Kaspersky Global Acil Durum Müdahale Takımı, çalışanların kimlik bilgilerinin çalınmasını takip eden bir atak sırasında kullanılan, daha evvel görülmemiş bir fidye yazılımı çeşidinin etkin olarak dolanımda olduğunu tespit etti. “Ymir” olarak isimlendirilen fidye yazılımı, gelişmiş saklılık ve şifreleme tekniklerini kullanıyor. Ayrıyeten evrakları seçerek maksat alıyor ve tespit edilmekten kaçınmaya çalışıyor.
Ymir fidye yazılımı, tesirini artıran teknik özellikler ve taktikler eşliğinde eşsiz bir yetenek kombinasyonu ortaya koyuyor.
Gizlilik için yaygın kullanılmayan bellek manipülasyon teknikleri. Tehdit aktörleri, makus maksatlı kodu direkt bellekte çalıştırmak için malloc, memmove ve memcmp üzere alışılmadık bellek idaresi fonksiyonları karışımından yararlanıyor. Bu yaklaşım, yaygın fidye yazılımı çeşitlerinde görülen tipik sıralı yürütme akışından saparak kapalılık yeteneklerini artırıyor. Üstüne Ymir esnek bir yapılanma gösteriyor: Saldırganlar –path komutunu kullanarak fidye yazılımının belgeleri araması gereken dizini belirleyebiliyorlar. Şayet bir belge beyaz listede yer alıyorsa, fidye yazılımı bu belgeyi atlıyor ve şifrelemeden bırakıyor. Bu özellik saldırganlara neyin şifrelenip neyin şifrelenmeyeceği konusunda daha fazla denetim sağlıyor.
Veri çalmaya odaklı berbat emelli yazılım. Kolombiya’daki bir kuruluşa yönelik gerçekleşen ve Kaspersky uzmanları tarafından gözlemlenen bir atakta, tehdit aktörlerinin çalışanlardan kurumsal kimlik bilgilerini almak için bilgi çalmaya odaklı bir berbat hedefli yazılım çeşidi olan RustyStealer’ı kullandığı görüldü. Bu bilgiler daha sonra kuruluşun sistemlerine erişim sağlamak ve fidye yazılımını dağıtacak kadar uzun mühlet boyunca denetimi elde tutmak için kullanıldı. Bu atak, saldırganların sistemlere sızdığı ve erişimi sürdürdüğü birinci erişim ortacısı olarak biliniyor. Çoklukla birinci erişim aracıları elde ettikleri erişimi dark web üzerinden öteki siber hatalılara satıyorlar. Lakin bu olayda saldırganlar fidye yazılımını sisteme bulaştırarak saldırıyı kendileri devam ettirmiş üzere görünüyorlar. Kaspersky Küresel Acil Durum Müdahale Grubu Olay Müdahale Uzmanı Cristian Souza, “Aracılar hakikaten de fidye yazılımını dağıtan aktörlerle aynıysa, bu durum klâsik Hizmet Olarak Fidye Yazılımı (RaaS) kümelerine güvenmeden ek ele geçirme seçenekleri yaratan, yeni bir eğilime işaret edebilir” diyor.
Ymir’in fidye notu
Gelişmiş şifreleme algoritması. Fidye yazılımı suratı ve güvenliğiyle bilinen, hatta Gelişmiş Şifreleme Standardından (AES) daha düzgün performans gösteren çağdaş bir akış şifresi olan ChaCha20’yi kullanıyor.
Cristian Souza, durumu şöyle yorumluyor: “Bu hücumun ardındaki tehdit aktörü çalınan dataları kamuyla paylaşmamış ya da diğer taleplerde bulunmamış olsa da, araştırmacılar bu mevzuda yeni bir faaliyet olup olmadığını yakından takip ediyor. Şimdi yeraltı pazarında ortaya çıkan yeni bir fidye yazılımı kümesi gözlemlemiş değiliz. Saldırganlar ekseriyetle karanlık web forumları ya da portalları kullanarak bilgi sızdırıp kurbanları fidye ödemeye zorlarlar ki Ymir’de bu türlü bir durum kelam konusu değildi. Bu nedenle, fidye yazılımının ardında hangi kümenin olduğu sorusu açıkta kalıyor ve bunun yeni bir kampanya olabileceğinden şüpheleniyoruz.”
Yeni tehdit için bir isim arayan Kaspersky uzmanları, Satürn’ün Ymir isimli ayının ismini kullanmaya karar verdi. Bu ay, gezegenin dönüşünün aykırısı istikametinde hareket eden “düzensiz” bir ay ve bu özelliği yeni fidye yazılımında kullanılan bellek idaresi fonksiyonlarının alışılmadık karışımına enteresan bir biçimde benziyor.
Kaspersky eserleri, Ymir fidye yazılımını Trojan-Ransom.Win64.Ymir.gen olarak tespit ediyor. Kaspersky ayrıyeten kurumlara fidye yazılımı taarruzlarından korunmaları için aşağıdaki tedbirleri öneriyor:
- Sıkı bir yedekleme programı uygulayın ve sistemli testler yapın.
- Veri çalan berbat maksatlı yazılımlar üzere siber tehditlere karşı farkındalığı artırmak ve tesirli azaltma stratejilerini öğretmek için çalışanlarınıza tertipli siber güvenlik eğitimleri verin.
- Fidye yazılımının kurbanı olduysanız ve karşılaştığınız tehdide dair şimdi bilinen bir şifre çözücü yoksa, şifrelenmiş kritik belgelerinizi saklayın. Devam eden bir tehdit araştırması kapsamında yahut yetkililerin tehdidin gerisindeki aktörün denetimini ele geçirmeyi başarması halinde bir şifre çözme tahlili ortaya çıkarsa, datalarınızı kurtarma talihi bulabilirsiniz.
- Fidyeyi ödemenizi tavsiye etmiyoruz. Fidye ödemek makûs hedefli yazılımın yaratıcılarını faaliyetlerine devam etmeye teşvik eder. Ayrıyeten belgelerinizin inançlı ve sağlam bir biçimde geri gelmesini garanti etmez.
- Şirketi çok çeşitli tehditlere karşı korumak için Kaspersky Next gibi gerçek vakitli muhafaza, tehdit görünürlüğü, araştırma ve EDR ve XDR’nin her büyüklükteki ve kesimdeki kuruluşlar için cevap yeteneklerini sağlayan tahlilleri kullanın.
- Tehdit tanımlamadan daima müdafaa ve düzeltmeye kadar tüm olay idaresi döngüsünü kapsayan, Kaspersky’nin Tehdit Değerlendirmesi, Yönetilen Tespit ve Müdahale (MDR) ve/veya Olay Müdahalesi gibi yönetilen güvenlik hizmetlerini kullanın. Bunlar siber hücumlara karşı korunmaya, mümkün akınları araştırmaya ve şirkette güvenlik çalışanınız olmasa bile ek siber güvenlik uzmanlığı kazanmanıza yardımcı olur.
Kaynak: (BYZHA) Beyaz Haber Ajansı