Aktif tehdit ailesiWindowsKimlik bilgisi hırsızlığı

Malware Intelligence

RedLine Stealer

RedLine, kurban sistemlerden kimlik bilgilerini, tarayıcı verilerini, sistem bilgilerini ve çeşitli uygulama verilerini toplayan .NET tabanlı bir infostealer’dır. Çalıştığı anda sistemin envanterini çıkarır, ardından tarayıcı, cüzdan, FTP, VPN ve mesajlaşma verilerini toplar.

28 Ekim 2024’te Hollanda polisinin yürüttüğü Magnus Operasyonu ile sunucuları kapatıldı; kaynak kodu ve lisans sunucularına erişildi. Sızdırılmış ve kırılmış sürümler dolaşımda kalmaya devam ediyor.

Aktivite haritası

Çalıştırılabilir yükDosyaDark Radar kanıtı

Zararlı yükRedLine Stealer · Infostealer

RedLine, kurban sistemlerden kimlik bilgilerini, tarayıcı verilerini, sistem bilgilerini ve çeşitli uygulama verilerini toplayan .NET tabanlı bir infostealer’dır. Çalıştığı anda sistemin envanterini çıkarır, ardından tarayıcı, cüzdan, FTP, VPN ve mesajlaşma verilerini toplar.

Yer aldığı akışlar

Ortam bilgileri

İşletim sistemi
Donanım
IP ve konum
Kurulu yazılımlar
Güvenlik yazılımları
Çalışan süreçler
Ekran görüntüsü
Masaüstü dosyaları

Kimlik ve uygulama verileri

Kayıtlı parolalar
Oturum çerezleri
Otomatik doldurma
Kayıtlı kartlar
Discord
Steam
Exodus
Electrum
Atomic Wallet
Bitcoin Core
Ethereum keystore
Coinomi
MetaMask
Binance Wallet

Dark Radar bulaşma kaydı: 10.592.818
Son bulaşma kaydı: 29 Ekim 2026
Zararlı yazılım türü: Infostealer
İlk görülme: Şubat 2020

01

Genel bakış

Yıllarca en yaygın dağıtılan stealer ailesi oldu; ürettiği loglar kimlik bilgisi pazarlarının ana kaynağıydı.

Dark Radar verisinde 10.592.818 bulaşma kaydıyla 52 aile arasında 1. sırada.

Diğer adları: RECORDSTEALER

02

Köken ve gelişim

Şubat 2020Rusça forumlarda 100–150 dolar ömür boyu lisans veya aylık 100 dolar abonelikle satışa çıktı.Malpedia (Fraunhofer FKIE)
2021Sahte yükleyiciler ve lisanssız yazılım siteleri üzerinden yayıldı.Trend Micro
2023OneNote ekleri ve sahte güncellemelerle dağıtıldı.Zscaler
2024Snowflake müşteri ortamlarına erişimde kullanılan kimlik bilgilerinin kaynakları arasında sayıldı.Google Cloud (Mandiant)
Ekim 2024Magnus Operasyonu ile META ile birlikte kesintiye uğratıldı; bir geliştirici hakkında ABD’de dava açıldı.Malpedia (Fraunhofer FKIE)

03

Teknik profil

Zararlı yazılım türüInfostealer

Hedef işletim sistemiWindows

Birincil amaçVeri hırsızlığı

Tehdit kategorisiKimlik bilgisi hırsızlığı

Programlama dili.NET (C#)

Dağıtım modeliÖmür boyu lisans veya aylık abonelik (MaaS)

İlk görülmeŞubat 2020

Kamu kaynağı güveniYüksek

04

Hedeflenen uygulamalar

28 uygulama9 kategori

05

Veri toplama

Kimlik bilgileri

Tarayıcı parolaları%98Doğrulandı
Oturum çerezleri%100Doğrulandı
Süresi dolan oturumu yenileme—
Otomatik doldurma%94,5Doğrulandı
macOS Anahtar Zinciri—
2FA ve parola yöneticileri—

Finansal

Kayıtlı kartlar%7Doğrulandı
Masaüstü kripto cüzdanlarıDoğrulandı
Cüzdan eklentileriDoğrulandı
Pano adresi değiştirme—

Uygulamalar

E-posta istemcileriSürüme bağlı
FTP istemcileriDoğrulandı
VPN istemcileriDoğrulandı
Mesajlaşma uygulamaları%36Doğrulandı
Oyun platformları%3,5Doğrulandı

Sistem

Dosya toplamaDoğrulandı
Ekran görüntüsüDoğrulandı
Sistem envanteri%98Doğrulandı

Davranış

Ek yük indirmeDoğrulandı
Kalıcılık—
Analizden kaçınma—

06

Dosya sistemi

Kullanıcı profili (%USERPROFILE%)

Google Chrome

Nğcsp Ünmö

Doğrulandı

Yol: %ĞLALSKIOSDZO%\Zöüzvf\İyyhoy\Npsc Ççğş\Lkgrihy\Ooige Mfsğ
Ne içerir: İzhövro nfşa pızjsc, tjzanvuiu mçz ia ufbzvsökçrv hömvıu (ÇQŞdmı).
Neden hedeflenir: Kayıtlı parolalar, oturum çerezleri ve kart bilgileri tek profilde durur. Çerezler parola ve çok aşamalı doğrulama sorulmadan oturum devralmaya yeter.
Hedefleyen aileler: RedLine Stealer Lumma Stealer Vidar META Stealer Raccoon Stealer StealC CryptBot PureLogs RisePro Remus Titan Stealer DarkCrystal RAT (DCRat)ve 31 aile daha
Kaynak: Dark Radar: son 200 log, %88Malpedia (Fraunhofer FKIE)

Dosya ayrıntıları Dark Radar Intelligence'taIntelligence'ta aç

07

Sistem bileşenleri

Kullanıcı adı, bilgisayar adı, konum ve saat dilimi
Donanım (işlemci, ekran kartı, bellek) — WMI sorguları
Kurulu güvenlik yazılımları (SecurityCenter2)
Kurulu yazılımlar ve çalışan süreçler
Ekran çözünürlüğü ve dil

08

Çalışma mekanizması

1Bulaşma
- Kimlik avı e-postaları ve kötü amaçlı ekler.
- Lisanssız yazılım, oyun hilesi ve sahte güncelleme sayfaları.
- Sponsorlu reklamlarla sahte indirme siteleri.
T1566.001Spearphishing Attachment
Kırılma noktası: E-posta ekleri, sponsorlu reklam bağlantıları ve lisanssız yazılım indirmeleri e-posta ve web geçidinde engellenir.
2Çalıştırma ve gizlenme
- Yük çoğunlukla bir şifreleyici (crypter) içinde gelir ve bellekte açılır.
- Yapılandırmadaki C2 adresi ve derleme kimliği çözülür.
Dark Radar gözlemi
Meşru MSBuild.exe süreci içinde çalıştı (son 200 log, %100).
T1204.002User Execution: Malicious File T1027Obfuscated Files or Information T1140Deobfuscate/Decode Files or Information
Kırılma noktası: Kullanıcı klasörlerinden çalışan imzasız dosyalar ve .NET araçlarına yapılan enjeksiyonlar uygulama denetimi ve EDR ile durdurulur.
3Keşif
- Sistem envanteri çıkarılır; güvenlik yazılımı ve konum bilgisi alınır.
T1082System Information Discovery T1518.001Security Software Discovery T1518Software Discovery T1614System Location Discovery T1057Process Discovery
Kırılma noktası: Kısa ömürlü bir süreçten gelen toplu sistem ve güvenlik yazılımı sorguları EDR alarmı üretir.
4Veri toplama
- Tarayıcı veritabanları, cüzdanlar, FTP ve VPN yapılandırmaları okunur.
- Panelden gelen ayara göre masaüstü dosyaları toplanır.
Dark Radar gözlemi
Son 200 logda bulunan veriler: parola dosyası %98, çerez %100, otomatik doldurma %94,5, kart %7, cüzdan %0,5.
T1555.003Credentials from Web Browsers T1539Steal Web Session Cookie T1552.001Credentials In Files T1113Screen Capture T1005Data from Local System
Kırılma noktası: Tarayıcı dışındaki bir sürecin tarayıcı profil dosyalarını okuması engellenir veya alarm üretir.
5Sızdırma ve C2
- Toplanan veri C2 sunucusuna gönderilir; sunucu panelden ek görev döndürebilir.
T1095Non-Application Layer Protocol T1105Ingress Tool Transfer T1041Exfiltration Over C2 Channel
Kırılma noktası: Yeni kaydedilmiş alan adlarına, doğrudan IP adreslerine ve standart dışı portlara giden trafik engellenir.
6Kalıcılık ve sonrası
- Dosya indirip çalıştırma ve komut yürütme görevleri.
Kırılma noktası: Bulaşma doğrulandığında cihazdaki tüm oturumlar ve erişim belirteçleri iptal edilir.

09

Ağ iletişimi

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç

10

MITRE ATT&CK

Initial Access

T1566.001Spearphishing Attachment

Execution

T1204.002User Execution: Malicious File

Defense Evasion

Credential Access

Discovery

Collection

Command and Control

Exfiltration

T1041Exfiltration Over C2 Channel

11

IOC ve tespit

Davranışsal göstergeler

.FMH hcoelıage Jhepztmamİrgnaeo jş Wöı32_Kfvoçtica WÜO rvrddytjmbü zpvdzngnöyt.
Vaenaaçy çyge çddsçbç Vıpnö Oıen jk Hcekb Aıorv kcusçzhfhvk guvthyzj.
Jjahşgıtmc nyu HĞ dhhöizıy jğohjziğ jçün YFM mtmmsjböp jvşüçı ğngpığöü.

Disk ve sistem izleri

%OVPY% sipm %BÇFŞBGÜ% otjcğrt gsuagnma upih .FDN üçsbatgvcüjrn jmkrbşi.
Ğaucymş fbzfğ orzok şpgjcd (RlsDdhrzı.lxğ, anu.sxy içjl) şrvçcvsrçp ğidovğföğt.

Log imzası

Çiuulad/%100
Vluöwnuje.bxş%95,5
Öüecky Nuıcöğgklac.öxh%95,5
Halnuöpm.şxh%94,5
Dnrnl.cxa%93,5
KpubkujMgzysç/%89

Malpedia aile kaydı

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç

12

Risk ve etki

VPN ve FTP kimlik bilgileri doğrudan kurum ağına ve web sunucularına erişim sağlar.
Snowflake olayında olduğu gibi, yıllar önceki loglardaki değişmemiş parolalar bugün de kullanılabilir.
Çalınan oturum çerezleri parola ve çok aşamalı doğrulama sorulmadan bulut, e-posta ve SaaS oturumlarının devralınmasına yeter.
Kişisel cihazda kayıtlı kurumsal parolalar, kurum ağı dışındaki bulaşmalarla da sızar; bu loglar ilk erişim komisyoncularına satılır.
Log arşivleri yıllarca yeniden paylaşılır; parola değişmedikçe aynı kimlik bilgisi tekrar tekrar kullanılabilir.
Ele geçirilen e-posta, mesajlaşma ve sosyal medya hesapları kimlik avının ve zararlı dağıtımının bir sonraki halkası olur.

13

Savunma

VPN erişimini çok aşamalı doğrulama ve cihaz uyumluluk kontrolüne bağlayın.
FTP yerine anahtar tabanlı SFTP kullanın; FileZilla’da parola kaydını kapatın.
Bulaşma tespit edildiğinde yalnızca parolayı değil, ilgili tüm oturumları ve erişim belirteçlerini iptal edin.
Tarayıcıda parola kaydını kurumsal politika ile kapatın; kurumsal parola yöneticisi kullanın.
Kimlik avına dayanıklı çok aşamalı doğrulamaya (FIDO2/passkey) geçin; oturumları cihaza bağlayın.
Lisanssız yazılım, oyun hilesi ve sponsorlu arama sonuçlarından indirilen kurulum dosyalarını engelleyin.
Kullanıcının Çalıştır penceresine veya terminale yapıştırarak komut çalıştırdığı akışları (ClickFix) uç nokta kurallarıyla izleyin.
Dark Radar ile kurum alan adlarınızı ve çalışan e-postalarınızı stealer loglarında sürekli izleyin.

14

Öğrenme merkezi

Bu zararlı yazılım nasıl bulaşır?

Kimlik avı e-postaları ve kötü amaçlı ekler.
Lisanssız yazılım, oyun hilesi ve sahte güncelleme sayfaları.
Sponsorlu reklamlarla sahte indirme siteleri.

Bir sistemde varlığı nasıl anlaşılır?

Hesaplarda tanınmayan ülke veya cihazdan oturum açılması.
Dark Radar’da kurum alan adınıza veya çalışan e-postanıza ait yeni bir infostealer logu.

Hangi Windows artefaktları incelenir?

Prefetch (C:\Windows\Prefetch) — kısa ömürlü yükün çalıştığını gösterir.
Amcache.hve ve ShimCache — çalıştırılan dosyanın yolu ve özeti.
İndirilenler klasörü ve Zone.Identifier akışı — dosyanın hangi adresten indirildiği.
Tarayıcı geçmişi — sahte indirme sayfası veya sahte CAPTCHA adresi.
RunMRU kayıt anahtarı — Çalıştır penceresine yapıştırılan komutlar.
%TEMP% ve %LOCALAPPDATA% altındaki rastgele adlı klasörler ve DLL'ler.

Hangi log kayıtları önemlidir?

Sysmon Olay 1 / Güvenlik 4688Süreç oluşturma: Temp ve İndirilenler klasöründen başlayan imzasız süreçler, mshta, powershell -enc zincirleri.
Sysmon Olay 11 / 23Dosya oluşturma ve silme: kendini silen yükler, Temp altına bırakılan DLL'ler.
Sysmon Olay 3 / 22Ağ bağlantısı ve DNS sorgusu: yeni kaydedilmiş alan adlarına, Telegram, Steam veya Pastebin üzerinden C2 çözümleme.
Nesne erişimi denetimi (4663)Tarayıcı süreci dışındaki bir sürecin Login Data, Cookies ve Local State dosyalarını okuması.
PowerShell 4104Betik bloğu kaydı: gizlenmiş indirici komutları.
Kimlik sağlayıcı oturum günlükleriBulaşmadan sonra farklı ülke ve cihazdan gelen, çok aşamalı doğrulama sorulmayan oturumlar.

Hangi MITRE teknikleriyle ilişkilidir?

T1566.001Spearphishing Attachment T1204.002User Execution: Malicious File T1027Obfuscated Files or Information T1140Deobfuscate/Decode Files or Information T1555.003Credentials from Web Browsers T1539Steal Web Session Cookie T1552.001Credentials In Files T1082System Information Discovery T1518.001Security Software Discovery T1518Software Discovery T1614System Location Discovery T1057Process Discovery T1113Screen Capture T1005Data from Local System T1095Non-Application Layer Protocol T1105Ingress Tool Transfer T1041Exfiltration Over C2 Channel

Bir SOC analisti nasıl müdahale etmelidir?

Cihazı ağdan ayırın; bellek ve disk imajını almadan yeniden kurmayın.
Bulaşma tarihini belirleyin; o tarihten sonra cihazda oturum açılmış tüm hesapları listeleyin.
Bu hesapların parolalarını değiştirin, oturumlarını ve erişim belirteçlerini iptal edin, çok aşamalı doğrulama cihazlarını yeniden kaydedin.
Kimlik sağlayıcı ve SaaS günlüklerinde bulaşma sonrasındaki yeni ülke, cihaz ve belirteç kullanımlarını arayın.
Kurtarma ifadesi veya cüzdan dosyası açığa çıktıysa varlıkları yeni bir cüzdana taşıyın.
İlk erişim yolunu (e-posta, reklam, lisanssız yazılım, sahte CAPTCHA) bulun ve aynı yolu kullanan diğer kullanıcıları kontrol edin.
Cihazı temiz bir imajla yeniden kurun.

15

Kaynaklar

Dark Radar Infostealer İstihbarat Kütüphanesi10.592.818 bulaşma kaydı, son 200 log incelendi. Güncelleme: 30 Ekim 2026
RedLine Stealer — aile kaydı ve rapor diziniMalpedia (Fraunhofer FKIE)
Fake installers drop malwareTrend Micro, 2021
OneNote: a growing threat for malware distributionZscaler
Infostealer malware mimicking pirated software downloadsZscaler
UNC5537 targets Snowflake customer instancesGoogle Cloud (Mandiant), 2024

İlişkili aileler

META Stealer Vidar Raccoon Stealer Karşılaştır

İlgili terimler

Stealer logu Şifreleyici Birleştirici Kimlik bilgisi sızıntısı Infostealer Dark web izleme

Essential paketinden itibaren

Infostealer Detection

Kurumunuzun sızıntı yüzeyini tek ekranda görün: kaç bulgu, hangi önem derecesinde, hangi alan adında.

Ürünü incele Paketleri karşılaştırın