CISA, 900’den fazla orgs’u hackleyen oyun fidye yazılımı için TTPS & IOCS’yi yayınladı

Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), Federal Soruşturma Bürosu (FBI) ve Avustralya Sinyalleri Müdürlüğü’nün ASD’si ACSC (ASD), ayrıntılı taktikler, teknikler ve prosedürler (TTPS) ve dikkat çekici oyun yazılımı grubu için sıkıştırma (IOCS) göstergeleri yayınladı.

Mayıs 2025 itibariyle FBI, Haziran 2022’de ortaya çıkmasından bu yana bu fidye yazılımı varyantının Kuzey Amerika, Güney Amerika ve Avrupa’daki önemli ölçeğinin ve etkisinin altını çizen bu tehdit aktörleri tarafından sömürüldüğü iddia edilen yaklaşık 900 varlığı tespit etti.

PlayCrypt olarak da bilinen bu fidye yazılımı grubu, 2024’te en aktif olanlar arasında yer alarak, sofistike bir çift gasp modeli ile geniş bir işletme ve kritik altyapı hedefliyor.

– Reklamcılık –

4 Haziran 2025’te güncellenen danışmanlık, oyun fidye yazılımı aktörlerinin Fortios (CVE-2018-13379, CVE-2020-12812) ve Microsoft Exchange (Proxynotshell VecurnerAbiles CVE-2012) gibi kamuya açık uygulamalardaki güvenlik açıklarını nasıl kullanarak başlangıç ​​erişimini nasıl kazandığını detaylandırıyor. karanlık web pazarlarından temin edildi.

Giriş için Uzak Masaüstü Protokolü (RDP) ve Sanal Özel Ağlar (VPN) gibi harici bakan hizmetleri (VPN) kullanırlar ve son raporlar, SimpleHelP uzaktan izleme ve yönetim aracı güvenlik açıklarının (CVE-2024-57727) uzaktan kod yürütme için kullanılmasını vurgulamaktadır.

Sofistike çift gasp modelinden etkilenen 900’den fazla varlık

İçeri girdikten sonra grup, Active Directory sorguları için Adfind gibi araçlar ve ağ numaralandırması için bir bilgi çalma olan Grixba gibi araçlar kullanırken, GMER ve IOBIT gibi araçları kullanarak antivirüs yazılımını devre dışı bırakır.

Yanal hareketleri, Kobalt Strike ve SystemBC gibi komut ve kontrol uygulamaları ile kolaylaştırılır ve Mimikatz, alan yöneticisi erişimi kazanmak için kimlik bilgisi dökümü için kullanılır.

Operasyonlarının benzersiz bir yönü, her saldırı için fidye yazılımı ikili olarak yeniden derleniyor, bu da geleneksel kötü amaçlı yazılım algılamasından kaçan ve savunma çabalarını karmaşık hale getiren farklı karmalarla sonuçlanıyor.

Play Ransomware’in etkisi, çift gasp stratejisi, veri sonrası sistemleri şifreleme ve benzersiz @gmx.de veya @web.de e-posta adresleri aracılığıyla kripto para fidye talep etmesi ile güçlendirilir.

Uyumlu olmayan kuruluşlar, genellikle basınç ödemesine doğrudan telefon görüşmeleri eşlik eden grubun TOR ağ sitesinde veri sızıntıları tehditleriyle karşı karşıyadır.

Grubun ESXI varyantı, sanal makineleri kapatırken AES-256 şifrelemesini kullanarak .vmdk ve .vmx gibi uzantılarla dosyaları şifreleyerek sanal ortamları özellikle hedefler.

Danışma, çok faktörlü kimlik doğrulama, normal yazılım yaması, ağ segmentasyonu ve fidye yazılımlarının yayılmasını ve etkisini azaltmak için çevrimdışı şifreli yedeklemelerin korunması dahil olmak üzere acil hafifletme adımlarını vurgulamaktadır.

Kuruluşlar ayrıca, bu gelişen tehdide karşı savunmaları güçlendirmek için raporda belirtilen MITER ATT & CK çerçeve tekniklerine karşı güvenlik kontrollerini doğrulamaya teşvik edilmektedir.

Bu kapsamlı güncelleme, sistemlerini Play Fidyeware’in kalıcı ve gelişen tehdit manzarasına karşı güçlendirmeyi amaçlayan ağ savunucuları için hayati bir kaynak olarak hizmet vermektedir.

Uzlaşma Göstergeleri (IOCS)

Siber güvenlik becerilerinizi yükseltmek için 150’den fazla pratik siber güvenlik kursuyla elmas üyeliği alın – buraya kaydolun