BlackCat veya diğer adıyla ALPHV fidye yazılımı çetesi, Las Vegas’taki konaklama ve eğlence şirketi olan MGM Resorts’a sızarak hizmetlerde kesintilere yol açtı.
Siber tehdit aktörleri, MGM Resorts’u işlevsiz hâle getirmenin 10 dakikalık bir telefon görüşmesiyle gerçekleştiğini iddia etti.
KÜRESEL OTEL ŞİRKETİNİ KESİNTİYE UĞRATTILAR
Kötü amaçlı yazılım arşivi vx-underground tarafından yayınlanan bir gönderiye göre, ALPHV/BlackCat fidye yazılımı grubu, geçtiğimiz günlerde MGM Resorts siber kesintisinin sorumluluğunu üstlendi.
Çete, MGM Resorts’tan fidye almak için yaygın sosyal mühendislik taktiklerini ve içeriden bilgi almak için çalışanların güvenini kazanmayı tercih ettiğini belirtti.
İLK ERİŞİM ON DAKİKALARINI ALDI
Çeteye göre uluslararası otel şirketine sızmak, bir şirket çalışanıyla yapılan on dakikalık telefon konuşmasıyla gerçekleşti.
Çetenin yaptığı açıklamada “ALPHV fidye yazılımı grubunun MGM Resorts’a saldırmak için yaptığı tek şey LinkedIn’e girmek, bir çalışan bulmak ve ardından Yardım Masasını aramaktı.” ifadeleri kullanıldı.
Şirket, Las Vegas’ta bulunan kumarhanelerindeki slot makinelerinin kapandığını fark etmesiyle birlikte kesintiler yaşamaya başladı. Bir süre faaliyet gösteremeyen şirket, bir süre sonra açıklama yaparak “Yemek, eğlence ve oyun dâhil olmak üzere tüm tesislerimiz şu anda faaliyette.” açıklamasında bulundu.
BlackCat ya da ALPHV, Windows ve Linux gibi farklı işletim sistemleri için kötü amaçlı yazılımların kolayca özelleştirilmesine olanak tanıyan platformlar arası bir programlama dili olan Rust’u ilk kez başarıyla kullanmasıyla bilinen bir fidye yazılımı grubu.
Grup, birden fazla işletim sistemini hedef almalarına ve Rust ile yazılmış kötü amaçlı yazılımları analiz etmek için tasarlanmamış güvenlik kontrollerini atlamalarına olanak tanıyan Rust’u kullanarak tespit edilmekten kurtulmayı ve kurbanlarının dosyalarını başarıyla şifrelemeyi başarmakla öne çıkıyor.
Grup, RaaS (Hizmet Olarak Fidye Yazılımı) ortaklık programını ilk olarak Aralık 2021’de orijinal adı ALPHV olan bir dark web forumunda duyurdu. Grup yaklaşık olarak Aralık 2021’den bu yana faaliyet gösteriyor.
Ortalama fidye ödemelerindeki artışa rağmen, dünya çapında fidye yazılım saldırılarını paraya çevirme oranında büyük düşüş yaşandı.
Coveware siber güvenlik şirketinin araştırmasına göre, 2023 yılının ikinci çeyreğinde, fidye yazılım saldırıları mağdurlarının ödemelerinde yüzde %34’e varan bir şok düşüş yaşandı.
Araştırmada şirketlerin siber güvenlik ve bilgi güvenliği olaylarına yanıt verme konusundaki eğitimlere yatırım yapmaya devam etmeleri sonuçta etkili olduğu görüşü dile getirildi.
İstatistiklerdeki trajik düşüşe rağmen, siber tehdit aktörleri her geçen gün yeni saldırı ve şantaj teknikleri geliştirmeye devam ediyor.
Fidye yazılım gruplarından CloP’a dikkat çekilen araştırma, ortalama fidye miktarının 190 bin424 ABD dolarına yükseldiğini ortaya koydu. Bu rakam 2023 yılının ilk çeyreğine göre yüzde 20 oranında bir artışa karşılık geliyor.
SİBER GÜVENLİK FARKINDALIĞI ETKİLİ OLDU
CloP grubunun, MOVEit zafiyetinin istismar edildiği saldırılarda 75-100 milyon dolar arası fidye tahsil ettiği tahmin ediliyor. Söz konusu fidye miktarı Kanada’nın yıllık siber saldırlara yönelik güvenlik bütçesinden daha büyük.
Rapora göre, 2023 yılının ikinci çeyreğinde özellikleri küçük işletmeleri hedef alan Hizmet olarak fidye yazılımı (RaaS) (Ransomware as a Service) gruplarının saldırılarında dikkati çeken bir azalma gözlemlendi.
Saldırılarda ödemeler azalırken , en aktif gruplar arasında uzun süre yer alan Dharma ve Phobos gibi fidye yazılımı grupları etkisiz hale geldi. 2023 yılının bugüne kadarki döneminde Dharma/Phobos saldırıları, geçtiğimiz yılın aynı dönemine göre yaklaşık %37 oranında azaldı.
Fidye yazılım piyasasının yüzde 15’ini Black Cat ve Black Basta grupları ilk iki sırada paylaşıyor. Bu grupları Royal, Lockbit ve Akira fidye çeteleri izledi.
DarkSide fidye yazılımcıları, İran’da, kurbanlardan çalınan sızdırılmış verileri depolamak için ‘dağıtılmış depolama sistemi’ oluşturacağını iddia etti.
Fidye yazılımı çetesi, ciddi olduklarını göstermek için, bir hacker forumuna 320 bin dolar yatırdı.
DarkSide: FİDYE YAZILIMININ ÜST SEVİYESİ
DarkSide, geliştiricilerin fidye yazılımını ve ödeme sitesini kodladıkları, şirketleri veya işletmeleri hacklemek ve şirket dosyalarını şifrelemek için kullandıkları bir fidye yazılımı ‘Ransomware-as-a-Service (RaaS)’ olarak çalıştırılıyor.
DarkSide özel bir işlem olduğu için, kendi fidye yazılımını dağıtmak isteyen hackerların öncelikle erişim için kabul edilmesi gerekiyor.
Bu anlaşmanın bir parçası olarak, DarkSide fidye yazılımı geliştiricileri yüzde 10 veya yüzde 25’lik bir kesinti ücreti almanın yanı sıra, şirketlerden alınan fidye ödemelerinin yüzde 75-90’ını alıyor.
RUSÇA KONUŞAN HACKER ARANIYOR
Geçtiğimiz günlerde siber güvenlik istihbarat firması Kela, DarkSide fidye yazılımı işleticilerinin BleepingComputer internet sitesi üzerinden Rusça konuşan hacker aradığını duyurdukları bir gönderiye rastladı.
Gönderide, ‘DarkSide’ın, kurbanlardan çalınan verileri sızdırmak ve depolamak için dağıtılmış depolama sistemi üzerine çalıştıkları’ ifade edildi.
2019’un sonlarından bu yana, fidye yazılımı aracılığıyla dosyaların şifrelendiği ve ancak dosyaları şifreleyen hackerların o dosyalara bir daha erişebildiği bir sistem sayesinde kurbanlardan fidye isteyerek kazanç elde etmeyi hedefleyen hackerlara karşı siber güvenlik firmaları ve kolluk kuvvetleri veri sızdırılan siteleri kapatmaya çalışıyor.
Bu çalışmalara karşın DarkSide işleticileri ise başka bir plan uyguluyor. DarkSide işleticileri, kurbanlardan çaldıkları verileri 6 ay boyunca depolamak için İran’da dağıtılmış bir “Sürdürülebilir Depolama Sistemi” oluşturacaklarını ifade etti.
BİR SUNUCUYU ENGELLEMEK VERİLERİNİZİ SİLEMEYECEK
DarkSide işleticilerinin yaptığı açıklamada, “Bazı hedefler, onlardan indirdikleri çok sayıda veriyi yayınladıktan sonra hackerların ve diğer insanların TOR üzerinden uzun zaman boyunca indirilebileceğini düşünüyor. Biz de öyle düşünüyoruz bu yüzden bunu değiştireceğiz.” ifadeleri kullanıldı. Açıklamada “Halihazırda verileriniz için bir sürdürülebilir depolama sistemi üzerinde çalışıyoruz. Tüm verileriniz birden fazla sunucuda çoğaltılacak ve bir sunucuyu engellemek verilerinizi silemeyecek.” denildi.
Açıklamada ayrıca, “Daha önce verileri yayınlanmış olan şirketler de buraya yüklenecek, söz konusu şirketlerin verilerinin 6 ay boyunca depolanacağı da garanti edilecek. Böylelikle onların verilerini daha hızlı indirebilirsiniz.” ifadelerine yer verildi.
DarkSide işleticileri ise, “Özellikle İran veya ön planda olmayan cumhuriyetlerin sunucularını kullanacağız böylelikle onları engelleyemeyeceksiniz ve otomatik sistem ‘uygunluğu’ tespit edecek ve size indirme bir indirme linki verecek.” dedi.
DarkSide işleticilerinin ifadeleri, sizlerden çaldıkları verileri birçok sunucu arasında çoğaltacaklarını böylelikle bir sunucu engellendiğinde verileriniz diğer sunucularda erişilebilir olmaya devam edecek anlamına geliyor.
DarkSide işleticileri, kurban başına 400 bin dolar kazandıklarını iddia ettikleri faaliyetlerine katılacak yeni Rus üyelerini aradıklarını duyurdu.
İşe alım sürecinde ise, yeni üyeler bir görüşmeden geçecek. Görüşmede geliştiriciler, yeni üyelerin deneyim seviyeleri hakkında sorular soracak.
‘Darksupp’ olarak bilinen DarkSide işleticilerinden birinin hesabındaki 20 bitcoinin görüntüsü
Ryug, Egregor ve diğer fidye yazılımı işlemlerinden farklı olarak DarkSide, tıp, eğitim, kar amacı gütmeyen kuruluşlar ve hükümetlere saldırmayacaklarını bildirdi. DarkSide işleticilerinin bu sözlerini tutup tutmayacağı henüz bilinmiyor.
DarkSide işleticileri, ABD’deki büyük şirketlere erişimi olan hackerlara da 400 bin dolar harcamaya istekliler. DarkSide çetesi, iddialarının gerçekçi olduğunu göstermek için foruma bugünün değerleriyle yaklaşık 320 bin dolar değerinde 20 bitcoin yatırdı.
Yatırılan bitcoinler daha sonra yazılım, hizmet veya bilgi satın almaları için diğer üyelere de aktarılabilir. Bu zenginlik gösterisi ise REvil’in Eylül ayında aynı foruma 1 milyon dolarlık bitcoin yatırdığı işe alım kampanyasına benziyor.
Siber Bülten abone listesine kaydolmak için formu doldurunuz
