ABD’de boru hattı şirketi Colonial Pipeline, bir hafta önce yaşadığı fidye yazılımı saldırısının ardından tüm sistemlerini yeniden faal hale getirirken, saldırının arkasındaki siber suç örgütü DarkSide, polis baskınının ardından altyapısının kontrolünü kaybettiğini iddia etti.
Darkside Leaks blogu, fidye toplama sitesi ve veri ihlali içerik dağıtım ağı (CDN) sunucuları da dahil olmak üzere çete tarafından işletilen tüm darkweb siteleri karardı ve erişilemez duruma geldi. Ayrıca, DarkSide operatörleri tarafından bağlı kuruluşlara gönderilen notta, kripto para cüzdanlarından elde edilen fonların bilinmeyen bir hesaba aktarıldığı iddia edildi.
FİDYE YAZILIMI HİZMETİ RAFA KALKTI
Intel 471 tarafından elde edilen notta şu ifadeler yer aldı: “Şu anda, bu sunuculara SSH üzerinden erişilememektedir ve hosting panelleri engellenmiştir” Söz konusu gelişme, Darkside’ın “Hizmet olarak Fidye Yazılımı” (RaaS) ortaklık projesini rafa kaldırdığı bir zamanda gerçekleşti ve grup, saldırıya uğrayan şirketler için tüm ortaklarına şifre çözücüler göndereceklerini ve tüm ödenmemiş finansal yükümlülükleri 23 Mayıs’a kadar telafi etme sözü vereceklerini söyledi.
Söz konusu saf dışı bırakmalar, Colonial Pipeline efsanesinde sürpriz bir gelişme olarak değerlendirilirken, kamuoyu önünde bu iddiaları doğrulayacak bir kanıt olmaması, bunun bir aldatmaca olabileceğine ya da son yıllarda yasadışı darknet pazarlarını hedef alan hileli bir taktik olduğuna dair endişeleri artırdı. Çetenin dikkat çekmeden faaliyetlerine başka bir şekilde devam ettiğine dair izlenimi veriyor olma ihtimali de göz önünde bulunduruluyor.
COLONIAL PIPE 3,2 MİLYON DOLAR FİDYE YATIRDI
Blockchain analiz şirketi Elliptic’e göre, DarkSide fidye yazılımı grubu tarafından kullanılan bitcoin hesabına, 8 Mayıs’ta Colonial Pipeline tarafından 75 BTC (3.2 milyon$) tutarında bir ödeme yapıldı ve ardından 13 Mayıs’ta hesaptan 5 milyon dolar tutarında bitcoin çekildi. 4 Mart’tan bu yana aktif olan hesaba, 21 farklı hesaptan 17.5 milyon dolar tutarında toplam 57 ödeme yapıldı.
Elliptic’in kurucu ortağı Tom Robinson, bitcoinlerin ABD hükümeti tarafından ele geçirildiğine dair spekülasyonlar olduğunu ve eğer durum böyleyse bile Colonial Pipeline’ın fidye ödemesinin çoğunun ele geçirilmediğini bunların büyük kısmının 9 Mayıs’ta bitcoin cüzdanından taşındığını söyledi.
Elliptic, cüzdandaki kripto para çıkışlarını izlemek suretiyle edindiği bilgiye göre, bitcoin’in yüzde 18’inin küçük bir borsa grubuna gönderildiğini ve yüzde 4’ünün Rusya ve Doğu Avrupa’daki müşterilere hizmet veren dünyanın en büyük darknet pazarı Hydra’ya gönderildiğini söyledi. 2020 yılında dünya çapında darknet pazar gelirinin yüzde 75’inden fazlasını Hydra oluşturuyor ve kripto para araştırma firması Chainalysis’e göre Hydra kripto suç liginde önemli bir oyuncu olarak konumlandırılıyor.
FİDYE YAZILIMCILARDAN GERİ ADIM
Darkside’ın operasyonel başarısızlıkları ve Colonial Pipeline saldırısı, XSS ve Exploit gibi yasadışı siber suç forumlarında bir RaaS yasağı dalgasını da harekete geçirdi ve fidye yazılımı ekonomisinde kısa vadeli olarak büyük bir aksamaya neden oldu. Önde gelen fidye yazılımı gruplarından REvil, yazılımının herhangi bir ülkeye ait sağlık, eğitim ve devlet kurumlarına karşı kullanılmasını yasaklayan yeni kısıtlamalar getirdi.
Bu bağlamda değerlendirildiğinde, XSS, Exploit ve Revil’in eylemleri, geçtiğimiz hafta Babuk’un Metropolitan polis Departmanı’na yönelik gerçekleştirdiği eylem de dahil olmak üzere bir dizi yüksek profilli fidye yazılımı saldırısının “dalgalanma etkisi” olarak yorumlanıyor.
