Sis fidye yazılımı, veri çalmak ve saldırıları başlatmak için pentesting araçlarını kullanır

Son yıllarda sis fidye yazılımı olayları siber suçta tehlikeli yeni bir eğilim ortaya koymuştur: hackerlar, ağları ihlal etmek, gizli verileri çalmak ve fidye yazılım saldırılarını başlatmak için açık kaynaklı penetrasyon test araçları ve gerçek personel izleme yazılımı kullanıyor.

Bu benzeri görülmemiş taktik karışımı, siber güvenlik profesyonelleri arasında alarmlar artırarak büyük finansal kurumları hedeflemiştir.

Mayıs 2025’te bir Asya finans kurumu saldırısı, son derece sıra dışı bir araç seti eşliğinde sis fidye yazılımının konuşlandırılmasını içeriyordu.

– Reklamcılık –

Yeni özellikler arasında meşru bir çalışan izleme yazılımı olan Syteca’nın (eski adıyla Ekran) kullanımı vardı. Bu, Syteca tipik olarak fidye yazılımı kampanyalarıyla ilişkili olmadığından nadir bir olayı işaret eder.

Ek olarak, saldırganlar fidye yazılımı işlemlerinde yaygın olarak görülmeyen GC2, ADAPTIX ve STOWAWAWAY araçları gibi birkaç açık kaynaklı penetrasyon test aracı tanıttılar.

Örneğin, GC2, komut ve kontrol (C2) mekanizması olarak Google stajyerlerini veya Microsoft SharePoint listelerini kullanan açık kaynaklı bir araçtır.

Yüklendikten sonra, bu bulut platformlarını operatör komutları için ankete katir, yürütür ve çıktı günlüklerini veya çalınan dosyaları Google Drive veya SharePoint’e yükler.

Saldırganlar GC2’yi aşağıdakiler gibi standart keşif komutları yapmak için kullandı:

• Whoami (şu anda giriş yapmış kullanıcıları görüntüler)
• net kullanım (eşleştirilen ağ kaynaklarını paylaşır)
• CMD /C “ipconfig /all” (Ağ Yapılandırma Detayları)
• CMD /C “Netstat -anot | FindStr 3389” (Uzak Masaüstü Protokol Etkinliği)

GC2’nin diğer işlevleri arasında dosyaların yüklenmesi/indirilmesi, rastgele kabuk kodunun yüklenmesi ve yürütülmesi ve doğrudan komut yürütme yetenekleri daha fazla gelişmiş kalıcı tehdit (APT) operasyonlarında görüldü.

STOWAWAWAY, saldırganlara anahtarlık ve ekran yakalama özellikleri sağlayan Syteca’yı teslim etmek için bir proxy olarak kullanıldı.

Syteca’nın varlığı, saldırganların sadece fidye yazılımı güdümlü bozulma veya finansal kazançtan ziyade birincil hedef olarak casusluk yapmış olabileceğini düşündürmektedir.

Saldırganlar ayrıca, saldırı sonrası temizlikte Psexec ve Smbexec gibi araçları kullanarak Syteca’nın kurulumunun kanıtlarını silmeye çalıştılar.

Kalıcı erişim ve veri açığa çıkması

Rapora göre, bu saldırıyı özellikle endişe verici kılan şey, tehdit aktörleri tarafından kurulan kalıcılık.

Fidye yazılımlarını dağıtırdıktan sonra, genellikle birçok saldırıdaki son adım, saldırganlar ağa sürekli erişimi sürdürmek için bir hizmet oluşturdu.

Çoğu fidye yazılımı grubu, kurbanın ortamından çekilmeden önce veri şifrelemeye ve ödemeleri zorlamaya odaklandığından bu olağandışıdır.

Veri hırsızlığı için, saldırganlar Freefilesync ve Megasync dahil olmak üzere dosya aktarım yardımcı programlarını indirdiler.

Ayrıca, hassas dizinleri sıkıştırmak ve püskürtmek için açık kaynaklı arşiv 7-zip kullandılar.

Kobalt grevine açık kaynaklı bir alternatif olan Adaptix C2 Agent Beacon’un kullanımı, saldırganlara sofistike APT grupları tarafından kullanılanlara benzer komuta ve kontrol yetenekleri sağladı.

Psexec ve smbexec, yanal hareket için kullanıldı ve saldırganların ağ üzerindeki etkilerini genişletmelerine izin verdi.

Ayrıca, bir süreç bekçi mekanizması, GC2 implantı gibi kritik saldırgan araçlarının tehlikeye atılmış makinelerde çalışmaya devam etmesini sağladı.

Casusluk, fidye yazılımı veya her ikisi?

Meşru izleme yazılımı, pentesting araçları ve kalıcı arka kapı mekanizmalarının yakınsaması, bu saldırının casusluk için düzenlenmiş olabileceğini ve fidye yazılımlarının saldırganlar için bir tuzak veya bonus olarak hizmet ettiğini göstermektedir.

Saldırganlar, sis fidye yazılımı dağıtmadan önce ağın içinde iki haftaya kadar harcadı ve kapsamlı bir keşif aşamasını gösterdi.

Bu olay, olağandışı açık kaynaklı ve ticari yazılım dağıtımlarının yanı sıra beklenmedik ağ kalıcılık mekanizmalarının izlenmesinin önemini vurgulamaktadır.

Saldırılarda meşru araçların kullanılması, tespiti daha zor hale getirerek ileri davranışsal analitik ve sağlam uç nokta koruması gerektirir.

Uzlaşma göstergeleri

Bir IOC kötü niyetli ise ve dosya bizim için kullanılabilirse, Symantec uç noktası ürünleri bu dosyayı algılayacak ve engeller.

Dosya Göstergeleri:

Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin