiz bir imajla yeniden kurun.
15

Kaynaklar

İlişkili aileler

RedLine StealerRaccoon StealerKarşılaştır
Essential paketinden itibaren

Infostealer Detection

Kurumunuzun sızıntı yüzeyini tek ekranda görün: kaç bulgu, hangi önem derecesinde, hangi alan adında.

Ürünü incelePaketleri karşılaştırın