Gamevıa Sakın Kullanmayın! Virüslü - Tehlikeli

[flstekdev]

GAMEVIA SAKIN KULLANMAYIN! Windows Güvenliğinize ve Dosyalarınıza Müdahale Ediyor

Merhaba arkadaşlar,

Son zamanlarda Steam üzerinden ücretli oyunları PARALI şekilde üyelikle satıp "ücretsiz" diye kütüphaneye ekleme vaadiyle karşımıza çıkan Gamevia isimli araçla ilgili dikkatimi çeken bazı şeyler oldu.

Merak edip programın kurulumunda kullanılan PowerShell betiğini detaylıca inceledim. Açıkçası karşılaştığım işlemler hiç iç açıcı değil.

İncelediğim PowerShell betiği, Gamevia'nın kendi Discord sunucusunda da paylaşılan ve uygulamada irm iex kullanılan dosya:

https://github.com/SYS-0xA7/zdb2/raw/refs/heads/main/gamevia.ps1

Normal bir Steam yardımcı programından beklenmeyecek şekilde Windows güvenlik ayarlarına müdahale ediliyor, Defender istisnaları oluşturuluyor, Steam'in kullanıcı verileri temizleniyor ve harici kaynaklardan DLL dosyaları indirilerek Steam klasörüne yerleştiriliyor.

Bunların tamamı doğrudan paylaşılan kurulum betiğinde mevcut. Yani burada duyuma veya söylentiye dayalı bir inceleme yapmıyorum.

Evet, soldaki yürüyen yapay zeka logo gamevia uygulamasına ait.

VirusTotal sonucu: https://www.virustotal.com/gui/file...7913aa776cbf5e858ce74c872c692340a66449c443c2/

Tek tek göstermek istiyorum.

1. Windows Smart App Control'ü Kapatmaya Çalışıyor

İşin daha da ilginç tarafı burada başlıyor.

Betikte Disable-SmartAppControl isimli özel bir fonksiyon bulunuyor.

Bu fonksiyon Windows'un Smart App Control güvenlik mekanizmasını hedef alıyor.

Değiştirilmek istenen kayıt defteri değeri:

VerifiedAndReputablePolicyState = 0

Ardından CiTool.exe -r komutu çalıştırılmaya çalışılıyor.

Bununla da yetinilmiyor. Aynı fonksiyon içerisinde SmartScreen'i de kapatmaya yönelik başka bir kayıt defteri değişikliği bulunuyor.

Burada önemli bir ayrıntı var: Betik bu korumaları kapatmayı deniyor ancak işlemin gerçekten başarılı olduğunu doğrulayamıyoruz. SmartScreen için kullanılan kayıt defteri yolu da standart konumla uyuşmuyor.

Yine de ortada açıkça görülen bir davranış var: Programın kurulum betiği Windows güvenlik mekanizmalarını devre dışı bırakmaya çalışıyor.

Kullanıcının bilgisayarına ücretsiz oyun eklemek için neden böyle bir şeye ihtiyaç duyuluyor?

2. Windows Defender İstisnalarına Habersiz İstediği Klasörleri Ekliyor

İlk dikkatimi çeken şeylerden biri Defender ile ilgili bölüm oldu.

Kodda Add-MpPreference kullanılarak aşağıdaki klasörler Windows Defender istisnalarına eklenmeye çalışılıyor:

• Steam'in ana kurulum klasörü.
• Steam'in diğer oyun kütüphaneleri.
• steamapps klasörleri.
• %APPDATA%\gamesdata
• %LOCALAPPDATA%\Gamevia

Yani yalnızca Gamevia'nın kendi klasörünü değil, Steam'in oyunlarının bulunduğu klasörleri de antivirüs istisnasına eklemeye çalışıyor.

Bunun anlamı ne?

Bu klasörlerdeki dosyalar Defender'ın normal gerçek zamanlı taramasından muaf kalabilir.

Düşünsenize, bilgisayarınızda yüzlerce oyunun bulunduğu klasörleri bir programa güvenerek antivirüs istisnasına ekliyorsunuz.

Bence başlı başına ciddi bir güvenlik problemi.

Bir oyun kütüphanesi aracının düzgün çalışması için neden antivirüs korumasını bu kadar geniş kapsamlı azaltması gerekiyor?

3. Steam'in Kayıt Defterindeki SteamID Değerlerini Siliyor

Remove-SteamIdValues isimli bir fonksiyon daha bulunuyor.

Bu fonksiyon Windows kayıt defterinde üç farklı konumu tarıyor:

• HKCU
• HKLM
• WOW6432Node

Buralardaki Steam uygulama kayıtlarını dolaşarak SteamID isimli değerleri buluyor ve siliyor.

Yani program Steam'in oyunlarla ilişkili yerel kayıt defteri bilgilerine de müdahale ediyor.

Burada yanlış anlaşılmasın: Steam hesabınızın Valve sunucularındaki kimliğini silmiyor. Yerel kayıt defterindeki belirli değerleri temizliyor.

Ancak yine de sıradan bir oyun yükleyicisinin yapmasını bekleyeceğiniz bir işlem değil.

4. Steam Cloud Dosyalarını ve Kullanıcı Verilerini Siliyor

Bence en dikkat edilmesi gereken bölümlerden biri de burası.

Betik Steam'in userdata klasörüne giriyor.

Ardından bütün kullanıcı klasörlerini dolaşarak remotecache.vdf isimli dosyaları bulup siliyor.

Bunun yanında:

userdata\<SteamID>\config\cloudstorage

klasörünü de kaldırıyor.

Bunlar Steam Cloud ve yerel senkronizasyon mekanizmasıyla ilişkili dosya ve klasörler.

Yanlış anlaşılmasın, bu işlem doğrudan Steam sunucularındaki bulut kayıtlarınızı silmiyor. Ancak yerel senkronizasyon bilgilerinize müdahale ediyor.

Oyun kayıtlarınızın senkronizasyonunda sorun yaşama, çakışma veya yerel veri kaybı riski oluşturabilir.

Özellikle yüzlerce saatlik ilerlemesi olan kullanıcıların böyle bir işlemi kesinlikle hafife almaması gerekiyor.

5. Steam'in DLL Dosyalarını Siliyor ve Yenilerini Yerleştiriyor

Gelelim en önemli bölümlerden birine.

Betik Steam ana klasöründe bulunan çeşitli DLL dosyalarını siliyor.

Örnekler:

• winhttp.dll
• dwmapi.dll.bak
• xinput1_4.dll.bak
• version.dll
• winmm.dll
• OpenSteamTool.dll
• Gamevia.dll
• SYS_0xA7.dll

Bunlarla da yetinmiyor.

Daha sonra internet üzerinden iki yeni DLL indiriyor:

• dwmapi.dll
• xinput1_4.dll

Ve bunları doğrudan Steam'in ana klasörüne yerleştiriyor.

İndirilen dosyaların kaynakları:

• zdb2.pages.dev
• github.com/SYS-0xA7/zdb2
• raw.githubusercontent.com/SYS-0xA7/zdb2

Burada dikkat çekmek istediğim konu şu:

DLL dosyaları çalıştırılabilir kod içerir. Steam'in ana dizinine yerleştirilen DLL'ler, Windows'un DLL yükleme mekanizmasına bağlı olarak Steam tarafından yüklenebilir.

Fakat betikte bu DLL'lerin SHA-256 kontrolü yapılmıyor. Dijital imzaları doğrulanmıyor. Dosyaların beklenen sürüm olup olmadığı kontrol edilmiyor.

Yani program, internetten indirdiği DLL'leri herhangi bir kriptografik bütünlük doğrulaması yapmadan Steam klasörüne yerleştiriyor.

Bu dosyaların tam olarak ne yaptığını söyleyebilmek için ayrıca tersine mühendislik analizi gerekiyor. Ancak bu şekilde doğrulanmamış DLL yüklemek kesinlikle güvenilir bir yaklaşım değil.

6. Gamevia.zip İndiriliyor ve AppData İçerisine Çıkarılıyor

Programın asıl bileşenlerinden biri olan Gamevia.zip dosyası da harici kaynaklardan indiriliyor.

Kullanılan adresler:

• zdb2.pages.dev
• github.com/SYS-0xA7/zdb2
• raw.githubusercontent.com/SYS-0xA7/zdb2

İndirilen arşiv şu konuma çıkarılıyor:

%APPDATA%\gamesdata

Dikkatimi çeken başka bir ayrıntı da şu:

Arşiv açılmadan önce eski Gamevia klasörü siliniyor.

Arşiv çıkarıldıktan sonra ise depotkeys.json isimli dosya özellikle kaldırılıyor.

Bunların neden yapıldığı ve arşiv içerisindeki bileşenlerin tam olarak ne yaptığı ayrıca araştırılmalı.

Ancak yine aynı problem karşımızda: İndirilen arşivin içeriği için SHA-256 veya dijital imza doğrulaması bulunmuyor.

7. Steam'in Mevcut Yapılandırmalarını da Değiştiriyor

Betik Steam'in localconfig.vdf dosyalarına müdahale ediyor.

Özellikle PeerContent ayarlarını şu şekilde değiştirmeye çalışıyor:

ClientMode = 0

ServerMode = 0

Bunlar Steam'in yerel ağ üzerinden içerik aktarımıyla ilişkili ayarlar.

Yani Steam'in LAN üzerinden içerik paylaşımı özelliği de devre dışı bırakılmaya çalışılıyor.

Bunun dışında:

• Steam appcache klasörü,
• steam.cfg dosyası,
• package\beta klasörü

de siliniyor.

Kısacası program Steam'in mevcut kurulumuna ve yapılandırmasına oldukça geniş kapsamlı müdahalelerde bulunuyor.

Sonuç

Benim şahsi tavsiyem Gamevia'dan uzak durmanız.

Birkaç ücretli oyuna erişmek uğruna bilgisayarınızın güvenliğini azaltmanız, Steam kurulumunuza müdahale edilmesine izin vermeniz ve ne olduğu bağımsız olarak doğrulanmamış DLL dosyalarını yönetici yetkisiyle çalıştırılabilecek bir ortama yerleştirmeniz mantıklı değil.

Üstelik programı kaldırmak da yapılan bütün değişiklikleri otomatik olarak geri almıyor.

Gamevia'yı daha önce kullandıysanız Defender istisnalarınızı, Windows güvenlik ayarlarınızı, Steam klasörünüzü ve Steam Cloud yapılandırmanızı kontrol etmenizi öneririm.

Bence bu tarz araçlarda asıl sorgulanması gereken şey, size ne vaat ettikleri değil, bu vaadi gerçekleştirmek için bilgisayarınızda neler yaptıklarıdır.


Fakat şu soruyu sormak gerekiyor:

Ücretsiz oyun ekleme vaadiyle dağıtılan bir programın Windows güvenliğini azaltmasına, antivirüs istisnaları oluşturmasına ve Steam'in yerel verilerine bu kadar kapsamlı müdahale etmesine neden izin verelim?

Bu konuyu daha fazla kişinin görmesi ve bilinçlenmesi için paylaşabilirsiniz.

 

[Carlo]

Bir çok konuda olduğu gibi adını ilk defa duyduğum bir şey. Merak ettiğim şu, bir insan evladı Gamevia adındaki bu aracı kullanmasa ne olur, ne kaybeder? Kullandığında ise bilgisayarına virüs bulaştırma pahasına ne kazanıyor? Bıraksınlar bilgisayarlarında Gemevia da olmayıversin. Gamevia'dan geri kalsınlar. Toplumdan dışlanacaklar mı bu yüzden? Böyle konulara denk geliyorum. Arkadaş bir şey indirmiş, virüs taraması yapmış ve virüs var. Soruyor bundan bir şey olur mu diye. Bir de hiç bununla uğraşmayanlar var. Onların açtığı konu daha farklı. "Steam hesabım çalındı" şeklinde. 2018'den sonra internet mayın tarlasından farksız hale gelmişken dijital okuryazarlığın bu kadar düşük olması vahim. Bu sadece bize has değil, küresel olarak da durum aynı.

 

[flstekdev]

Bir çok konuda olduğu gibi adını ilk defa duyduğum bir şey. Merak ettiğim şu, bir insan evladı Gamevia adındaki bu aracı kullanmasa ne olur, ne kaybeder? Kullandığında ise bilgisayarına virüs bulaştırma pahasına ne kazanıyor? Bıraksınlar bilgisayarlarında Gemevia da olmayıversin. Gamevia'dan geri kalsınlar. Toplumdan dışlanacaklar mı bu yüzden? Böyle konulara denk geliyorum. Arkadaş bir şey indirmiş, virüs taraması yapmış ve virüs var. Soruyor bundan bir şey olur mu diye. Bir de hiç bununla uğraşmayanlar var. Onların açtığı konu daha farklı. "Steam hesabım çalındı" şeklinde. 2018'den sonra internet mayın tarlasından farksız hale gelmişken dijital okuryazarlığın bu kadar düşük olması vahim. Bu sadece bize has değil, küresel olarak da durum aynı.

Kesinlikle, ben de aynı şekilde düşünüyorum. Akılları sıra yaşı küçük insanları yanlarına çekmeye çalışıyorlar. Perdelerini sonuna kadar kapattıkları odalarında, aynaya bakmaya bile çekinen ergenlerin yapay zekâ kullanarak ortaya çıkardıkları saçma sapan bir uygulamadan ibaret. Destekçilerine bakarsanız, durum daha da komik. Neredeyse hiçbirinin yaşı 15'i geçmiyor.