Etiket arşivi: Rusya

Google’ın Tehdit Analiz Grubu aralarında Birleşik Arap Emirlikleri’nin (BAE) de bulunduğu bazı ülkelerden gelen “kiralık hacker”a ait bir ekosistemi paylaştı.

Edinilen bilgiler arasında dünya çapında izlerini sürülen Hintli, Rus ve Birleşik Arap Emirlikleri’nden kiralık hacker firma ve aktörlerinin ekosistemleri ve kampanyalarına dair edindikleri istihbarat verileri bulunuyor.

TAG ekibi, söz konusu aktörlerin kampanyalarında kullandığı birçok alan adını da Güvenli Tarama’ya eklediklerini bildirdi.

KİRALIK HACK FİRMALARI NASIL ÇALIŞIYOR?

“Kiralık hack” firmaları veya aktörleri, çeşitli gözetim araçları satan şirketlerin aksine saldırıları kendileri gerçekleştiriyor. Gerek çeşitli güvenlik zafiyetlerinden yararlanarak gerekse de oltalama (phishing) yöntemiyle saldırılarını gerçekleştiren aktörlerin hedefleri de çeşitlilik gösteriyor.

Dünya çapında insan hakları savunucularından siyasilere, gazetecilerden yüksek profilli kişileri hedef tahtasına koyarak kampanyalarını yürüten bu aktörler, Kıbrıs’ta bir bilişim şirketinden Nijerya’daki eğitim kurumuna, Balkanlar’daki finans teknolojisi şirketinden İsrail’deki bir alışveriş şirketine kadar geniş bir yelpazede faaliyet gösteriyor.

Dünyayı sarsan siber casusluk skandalı: İsrailli Pegasus yazılımıyla yüzlerce gazeteci ve aktivist hedef alındı

Söz konusu aktörlerden kimisi hizmetlerini girişken bir şekilde herkese açıkça tanıtırken, kimi aktörlerde daha ihtiyatlı bir şekilde sınırlı kitlelere hizmet veriyor.

HACKLEME KAMPANYALARI

Google’ın Tehdit Analiz Grubu’nun kiralık hack ekosistemi ve kampanyalarına dair çeşitli örnekler sunarak paylaştığı raporda ise Hindistan, Rusya ve Birleşik Arap Emirlikleri’nden kiralık hack aktörleri yer alıyor.

HİNDİSTAN

TAG’ın 2012’den bu yana takip ettiği Hintli kiralık hack aktörleri, çeşitli kimlik avı saldırılarıyla Suudi Arabistan, Birleşik Arap Emirlikleri ve Bahreyn’deki hükûmet, sağlık ve telekom sektörünü hedef alıyor. Söz konusu aktörlerin gerçekleştirdiği kampanyalar belirli devlet kuruluşlarını hedeflemenin ötesinde AWS ve Gmail hesaplarını ele geçirmeye kadar uzanıyor.

1) AWS oltalama maili

2) AWS oltalama sayfası

TAG, söz konusu aktörleri, Appin ve Belltrox’un eski çalışanlarıyla ve kurumsal casusluğu hizmet olarak sunan ve yeni bir firma olan Rebsec’le ilişkilendirdi.

RUSYA

TAG, 2017 yılında gerçekleşen ve yolsuzluklarla mücadele eden gazetecinin hedef olduğu bir kimlik avı kampanyasını araştırırken keşfettiği, birçok gazeteciyi, Avrupa’daki politikacıları, çeşitli STK’ları ve kâr amacı gütmeyen kuruluşları hedef alan bir kiralık aktöre raporunda yer verdi. Söz konusu aktör “Void Balaur” olarak bilinirken hiçbir kuruluşa bağlı olmayan, Rusya ve çevre ülkelerden sıradan vatandaşları da hedef aldığı belirtildi.

Oltalama ve kimlik avı saldırılarıyla hedeflerine ulaşmaya çalışan aktörün, herkese açık bir internet sitesi aracılığıyla hesap hackleme yeteneklerinin reklamını yaptığı da keşfedildi.

3) Aktörün 2018 yılına ait reklamı

BİRLEŞİK ARAP EMİRLİKLERİ

TAG, paylaştığı raporda Birleşik Arap Emirlikleri’nde faaliyet gösteren ve çoğunlukla Orta Doğu ve Kuzey Afrika üzerindeki kişi ve kuruluşları hedef alan kiralık hack grubunu da paylaştı.

4) Google kimlik avı sayfası

Söz konusu aktör hükûmet kurumları, eğitim sektörü, Avrupa’daki Orta Doğu odaklı STK’ları ve Filistin siyasi partisi Fetih dâhil siyasi kuruluşları hedef alıyor. Söz konusu aktörün gerçekleştirdiği kampanyaları Uluslararası Af Örgütü de daha önce paylaşmıştı.

ALAN ADLARI GÜVENLİ TARAMA’YA EKLENDİ

Söz konusu tehdit aktörleriyle mücadele kapsamında TAG, kiralık hack aktörlerinin kullandığı alan adlarını paylaşarak bunların Güvenli Tarama’ya eklendiğini belirtti.

Bunun yanı sıra TAG, ilgili detayları kolluk kuvvetleriyle paylaştığını belirterek hedef olabilecek kitlelere karşı farkındalığı artırmanın bir yolu olarak bulgularını paylaşmaya devam edeceklerini duyurdu.

Uluslararası İlişkiler

ABD’deki doğal gaz patlamasının arkasında Rusya mı var?

29 Haziran 2022 Zeynep Kılıç Yorum yapın

ABD’nin Teksas eyaletindeki sıvılaştırılmış doğal gaz tesisinde 8 Haziran’da meydana gelen patlamanın arkasında Rusya destekli tehdit aktörlerinin olduğu iddia edildi.

Tesiste meydana gelen patlamanın, bir Rus hacker grubunun gerçekleştirdiği iddia edilen bir siber saldırı kaynaklı olduğu düşünülüyor.

Patlama, Teksas’ın Quintana Adası’ndaki Freeport Sıvılaştırılmış Doğal Gaz (Freeport LNG) tesisi ve ihracat terminalinde meydana geldi. 8 Haziran’daki olayın Freeport LNG’nin operasyonları üzerinde kalıcı bir etkisi olacağı tahmin ediliyor.

Ön incelemeler, olayın LNG transfer hattının bir bölümünün aşırı basınç ve kopmasından kaynaklandığını ve LNG’nin hızla yanıp sönmesine ve doğal gaz buhar bulutunun açığa çıkmasına ve tutuşmasına yol açtığını gösteriyor.

“SİBER SALDIRI GÜVENLİK KONTROLLERİNİ DEVRE DIŞI BIRAKTI” İDDİASI

Mevcut güvenlik mekanizmalarının patlamayı neden engellemediği konusu henüz netlik kazanmış değil. Uzmanlar, bir siber saldırının doğal gaz tesisindeki endüstriyel güvenlik kontrollerini kapatmış olabileceğini öne sürüyor. Uzmanların Rusya bağlantılı APT grubu XENOTIME ile bağlantılı olduğunu düşündüğü TRITON gibi kötü amaçlı ICS yazılımları, endüstriyel güvenlik kontrollerini kapatmak ve endüstriyel tesislere büyük zararlar verme noktasında saldırgan yeteneklere sahip bir yazılım.

Colonial Pipeline saldırısı hakkında bilmeniz gereken 5 şey

24 Mart’ta ABD Adalet Bakanlığı, 2012 ve 2018 yılları arasında Rus hükümeti adına siber saldırılarda TRITON kötü amaçlı yazılımını kullandığından şüphelenilen dört Rus vatandaşına karşı suç duyurusunda bulunmuştu. Amerikan Askeri Haber sitesi aynı gün FBI’ın TRITON kötü amaçlı yazılım araçlarının hala dünyadaki endüstriyel sistemler için büyük bir tehdit olmaya devam ettiği konusunda bir uyarıda bulunduğunu bildirmişti.

XENOTIME APT GRUBU SALDIRMIŞ OLABİLİR

Washington Times ulusal güvenlik yazarı Tom Rogan, Freeport LNG tesisindeki patlamanın XENOTIME gibi APT grupları tarafından yürütülen bir bilgisayar korsanlığı kampanyasıyla ilişkili olabileceğini doğruladı. Rogan, şirketin Operasyonel Teknoloji / Endüstriyel Kontrol Sistemleri ağ algılama sistemlerine sahip olduğunu da sözlerine ekledi.

Rogan, “Freeport LNG’nin Operasyonel Teknoloji / ICS ağ algılama sistemleri uygun şekilde dağıtmadığı ve bir adli bilişim soruşturması yürütmediği sürece, bir siber saldırı göz ardı edilemez.” ifadelerini kullandı. Öte yandan Freeport LNG, olayın arkasında esasa olarak siber saldırı olduğu yönündeki iddiaları reddetti.

Amerikan Askeri Haber sitesi şunu da ekledi: “Rogan ile konuşan iki kaynak daha, Rusya’nın Ukrayna’yı işgaline başladığı sırada, Rusya’nın GRU askeri istihbarat servisinin bir siber biriminin Freeport LNG’ye karşı keşif ve hedefleme operasyonları yürüttüğünü söyledi.”

disinformation

Rusya, Ukrayna’daki işgalini dezenformasyonla sürdürüyor

22 Haziran 2022 Zeynep Kılıç Yorum yapın

Rusya ve Ukrayna arasındaki savaş sahada ve siber alanda dezenformasyonun gölgesinde devam ediyor.

Üst düzey bir Ukraynalı siber güvenlik yetkilisi, Rus kuvvetlerinin telekomünikasyon altyapısını bombalarken dahi işgal altındaki Ukrayna’daki internet ve telefon ağları üzerindeki kontrolü ele geçirmeye yönelik faaliyetlerde bulunduğunu söyledi.

Rus medya kuruluşu The Moscow Times’ın geçtiğimiz hafta yayımladığı habere göre, Rus birliklerinin işgal ettiği doğu Ukrayna bölgelerinde, Rus telekom devi MTS’nin yan kuruluşu olduğu ileri sürülen + 7 Telecom tarafından işletilen bir telekomünikasyon şirketinin Ukrayna mobil hizmetlerinin yerine geçti.

Haber ajansı, Ukraynalıların bu ele geçirme sonrası zayıf bağlantı ve internet sansüründen şikâyet ettiklerini belirtti.

Ulusal Güvenlik Konseyi’nin Rusya başkanlığını da yapan Carnegie Uluslararası Barış Vakfı’nın dezenformasyon uzmanı Gavin Wilde, + 7 Telekom’un sahneye çıkarak Ukraynalı telekom operatörlerinin yerini almasının arkasında Rus telekom devi MTS’nin olduğunu gösteren bir dizi dolaylı kanıt olduğunu söyledi. Rus kuvvetlerinin, yeni işgal edilen Donbas’taki bilgi altyapısının altını oymaya çoktan başladığı dile getiriliyor.

Ukrayna’nın Rusya ile dijital savaşı tahmin edilenden daha başarılı

Sahibi bir oligark olan MTS’nin ağlarının, Rus hükümetine bağlı olan ve uzun zamandır Rusya içindeki muhalif sesleri araştırmak ve susturmak için kullanılan Operasyonel Soruşturma Faaliyetleri (SORM) ile bağlantılı olduğu biliniyor.

AMAÇ DEZENFORMASYON VE PANİK YAYMAK

Ukraynalı üst düzey bir siber yetkili olan Victor Zhora, Ukraynalı ISP’lerin (internet servis sağlayıcıları) işgal altındaki bölgelerdeki interneti yaklaşık iki hafta öncesine kadar kontrol edebildiklerini ancak Rusların ağları yeniden yapılandırdığını ve trafiği Kırım’dan Rusya’ya yönlendirdiğini söyledi.

Ukrayna siber güvenlik ajansı Devlet Özel İletişim Servisi (SSSCIP) başkan yardımcısı Zhora, CyberScoop’a verdiği röportajda bu saldırıların yıkıcı niteliğinin aktif savaştan çok daha az olduğunu amacın dezenformasyon, panik ve istikrarsızlık tohumları ekmek olduğunu ifade etti.

Zhora, Ukrayna ağ yönetim merkezinin sıkıyönetim altında olması nedeniyle durumun daha da zorlaştığını sözlerine ekledi.

Rus birlikleri geçen ay bir internet servis sağlayıcısının Kherson bölgesindeki ofislerini basmış ve şirketin yöneticilerini Rus ağlarına zorlamıştı.

İnternet trendlerini izleyen Cloudflare Radar, 13 Haziran’da Ukraynalı hizmet sağlayıcısı Khersontelecom’un Rusya kontrolündeki dijital servis sağlayıcıları Miranda ve Rostelecom aracılığıyla internet trafiğini yönlendirdiğini bildirdi. Wired’a göre SSSCIP, savaşın başlamasından bu yana Ukrayna telekom altyapısının yaklaşık yüzde 20’sinin hasar gördüğünü veya tahrip edildiğini açıkladı.

ABD Siber Komutanlığı’nın eski bir üst düzey lideri, Rusların Ukraynalıların siber alanını ve fiziksel alanını aynı anda daralttığını söyledi. Siber Komutanlığın 2018’e kadar siber görev misyonunu üstlenen ve sonrasında Filo Siber Komutanlığı’na liderlik eden TJ White, Rusya’nın bilgi operasyonlarına odaklanmaktan geri durmadığını ifade etti.

UKRAYNALILAR SANSÜRÜ VPN İLE YENİYOR

Ancak White, Rus bilgi savaşı hedeflerinin Elon Musk’un Starlink uyduları ve birçok Ukraynalının sanal özel ağlara (VPN’ler) sahip olması nedeniyle büyük ölçüde sekteye uğratıldığını söyledi.

Geçen hafta Savunma İnovasyon Birimi’ndeki uzay portföyü direktörü Tümgeneral Steve Butow, Politico’ya verdiği demeçte, Starlink uydularının “Rusya Devlet Başkanı Vladimir Putin’in bilgilendirme kampanyasını tamamen yok ettiğini” söyledi ve ekledi: “Bu güne kadar hiçbir zaman [Ukrayna Cumhurbaşkanı Volodymyr] Zelensky’yi susturamadı.”

150 BİN UKRAYNALI HER GÜN STARLINK KULLANIYOR

Ukrayna’nın dijital bakanı Mykhailo Fedorov geçen ay yaklaşık 150 bin Ukraynalının günlük olarak Starlink kullandığına ilişkin tweet attı. Dünya çapında VPN kullanımını araştıran Top10VPN kuruluşu, Şubat ortası ile Mart sonu arasında Ukrayna’da VPN kullanımının yüzde 609 oranında arttığını söyledi.

Zhora, Rusların bilgi savaşından vazgeçmediğini söylüyor. Yetkili, Rusların propagandalarının geniş olduğunu ve işgal altındaki Ukrayna’nın işgale direnme kabiliyetini yenmek amacıyla bölgelere göre özelleştirildiğini söyledi.

Zhora, Rusya’nın Ukraynalıları araştırmak ve haberleri sansürlemek için hem Operasyonel Soruşturma Faaliyetleri Sistemi (SORM) gözetim ağını hem de derin paket inceleme teknolojisini kullandığını söyledi. DPI, ağ trafiğini incelemek ve yönetmek için gelişmiş bir yöntem.

Rus araştırmacı gazeteci Andrei Soldatov’a göre, Rusya’nın Ukrayna’da interneti kontrol etmesinin çeşitli nedenleri bulunuyor. Soldatov, SORM’un gözetleme yeteneklerinden yararlanmanın, Rusya’nın Ukraynalıları Rus ağlarına zorlama çabası için şüphesiz büyük bir motivasyon kaynağı olduğunu söyledi. Bu gözetim Ruslara ihtiyaç duydukları siyasi kontrol gücü sağlayacak ve aynı zamanda Rus ordusuna güç verecek.

Soldatov, “Rusların Ukraynalı sivillerin internet trafiğini izleme ve takip etmeleri gerekiyor zira Ukraynalılar Rus askeri birliklerinin hareketlerini Ukrayna ordusuna rapor ediyorlar.” dedi.

Zhora gibi Soldatov da Rusların Ukraynalıların internet içeriğini filtrelemek için DPI kullandıklarına inanıyor. Ancak Soldatov, filtrelemenin uzaktan iyi çalışmadığını, yani Rusya’nın DPI teknolojisini Ukrayna’ya getirmesi gerektiğini söyledi ve ekledi: ”Batı’da veya belki İsrail’de bir yerlerde bazı DPI ekipmanlarının geliştirilebileceğinden şüpheleniyorum, çünkü bu ülke (İsrail) DPI cihazlarını Rusya’ya satmakta son derece aktif, bu yüzden belki de işgal altındaki bölgelerde bir tür yabancı ekipman bulunabilir.”

Dezenformasyon uzmanlarına göre bir VPN veya Starlink bağlantısından faydalansalar dahi ortalama bir Ukraynalı’nın bilgi akışının keskin bir şekilde zayıfladığı açıkça görülüyor. Ancak Stanford Üniversitesi’nden bir dezenformasyon uzmanı olan Herb Lin, Rusların ülkenin demokratik mirasını elinden alamayacağı için Ukraynalıların çoğunun propagandadan etkilenmeyeceğini söyledi.

Uluslararası İlişkiler

ABD, Ukrayna’yı desteklemek için siber taarruz operasyonları yürütüyor

3 Haziran 2022 Zeynep Kılıç Yorum yapın

ABD, Ukrayna’ya destek vermek için savunmanın yanısıra siber taarruz operasyonları da yürüttüğünü açıkladı.

Siber Komutanlık Yöneticisi ve Ulusal Güvenlik Ajansı (NSA) Paul Nakasone, Amerika ordusunun Rusya’nın yasadışı işgaline karşı Ukrayna’yı desteklemek için ofansif siber operasyonlar yürüttüğünü söyledi.

General Nakasone geçtiğimiz çarşamba günü Sky News ile yaptığı bir röportajda, “Ofansif, savunmaya yönelik ve bilgi operasyonları dahil geniş bir yelpazede bir dizi operasyon gerçekleştirdik.” dedi.

Nakasone, operasyonları yasal çerçevede gerçekleştirdiklerini ve ABD politikasına uyduklarını söylese de saldırıların ayrıntıları hakkında net bir bilgi vermedi ve ekledi: “Benim işim savunma bakanına ve Cumhurbaşkanına bir dizi seçenek sunmak”

Beyaz Saray Basın Sözcüsü Karine Jean-Pierre ise “Ukrayna’ya yönelik güvenlik yardım paketlerimizin pazarlığını yapmıyoruz. Başkanın üst düzeyde güvenlik yardımı sağlamak için yapmamız gerektiğini söylediği şeyleri yapıyoruz.” dedi.

ABD savaş öncesi Ukrayna’nın siber savunmasına takviye yapmış

SİBER ALAN YENİ BİR CEPHE

VMware’de siber güvenlik stratejisi başkanı olarak görev yapan Tom Kellermann, operasyonu “tarihi” olarak nitelendirdi. Wilson Center’da siber politikadan sorumlu araştırmacı Kellermann The Register’a yaptığı açıklamada “2013’ten bu yana Ruslar Amerikan siber alanında bir isyan başlattılar ve buna yönelik misillemelerimiz susturuldu” ifadelerini kullanırken şu değerlendirmeleri de eklemeyi ihmal etmedi:

“Paradigma değişti, Rusya şimdi savunmaya ağırlık vermeli. ABD, haydut ulus devletlere karşı Siber Komutanlığın müthiş yeteneklerini sahaya taşıyor. Siber alan, savaş için yeni bir cephe.”

Tenable CEO’su Amit Yoran ise ABD’nin saldırgan siber operasyonlar gerçekleştirmesinin kimse için sürpriz olmaması gerektiğini ifade etti ve şöyle devam etti: “Bugün dünyada bu tür önlemleri kullanmayan çok az ülke var. Olağandışı olan şey, bu operasyonların halka açık bir şekilde dile getirilmesi.”

UKRAYNA’YA HUNT-FORWARD DESTEĞİ

Geçtiğimiz ay, ABD ve Avrupa Birliği, ocak ayında başlayan ve Ukrayna hükümeti ile özel sektör ağlarını hedef alan bir dizi veri silici kötü amaçlı yazılım saldırıları için Rusya’yı suçlamıştı.

O dönemde hükümetler Kremlin tarafından düzenlenen saldırılara karşı kendilerini savunmak ve bu saldırılara yanıt vermek için “adımlar atacaklarını” da söylemişlerdi.

ABD Başkanı Joe Biden, ABD’nin Batı’ya karşı büyük bir siber saldırıya kinetik güçle cevap vereceğini belirtirken, General Nakasone’nin yorumları ABD’nin Rusya’ya karşı yaptırım uyguladığının ilk teyidi.

Nakasone, ABD Siber Komutanlığı’nın geçen yıl dokuz “hunt-forward” operasyonu gerçekleştirdiklerini ve Ukrayna da dahil olmak üzere farklı ülkelere savunmalarını geliştirmelerine ve siber tehditleri avlamalarına yardımcı olmak için ekipler gönderdiklerini açıklamıştı. Hunt Forward Operasyonları, istihbarat odaklı ve savunma amaçlı siber operasyonlar olarak biliniyor.

Siber Saldırılar

Conti fidye yazılım çetesi bitti ama operasyonları devam ediyor

23 Mayıs 2022 Zeynep Kılıç Yorum yapın

Son zamanlarda yaptığı fidye yazılımı saldırıları ile adını duyuran Conti fidye yazılımı çetesi, operasyonlarını resmen durdurdu, altyapıyı devre dışı bıraktı ve ekip liderleri artık söz konusu markanın olmadığını açıkladı. Gelişmeler ise çetenin iç altyapısının kapatıldığı yönünde tweet atan Advanced Intel’den Yelisey Boguslavskiy tarafından duyuruldu.

Kamuya açık ‘Conti News’ veri sızıntısı ve fidye pazarlığı siteleri hala çevrimiçiyken, Boguslavskiy Bleeping Computer internet sitesine üyelerin pazarlıkları gerçekleştirmek ve veri sızıntısı sitelerinde “haberler” yayınlamak için kullandıkları Tor yönetici panellerinin çevrimdışı olduğunu söyledi.

Öte yandan sahip oldukları rocket sohbet sunucuları gibi dahili hizmetlerin de devre dışı bırakılmakta olduğu belirtildi.

Conti’nin Kosta Rika ile sürdürdüğü bilgi savaşının tam ortasında faaliyetlerine son vermesi garip gelse de Boguslavskiy Conti’nin bu çok büyük ölçüde kamusal olan saldırıyı canlı bir operasyonun cephesini oluşturmak için gerçekleştirdiğini söylerken, Conti üyeleri yavaş yavaş diğer küçük fidye yazılım operasyonlarına kaydı.

Advanced Intel tarafından yayınlanan bir raporda ise şu ifadeler yer aldı: “Bununla birlikte, AdvIntel’in düşmanca görünümü ve istihbarat bulguları, aslında tam tersi bir sonuca işaret ediyordu: Conti’nin bu son saldırıyla tek hedefi, kendi yok oluşlarını ve müteakip yeniden doğuşlarını gerçekleştirebilecekleri en makul bir şekilde tasarlamak suretiyle platformu bir tanıtım aracı olarak kullanmaktı”

Conti grubundan Kosta Rika vatandaşlarına ayaklanma çağrısı

“Kosta Rika’ya fidye yerine tanıtım yoluyla saldırılmasına ilişkin gündem, Conti yönetimi tarafından şirket içi deklare edildi. Grup üyeleri arasındaki iç yazışmalar, talep edilen fidye ödemesinin 1 milyon USD’nin çok altında olduğuna işaret ediyordu (fidyenin 10 milyon USD olduğuna dair doğrulanmamış iddialara ve Conti’nin kendi iddialarına göre meblağın 20 milyon USD olmasına rağmen).”

KÜÇÜK FİDYE YAZILIM ÇETELERİYLE ORTAKLIK KURACAK

Conti fidye yazılımı markası artık olmasa da, siber suçlar karteli fidye yazılımı sektöründe uzun süre önemli bir rol oynamaya devam edecek.

Boguslavskiy, başka bir büyük fidye yazılımı operasyonu olarak yeniden markalaşmak yerine, Conti yönetiminin saldırıları yürütmek için diğer küçük fidye yazılımı çeteleriyle ortaklık kurduğunu söyledi.

Bu ortaklık kapsamında, daha küçük fidye yazılımı çeteleri deneyimli Conti pentestçiler, müzakereciler ve operatörlerin akınına uğruyor. Conti siber suçlar karteli, tümü merkezi yönetim tarafından idare edilen daha küçük “hücrelere” bölünerek hareketlilik ve böylece kolluk kuvvetlerinden daha fazla kaçınma kabiliyeti kazanıyor.

Advanced Intel raporu, Conti’nin HelloKitty, AvosLocker, Hive, BlackCat, BlackByte ve daha fazlası dahil olmak üzere çok sayıda tanınmış fidye yazılımı grubuyla ortaklık kurduğunu açıklıyor.

Müzakereciler, Intel analistleri, pentestçiler ve yazılım geliştiriciler de dahil olmak üzere mevcut Conti üyeleri diğer fidye yazılımı operasyonlarının tamamına yayılmış durumdalar. Bu kişiler şimdilerde diğer fidye yazılımı operasyonunun şifreleyicilerini ve müzakere sitelerini kullanacak olsa da, hala Conti siber suç kartelinin bir parçası konumundalar.

Advanced Intel ayrıca, veri şifrelemesine değil, tamamen veri sızıntısına odaklanan yeni özerk Conti üyesi gruplarının oluşturulduğunu da belirtiyor. Karakurt, BlackByte ve Bazarcall collective bu gruplardan bazılarını oluşturmaktadır. Bu girişimler, mevcut siber suçlar kartelinin faaliyetlerine devam etmesine izin veriyor, ancak artık Conti adı altında değil.

ZEHİRLİ BİR MARKA

Conti’nin marka kimliğinin yenilenmesi, son dönemde şirketi takip eden araştırmacılar ve gazeteciler için sürpriz olmadı. Conti fidye yazılımı operasyonu, Ryuk fidye yazılımının yerini almasının ardından 2020 yazında başlatıldı. Ryuk gibi, Conti de fidye yazılım çetesine ilk erişimi sağlayan TrickBot ve BazarLoader gibi diğer malware enfeksiyonlarıyla ortaklıklar kurulması suretiyle dağıtıldı.

Zamanla, Conti en büyük fidye yazılımı operasyonuna daha sonra da TrickBot, BazarLoader ve Emotet’in operasyonlarını devraldıklarında yavaş yavaş bir siber suç karteline dönüştü. Conti, Tulsa Belediyesine, Broward County Devlet Okullarına ve Advantech’e karşı olanlar da dahil olmak üzere, sayısız saldırıdan sorumluydu. İrlanda Sağlık Hizmetleri Yönetimi’ne (HSE) ve Sağlık Bakanlığı’na (DoH) saldırarak ülkenin BT sistemlerini haftalarca kapattıktan sonra medyanın dikkatini çektiler. Nihayetinde, fidye yazılımı çetesi İrlanda’nın HSE’sine ücretsiz bir şifre çözücü temin etti ancak halihazırda dünya çapında kolluk kuvvetlerinin hedefine girmiş oldu.

Conti’nin Rusya’nın Ukrayna’yı işgalinde Rusya’dan yana taraf olmasına kadar, Conti markası zaten inanılmaz derecede toksik hale gelmişti bile. Rusya’ya katıldıktan sonra, Ukraynalı bir güvenlik araştırmacısı, Conti fidye yazılımı çetesi üyeleri ile Conti fidye yazılımı şifreleyicisinin kaynak kodu arasında 170 binden fazla iç yazışmayı sızdırmaya başladı.

Bu kaynak kodu kamuya duyurulduktan sonra, diğer tehdit aktörleri bunu kendi saldırılarında kullanmaya başladı ve bir hacker grubu Conti şifreleyicisini Rus kuruluşlarına yönelik saldırılarda kullandı.

ABD hükümeti, Conti’yi binlerce kurban ve 150 milyon doların üzerinde fidye ödemesiyle şimdiye kadarki en pahalı fidye yazılımı türlerinden biri olarak görüyor.

Conti fidye yazılımı çetesinin saldırıları, ABD hükümetinin Conti üyelerinin yöneticilerinin kimliklerini ve yerlerini bildirenlere 15.000.000 dolara kadar ödül koymasına sebep oldu.

Siber Bülten