Etiket arşivi: fidye yazılım

Siber Güvenlik

Black Basta çetesinin arkasında kim var?

Yorum yapın

Black Basta çetesinin arkasında kim var?Tarihin en zararlı fidye yazılım çetelerinden biri olan Conti, fidye yazılımı sahnesinden inmiş olsa da grup üyeleri farklı şekillerde yollarına devam ediyor. Yapılan son analizler, Black Basta fidye yazılımı çetesinin Conti’yle olan benzerliği üzerinde duruyor.

CONTİ: TARİHİN EN ZARARLI FİDYE YAZILIMI ÇETELERİNDEN BİRİ

Conti çetesi, siber güvenlikte tüm zamanların en zararlı fidye yazılımı operasyonu olarak değerlendiriliyor. Ağırlıklı olarak Rusya merkezli olarak bilinen çetenin ortaya çıkışı 2020 yılında olurken kurban ağlarına sızmak için oltalama kampanyaları, çalınmış RDP bilgileri, yazılım zafiyetleri gibi çeşitli taktikler uyguladıkları biliniyor. 

Son iki yılda gerçekleştirdikleri operasyonlar nedeniyle üne kavuşan çete, bu yılın mayıs ayında operasyonlarını durduklarını açıklamıştı. Dikkatleri azaltmak için bu yola başvurdukları düşüncesiyle birlikte çetenin dikkatler azaldığında yeniden bir araya gelip orijinaline benzer yeni bir suç örgütü kuracağı tahmin ediliyor.

Conti fidye yazılım çetesi bitti ama operasyonları devam ediyor

 

CONTİ YENİDEN BİR ARAYA GELİR Mİ? HALEFLERİ KİM?

Conti operatörleri, mayıs ayında yönetim panellerini, sunucularını, sohbet odalarını kolluk kuvvetlerinden ve medya ilgisinden kaçınmak için kapatmış bununla birlikte birkaç hafta sonra da sızıntı sitesine son vermişti.

O dönemde AdvIntel tarafından yapılan bir analizde araştırmacılar, çetenin ana aktörlerinin, grup resmî olarak dağılmadan birkaç ay önce başka görünüşler altında operasyonlarını sürdürme planlarını uygulamaya koydukları sonucuna varmıştı.

Intel 471’den araştırmacılar, yaptıkları analizler sonucu Conti’nin fidye yazılımı sahnesinden inmesinden yaklaşık bir ay önce faaliyete geçen Black Basta fidye yazılımı çetesinin Conti’nin kılık değiştirme planına uygun düştüğünü ortaya koydu.

BLACK BASTA FİDYE YAZILIM ÇETESİ KİMDİR?

İlk kez Nisan 2022’de keşfedilen ve birkaç aydır aktif olan Black Basta fidye yazılım çetesi, ABD, İngiltere, Hindistan, Kanada, Avustralya, Yeni Zelanda ve Birleşik Arap Emirlikleri gibi çeşitli ülkelerdeki 50’ye yakın hedefe saldırdığı biliniyor.

Hedeflenen organizasyonlardan gelen şikâyetler doğrultusunda araştırmalarını yöneten siber güvenlik araştırmacıları, Black Basta fidye yazılımına ilk kez bu yılın nisan ayında yani Conti’nin dağılmasından bir ay önce rastladı.

Henüz Black Basta çetesinin kökeni belirli olmasa da yeraltı forumlarında Black Basta’yla bağlantıları olduğunu iddia eden kişiler tarafından bazı Rusça yazılar paylaşıldığı biliniyor.

Hâlihazırda Black Basta’nın belirli bir endüstri hedefi olmasa da saldırdığı hedefler arasında imalat, kamu, ulaşım ve hükûmet kuruluşları bulunuyor. Bir hayli geniş kurban listesinin yanında Black Basta fidye yazılımını ilgi çekici kılan birkaç detay da bulunuyor.

BLACK BASTA FİDYE YAZILIMI NASIL ÇALIŞIYOR?

Yapılan araştırmalar sonucu Black Basta’nın VMWare ESXi varyantlarının, Windows sistemlerine bulaşan sürümlerin yanı sıra Linux sunucularında çalışan sanal makineleri hedeflediği, buna ek olarak bir organizasyon içinde yanlamasına hareket etmesine, keşif yapmasına, veri çalmasına ve payload yürütmesine yardımcı olmak içinse Qakbot’u kullandığı belirtiliyor.

Hedefledikleri şirketlerden veri çalarak işlerine başlayan yeni fidye yazılımı sonrasında şirketlerin bilgisayar sistemlerindeki dosyaları şifreliyor.

Fidye yazılımı hedefe kurulup dosyaları şifreleyip gölge kopyaları ve diğer yedeklemeleri sildikten sonra çete, kurbanlarından fidye talep ediyor. Black Basta’ya hedef olan kurbanlar verilerindeki şifreyi çözmeyi veya Black Basta çetesinin verilerini sızdırmasını engellemek istediğindeyse kripto para şeklinde büyük miktarlarda fidye isteniyor.

CONTİ ÇETESİYLE OLAN BENZERLİK

Intel 471 araştırmacı, Black Basta’nın veri sızıntı siteleri, ödeme siteleri, kurtarma portalları, iletişim ve müzakere yöntemleri gibi altyapılarının Conti’nin operasyonlarıyla örtüştüğüne raporlarında yer verdi.

Black Basta çetesiyle benzerliklerinin yanında Intel 471, ayrıca Conti ile önemli benzerliklere sahip olan iki fidye yazılımı çetesi daha belirledi. BlackByte ve Karakurt olarak bilinen fidye yazılımı çetelerinin haricinde birçok Conti operatörü de Ryuk, Maze, LockBit 2.0, BlackCat, Hive ve HelloKitty dâhil olmak üzere çeşitli fidye yazılımı çeteleriyle ittifak kurduğu raporda yer aldı.

Intel471’den istihbarat direktörü Brad Crompton, “Güvenlik ekiplerinin işletmelerini savunmak için siber suçluların operasyonlarını nasıl organize ettiğini anlamaları gerekiyor. Conti dağılmış olsa da eski operatörler hâlâ benzer teknikler kullanıyorlar, bu da güvenlik ekiplerinin Conti’nin dağılmasını tamamen görmezden gelmek yerine benzer saldırıları durdurmak için önceki stratejilerini kullanmalarına devam etmeleri gerekiyor.” dedi.

BLACK BASTA FİDYE YAZILIMINDAN NASIL KORUNULUR?

Sadece Black Basta’ya özel olmamakla birlikte hemen her fidye yazılımı saldırılarına karşı benzer güvenlik önlemlerinin alınması, siber saldırılardan korunmaya veya etkisini azaltmada yardımcı olacağı biliniyor.

Söz konusu önlemler arasında güvenlik zafiyetlerine karşı en son güvenlik güncellemelerine sahip olmak, hassas veri ve hesapları korumak için benzersiz parolalar kullanmak, çok faktörlü kimlik doğrulamaları etkinleştirmek, hassas verileri mümkün olan her yerde şifrelemek, ihtiyaç duyulmayan işlevleri devre dışı bırakmak, siber tehdit aktörlerinin kullandığı saldırı yöntemleri hakkında çalışanları bilgilendirmek bulunuyor.

Uluslararası İlişkiler

ABD ve Avrupa Birliği fidye yazılıma karşı iş birliği yapacak

Yorum yapın

ABD ve Avrupa Birliği yetkilileri, fidye yazılım çetelerine karşı iş birliği yapmak üzere bir çalıştayda araya geldi.

Hollanda’nın Lahey kentinde gerçekleşen görüşmede fidye gruplarına yönelik yürütülecek yeni stratejiler değerlendirildi.

Toplantılarda hazır bulunan ABD Adalet Bakanlığı yetkilileri ve Eurojust heyeti uzmanları fidye yazılım tehdidine karşı yapılacak iş birliğinin ayrıntılarını görüştü.

Fidye yazılım saldırısı ABD’deki kenti 1977’ye geri gönderdi

Konuya ilişkin açıklamalarda bulunan ABD Başsavcı Yardımcısı Kenneth A. Polite Jr., olayla ilgili yaptığı açıklamada, “Yalnızca AB’deki kilit kolluk kuvvetleri ve savcılık yetkilileriyle birlikte çalışarak, fidye yazılımlarının toplumumuz için oluşturduğu tehditle etkin bir şekilde mücadele edebiliriz. Toplantının fidye yazılımı tehdidiyle mücadelede daha fazla koordinasyon ve iş birliğini teşvik edeceğinden eminim.” ifadelerini kullandı.

ABD

Fidye yazılım saldırısı ABD’deki kenti 1977’ye geri gönderdi

Yorum yapın

ABD’nin New Jersey kentindeki Somerset kenti kuruluşların iş yapma yeteneğini engelleyen ve aynı zamanda temel verilere erişimi kesen bir fidye yazılımı saldırısının hedefi oldu.

Tapu kayıtları, doğum ve ölüm istatistikleri ve veraset kayıtları gibi veritabanlarına erişime bağlı hizmetler geçici olarak kullanılamaz hale geldi. Saldırı sonunda yönetimin elinde arşiv aramaları için sadece 1977’den önceki kayıtlar kaldı. 

VATANDAŞLARDAN E-POSTA YARDIMI İSTENDİ

Saldırı, kasabaya bağlı resmi dairelerin kullandığı e-posta hizmetlerini askıya aldı ve resmi daire “internet erişimine bağlı hizmetlerin çoğunu sağlayamadı.” Somerset County sakinlerinden, çeşitli departmanlar için oluşturulan Gmail adresleri veya telefonla devlet daireleriyle iletişim kurmaları istendi. 

Fidye grubundan kritik altyapı saldırısı: Elektirik yönetim sistemlerini hedef aldılar!

İlçenin 911 sistemi ve hapishaneleri ve mahkemeleri için işler biraz daha yavaş olsa da devam etti. Öte yandan 7 Haziran’da yapılması planlanan New Jersey’deki ön seçimler de planlandığı gibi gerçekleşecek, zira “yaklaşmakta olan ön seçimler için dijital kayıtlar ve oylama makineleri hiçbir zaman ilçe sistemine bağlı değil ve etkilenmiyor.”

Somerset İlçe Yönetiminden Colleen Mahr ‘a göre, kesintilerin en azından bu haftanın geri kalanında yürürlükte kalması muhtemel. Mahr, “Durumumuzu değerlendirmek, daha fazla hasarı önlemek ve nihayetinde iyileşmek için günün her saatinde çalışan olağanüstü bir BT departmanımız var” dedi. 

İlçe idaresi son gelişmelerle ilgili bilgi talebine henüz bir yanıt vermedi. 

Bu arada Malwarebytes, Rusya’ya saldıran “gelişmiş kalıcı tehdit grubu” olarak bilinen bir APT grubunu keşfetti. Malwarebytes sofistike siber saldırılar gerçekleştirebilecek hackerlardan oluşan APT grubunun Çin’den geldiğine dair işaretler gösterdiğini söyledi.

Kimliği belirsiz grup, şubat ayından itibaren, devlet kontrolündeki Russia Today televizyon kanalı da dahil olmak üzere Rus hükümet kuruluşlarına karşı dört ayrı spear-phishing (oltalama) saldırısı başlattı. Spear-phishing saldırıları kurbanların e-posta hesaplarına; hediye, indirim gibi sahte iletiler göndermek suretiyle kredi kartı bilgileri, kimlik bilgisi gibi hassas verilerin çalınmasını ön gören bir saldırı çeşidi. 

Saldırılar yeni değil. Rusya’nın Ukrayna’yı işgalinden birkaç gün sonra başlatılan ve bir tanesi Ukrayna’nın etkileşimli bir haritasına benzeyecek şekilde tasarlanmış kötü amaçlı yazılımlar içeriyor. Diğeri Log4j için sahte bir yama içeriyor, üçüncüsü ise bir takım kötü amaçlı makroların gömülü olduğu sahte bir iş teklifi içeren .doc uzantılı dosya içeriyor.

KÖTÜ AMAÇLI YAZILIM SİLEN BİR YAPAY ZEKA ÜRÜNÜ TASARLANDI

Öte yandan Galler’deki Cardiff Üniversitesi’nden Boffins geçtiğimiz günlerde, “bilgisayardaki dosyaların yüzde 92 oranında bozulmasını önleyebilecek yeni bir yapay zeka tasarladıklarını iddia ettikleri bir makale yayınladı. Bu tasarım sayesinde bir parça kötü amaçlı yazılımın silinmesi ortalama 0,3 saniye sürüyor.”

Siber Güvenlik

Türk programcıyı taklit eden fidye yazılımcılar Robin Hoodluk yapıyor

Yorum yapın

Türk yazılımcının açık kaynaklı hale getirdiği bir yazılımı taklit  ettiği iddia edilen tehdit aktörlerinin, zenginden alıp fakire veren Robin Hood karakteri gibi davrandığı ortaya çıktı.

Fidye yazılımı grupları büyük veri şifreleme operasyonları ile şirketlerin başını ağrıtmaya devam ederken bu gruplardan biri eylem tarzı ile şaşkınlığa yol açtı. Kendilerine GoodWill adını veren yeni bir fidye yazılımı grubu sistemlerine sızdıkları şirketleri toplum yararına bağış yapmaya ve ihtiyaç sahibi insanlara yardım yapmaya zorluyor.

CloudSEK’te görev yapan araştırmacılar geçtiğimiz hafta yayınlanan bir raporda, “Fidye yazılımı grubu şifre çözme anahtarı karşılığında çok sıra dışı taleplerde bulunuyor. Robin Hood gibi hareket eden grup, kurbanları finansal motivasyonlarla gasp etmek yerine, muhtaçlara yardım etmekle ilgilendiğini iddia ediyor.”
.Net’te yer alan haberde fidye yazılımı ilk olarak Mart 2022’de Hindistan merkezli siber güvenlik firması tarafından tespit edildi.

Hamza Bendelladj: Modern Robin Hood mu yoksa bir gangster mi?

Şifreleme için AES algoritmasını kullanan kötü amaçlı yazılım, dinamik analize müdahale etmek için 722.45 saniye boyunca uyku modunda kalması ile dikkat çekiyor.
Şifreleme işlemini, kurbanların şifre çözme kitini elde edebilmek için sosyal içerikli üç faaliyet yürütmelerini gerektiren çok sayfalı bir fidye notunun görüntülenmesi takip ediyor.

EVSİZLERE BATTANİYE, ÇOCUKLARA YEMEK…

Bu görevler arasında evsizlere yeni kıyafetler ve battaniyeler bağışlamak, beş dezavantajlı çocuğu Domino’s, Pizza Hut veya KFC’ye götürmek ve acil tıbbi yardıma ihtiyaç duyan ancak maddi imkanları olmayan hastalara maddi destek sunmak gibi işler yer alıyor.

Ayrıca, mağdurlardan yaptıkları bu görevleri ekran görüntüleri ve selfi şeklinde kaydetmeleri ve sosyal medya hesaplarında kanıt olarak paylaşmaları isteniyor.

Araştırmacılar şunları ifade etti: “Facebook ya da Instagram’da, üç görevin tümü tamamlandıktan sonra, mağdurlar ayrıca ‘GoodWill adlı bir fidye yazılımının kurbanı olarak kendinizi nasıl nazik bir insana dönüştürdükleri’ konusunda sosyal medyada da bir not yazmak durumunda kalıyorlar”
GoodWill’in henüz bilinen bir kurbanı bulunmuyor ve saldırıları kolaylaştırmak için kullanılan somut taktikleri, teknikleri ve prosedürleri (TTP’LER) henüz net değil.

TÜRK PROGRAMCININ FİDYE YAZILIMINI TAKLİT ETMİŞ OLABİLİRLER

Ayrıca, e-posta adresine ilişkin yaplan bir analiz, operatörlerin Hindistanlı olduğunu ve Hintçe konuştuklarını gösterse de tehdit aktörünün kimliği henüz bilinmiyor.

Fidye yazılımı örneğiyle ilgili daha ayrıntılı bir şekilde yapılan bir araştırma, söz konusu yazılımın Windows tabanlı başka bir tür ile önemli ölçüde örtüştüğünü ortaya koydu. Bahsi geçen tür, HiddenTear (Gizli Gözyaşı) adıyla 2015 yılında bir Türk programcı tarafından kavram kanıtı (PoC) olarak açık kaynaklı hale getirilen ilk fidye yazılımı.

PoC, bir fikrin uygulanabilirliğini pratikte gösterebilmek için bir fikrin test uygulamasını ifade ediyor.
Araştırmacılar, “GoodWill operatörleri, gerekli değişikliklerle yeni bir fidye yazılımı oluşturmalarına izin vererek buna erişmiş olabilirler” dedi.

Siber Saldırılar

Conti fidye yazılım çetesi bitti ama operasyonları devam ediyor

Yorum yapın

Son zamanlarda yaptığı fidye yazılımı saldırıları ile adını duyuran Conti fidye yazılımı çetesi, operasyonlarını resmen durdurdu, altyapıyı devre dışı bıraktı ve ekip liderleri artık söz konusu markanın olmadığını açıkladı. Gelişmeler ise çetenin iç altyapısının kapatıldığı yönünde tweet atan Advanced Intel’den Yelisey Boguslavskiy tarafından duyuruldu.

Kamuya açık ‘Conti News’ veri sızıntısı ve fidye pazarlığı siteleri hala çevrimiçiyken, Boguslavskiy Bleeping Computer internet sitesine üyelerin pazarlıkları gerçekleştirmek ve veri sızıntısı sitelerinde “haberler” yayınlamak için kullandıkları Tor yönetici panellerinin çevrimdışı olduğunu söyledi.

Öte yandan sahip oldukları rocket sohbet sunucuları gibi dahili hizmetlerin de devre dışı bırakılmakta olduğu belirtildi.

Conti’nin Kosta Rika ile sürdürdüğü bilgi savaşının tam ortasında faaliyetlerine son vermesi garip gelse de Boguslavskiy Conti’nin bu çok büyük ölçüde kamusal olan saldırıyı canlı bir operasyonun cephesini oluşturmak için gerçekleştirdiğini söylerken, Conti üyeleri yavaş yavaş diğer küçük fidye yazılım operasyonlarına kaydı. 

Advanced Intel tarafından yayınlanan bir raporda ise şu ifadeler yer aldı: “Bununla birlikte, AdvIntel’in düşmanca görünümü ve istihbarat bulguları, aslında tam tersi bir sonuca işaret ediyordu: Conti’nin bu son saldırıyla tek hedefi, kendi yok oluşlarını ve müteakip yeniden doğuşlarını gerçekleştirebilecekleri en makul bir şekilde tasarlamak suretiyle platformu bir tanıtım aracı olarak kullanmaktı” 

Conti grubundan Kosta Rika vatandaşlarına ayaklanma çağrısı

“Kosta Rika’ya fidye yerine tanıtım yoluyla saldırılmasına ilişkin gündem, Conti yönetimi tarafından şirket içi deklare edildi. Grup üyeleri arasındaki iç yazışmalar, talep edilen fidye ödemesinin 1 milyon USD’nin çok altında olduğuna işaret ediyordu (fidyenin 10 milyon USD olduğuna dair doğrulanmamış iddialara ve Conti’nin kendi iddialarına göre meblağın 20 milyon USD olmasına rağmen).”

KÜÇÜK FİDYE YAZILIM  ÇETELERİYLE ORTAKLIK KURACAK

Conti fidye yazılımı markası artık olmasa da, siber suçlar karteli fidye yazılımı sektöründe uzun süre önemli bir rol oynamaya devam edecek.

Boguslavskiy, başka bir büyük fidye yazılımı operasyonu olarak yeniden markalaşmak yerine, Conti yönetiminin saldırıları yürütmek için diğer küçük fidye yazılımı çeteleriyle ortaklık kurduğunu söyledi.

Bu ortaklık kapsamında, daha küçük fidye yazılımı çeteleri deneyimli Conti pentestçiler, müzakereciler ve operatörlerin akınına uğruyor. Conti siber suçlar karteli, tümü merkezi yönetim tarafından idare edilen daha küçük “hücrelere” bölünerek hareketlilik ve böylece kolluk kuvvetlerinden daha fazla kaçınma kabiliyeti kazanıyor.

Advanced Intel raporu, Conti’nin HelloKitty, AvosLocker, Hive, BlackCat, BlackByte ve daha fazlası dahil olmak üzere çok sayıda tanınmış fidye yazılımı grubuyla ortaklık kurduğunu açıklıyor.

Müzakereciler, Intel analistleri, pentestçiler ve yazılım geliştiriciler de dahil olmak üzere mevcut Conti üyeleri diğer fidye yazılımı operasyonlarının tamamına yayılmış durumdalar. Bu kişiler şimdilerde diğer fidye yazılımı operasyonunun şifreleyicilerini ve müzakere sitelerini kullanacak olsa da, hala Conti siber suç kartelinin bir parçası konumundalar.

Advanced Intel ayrıca, veri şifrelemesine değil, tamamen veri sızıntısına odaklanan yeni özerk Conti üyesi gruplarının oluşturulduğunu da belirtiyor. Karakurt, BlackByte ve Bazarcall collective bu gruplardan bazılarını oluşturmaktadır. Bu girişimler, mevcut siber suçlar kartelinin faaliyetlerine devam etmesine izin veriyor, ancak artık Conti adı altında değil.

ZEHİRLİ BİR MARKA

Conti’nin marka kimliğinin yenilenmesi, son dönemde şirketi takip eden araştırmacılar ve gazeteciler için sürpriz olmadı. Conti fidye yazılımı operasyonu, Ryuk fidye yazılımının yerini almasının ardından 2020 yazında başlatıldı. Ryuk gibi, Conti de fidye yazılım çetesine ilk erişimi sağlayan TrickBot ve BazarLoader gibi diğer malware enfeksiyonlarıyla ortaklıklar kurulması suretiyle dağıtıldı.

Zamanla, Conti en büyük fidye yazılımı operasyonuna daha sonra da TrickBot, BazarLoader ve Emotet’in operasyonlarını devraldıklarında yavaş yavaş bir siber suç karteline dönüştü. Conti, Tulsa Belediyesine, Broward County Devlet Okullarına ve Advantech’e karşı olanlar da dahil olmak üzere, sayısız saldırıdan sorumluydu. İrlanda Sağlık Hizmetleri Yönetimi’ne (HSE) ve Sağlık Bakanlığı’na (DoH) saldırarak ülkenin BT sistemlerini haftalarca kapattıktan sonra medyanın dikkatini çektiler. Nihayetinde, fidye yazılımı çetesi İrlanda’nın HSE’sine ücretsiz bir şifre çözücü temin etti ancak halihazırda dünya çapında kolluk kuvvetlerinin hedefine girmiş oldu.

Conti’nin Rusya’nın Ukrayna’yı işgalinde Rusya’dan yana taraf olmasına kadar, Conti markası zaten inanılmaz derecede toksik hale gelmişti bile. Rusya’ya katıldıktan sonra, Ukraynalı bir güvenlik araştırmacısı, Conti fidye yazılımı çetesi üyeleri ile Conti fidye yazılımı şifreleyicisinin kaynak kodu arasında 170 binden fazla iç yazışmayı sızdırmaya başladı.

Bu kaynak kodu kamuya duyurulduktan sonra, diğer tehdit aktörleri bunu kendi saldırılarında kullanmaya başladı ve bir hacker grubu Conti şifreleyicisini Rus kuruluşlarına yönelik saldırılarda kullandı.

ABD hükümeti, Conti’yi binlerce kurban ve 150 milyon doların üzerinde fidye ödemesiyle şimdiye kadarki en pahalı fidye yazılımı türlerinden biri olarak görüyor.

Conti fidye yazılımı çetesinin saldırıları, ABD hükümetinin Conti üyelerinin yöneticilerinin kimliklerini ve yerlerini bildirenlere 15.000.000 dolara kadar ödül koymasına sebep oldu.