Cisco Talos, Fidye Yazılımı Akınlarının 70’inin Kolaylıkla Satın Alınabilen Siber Hata Araçlarından Kaynaklandığını Tespit Etti
Deep Web ortamlarında satın alınabilen ve “Commodity Trojan” (Ticari Truva Atı) olarak da bilinen fidye yazılımı atakları, yama ve uç nokta güvenlik açıkları olan sistemlere karşı tesirli oluyor. 2020’nin sonundan 2021’in başına kadar bu akın aktörleri, eğitim, sıhhat, güç ve kamu hizmetleri, devlet kurumları ve epey daha fazlasını maksat aldı. Cisco Talos Incidence Response, Hafnium’dan kaynaklanan Microsoft Exchange güvenlik açıklarının yer aldığı giderek artan olaylara, şirketlerin yaygın bir halde kullanıma sunulan SolarWinds’e farkında olmadan truva atı bulaşmış güncellemeler indirdiği çeşitli olaylara müdahale etti.
CISCO Talos Incident Response (CTIR) üst üste yedinci çeyrekte de bir daha fidye yazılımlarının en yaygın tehdit olduğunu tespit etti. Kasım 2020 ile Ocak 2021 içinde bu tıbbın en yaygın örnekleri ise Ryuk ve Vatet oldu. Cisco Talos ayrıyeten Egregor ve WastedLocker varyantlarının da dünya genelinde çeşitli kuruluşları amaç almaya devam ettiğini belirledi.
Evvelki çeyreğin tersine bu fidye yazılımı akınlarının büyük çoğunluğu ticari truva atı doküman evrakları gönderen Zloader, BazarLoader ve IcedID üzere kimlik avı uygulamalarından faydalanıyordu. Son çeyrekte fidye yazılımı hücumlarının yaklaşık yüzde 70’inde ticari truva atı yazılımları kullanıldı. Bilgisayar korsanları ayrıyeten Cobalt Strike üzere ticari araçlar, Bloodhound üzere açık kaynaklı erişim daha sonrası korsanlık araçları ve PowerShell üzere kurbanın sisteminde aslına bakarsanız bulunan araçlardan faydalandı.
Fidye yazılımlarının dallar genelinde başa çıkması güç bir siber güvenlik tehdidi olmaya devam ettiğini söz eden Cisco Orta Doğu ve Afrika Bölgesi Siber Güvenlik Yöneticisi Fady Younes, şunları söylemiş oldu: “Ticari truva atları kelam konusu olduğunda, süratli ve tesirli sonuçlar için alınıp satılabilen akınlardan bahsediyoruz. Kimi durumlarda fiyatsız indirilen truva atları dahi oluyor. sıradan kimlik avı e-postaları yoluyla bilgisayar korsanları ağlara sızabiliyor, istihbarat toplayabiliyor ve bunun kararında uzun vadeli ziyanlar verebiliyor. Paket halinde sunulan bu siber cürüm araçlarının basitçe ulaşılabilir olmasının yanında, daha az tecrübeli saldırganların dahi kullanabilir olduğunun göz önünde bulundurulması gerekiyor. ötürüsıyla şirketlerin, çalışanlarını kuşkulu e-postaları nasıl tespit edip öteki bireyleri uyarabilecekleri konusunda daima bilgilendirmesi gerekiyor. Karar vericilerin bir sorumluluğu da kapsamlı yamalar uygulama ve uç noktaları müdafaa üzere siber güvenlik tedbirleriyle tesirli bir savunma sınırı oluşturarak BT sistemlerinin güvenliğini sağlamaktan da sorumlu.”
CTIR, şirketlerin truva atı bulaşmış güncellemeleri farkında olmadan SolarWinds’in yaygın kullanılan Orion yazılımına indirdiği olay müdahaleleriyle de karşılaştı. Bu müdahalelerden sırf birinde sistemin ele geçirilmesinden daha sonraki (post-compromise) hareketler kullanılmıştı.
Buna uygun olarak Microsoft, Exchange Server’da dört güvenlik açığı deklare etti ve Hafnium isminde bir tehdit aktörünün bu güvenlik açıklarını kullanarak çeşitli şirketleri amaç alan web kabukları attığını bildirdi. Kısa müddet daha sonra, APT’lerden kripto para madenciliği kümelerine kadar öbür tehdit aktörleri de bu güvenlik açıklarından faydalanarak on binlerce şirketin faaliyetlerini etkiledi. CTIR, Microsoft Exchange güvenlik açıklarının kullanıldığı giderek artan sayıda olaya müdahale ediyor.
Atak aktörleri ise bugüne dek işletme idaresi, inşaat, eğitim, güç ve kamu hizmetleri, cümbüş, finans, devlet kurumları, sıhhat, endüstriyel dağıtım, hukuk, üretim ve teknoloji başta olmak üzere çeşitli kesimlere akınlar gerçekleştirdi.
Saldırganların en sık amacı olan dal sıhhat dalı olurken, bu durum, sıhhat kuruluşlarını amaç aldığı bilinen Vatet isimli makûs maksatlı yazılımının kullanmasındaki artışı da kısmen açıklıyor. CTIR, başlangıçta muhakkak bir eyaletteki hastaneyle alakalı bölgesel hastanelerin taarruza uğradığı ve bilhassa etkilenen kuruluşa etkin VPN ilişkisinin olması durumunda daha sonraki ataklar için sıçrama tahtası fonksiyonu gorebildiği potansiyel bir örüntü tespit etti. Saldırganların sıhhat kesimine saldırmasının niçinlerinden birinin de mağdur olan sıhhat kuruluşlarının COVID-19 periyodunda hizmetlerini sağlamaya mümkün olduğunca süratli bir halde devam etmek istemesi olduğu görülüyor.
Kaynak: (BHA) – Beyaz Haber Ajansı
Deep Web ortamlarında satın alınabilen ve “Commodity Trojan” (Ticari Truva Atı) olarak da bilinen fidye yazılımı atakları, yama ve uç nokta güvenlik açıkları olan sistemlere karşı tesirli oluyor. 2020’nin sonundan 2021’in başına kadar bu akın aktörleri, eğitim, sıhhat, güç ve kamu hizmetleri, devlet kurumları ve epey daha fazlasını maksat aldı. Cisco Talos Incidence Response, Hafnium’dan kaynaklanan Microsoft Exchange güvenlik açıklarının yer aldığı giderek artan olaylara, şirketlerin yaygın bir halde kullanıma sunulan SolarWinds’e farkında olmadan truva atı bulaşmış güncellemeler indirdiği çeşitli olaylara müdahale etti.
CISCO Talos Incident Response (CTIR) üst üste yedinci çeyrekte de bir daha fidye yazılımlarının en yaygın tehdit olduğunu tespit etti. Kasım 2020 ile Ocak 2021 içinde bu tıbbın en yaygın örnekleri ise Ryuk ve Vatet oldu. Cisco Talos ayrıyeten Egregor ve WastedLocker varyantlarının da dünya genelinde çeşitli kuruluşları amaç almaya devam ettiğini belirledi.
Evvelki çeyreğin tersine bu fidye yazılımı akınlarının büyük çoğunluğu ticari truva atı doküman evrakları gönderen Zloader, BazarLoader ve IcedID üzere kimlik avı uygulamalarından faydalanıyordu. Son çeyrekte fidye yazılımı hücumlarının yaklaşık yüzde 70’inde ticari truva atı yazılımları kullanıldı. Bilgisayar korsanları ayrıyeten Cobalt Strike üzere ticari araçlar, Bloodhound üzere açık kaynaklı erişim daha sonrası korsanlık araçları ve PowerShell üzere kurbanın sisteminde aslına bakarsanız bulunan araçlardan faydalandı.
Fidye yazılımlarının dallar genelinde başa çıkması güç bir siber güvenlik tehdidi olmaya devam ettiğini söz eden Cisco Orta Doğu ve Afrika Bölgesi Siber Güvenlik Yöneticisi Fady Younes, şunları söylemiş oldu: “Ticari truva atları kelam konusu olduğunda, süratli ve tesirli sonuçlar için alınıp satılabilen akınlardan bahsediyoruz. Kimi durumlarda fiyatsız indirilen truva atları dahi oluyor. sıradan kimlik avı e-postaları yoluyla bilgisayar korsanları ağlara sızabiliyor, istihbarat toplayabiliyor ve bunun kararında uzun vadeli ziyanlar verebiliyor. Paket halinde sunulan bu siber cürüm araçlarının basitçe ulaşılabilir olmasının yanında, daha az tecrübeli saldırganların dahi kullanabilir olduğunun göz önünde bulundurulması gerekiyor. ötürüsıyla şirketlerin, çalışanlarını kuşkulu e-postaları nasıl tespit edip öteki bireyleri uyarabilecekleri konusunda daima bilgilendirmesi gerekiyor. Karar vericilerin bir sorumluluğu da kapsamlı yamalar uygulama ve uç noktaları müdafaa üzere siber güvenlik tedbirleriyle tesirli bir savunma sınırı oluşturarak BT sistemlerinin güvenliğini sağlamaktan da sorumlu.”
CTIR, şirketlerin truva atı bulaşmış güncellemeleri farkında olmadan SolarWinds’in yaygın kullanılan Orion yazılımına indirdiği olay müdahaleleriyle de karşılaştı. Bu müdahalelerden sırf birinde sistemin ele geçirilmesinden daha sonraki (post-compromise) hareketler kullanılmıştı.
Buna uygun olarak Microsoft, Exchange Server’da dört güvenlik açığı deklare etti ve Hafnium isminde bir tehdit aktörünün bu güvenlik açıklarını kullanarak çeşitli şirketleri amaç alan web kabukları attığını bildirdi. Kısa müddet daha sonra, APT’lerden kripto para madenciliği kümelerine kadar öbür tehdit aktörleri de bu güvenlik açıklarından faydalanarak on binlerce şirketin faaliyetlerini etkiledi. CTIR, Microsoft Exchange güvenlik açıklarının kullanıldığı giderek artan sayıda olaya müdahale ediyor.
Atak aktörleri ise bugüne dek işletme idaresi, inşaat, eğitim, güç ve kamu hizmetleri, cümbüş, finans, devlet kurumları, sıhhat, endüstriyel dağıtım, hukuk, üretim ve teknoloji başta olmak üzere çeşitli kesimlere akınlar gerçekleştirdi.
Saldırganların en sık amacı olan dal sıhhat dalı olurken, bu durum, sıhhat kuruluşlarını amaç aldığı bilinen Vatet isimli makûs maksatlı yazılımının kullanmasındaki artışı da kısmen açıklıyor. CTIR, başlangıçta muhakkak bir eyaletteki hastaneyle alakalı bölgesel hastanelerin taarruza uğradığı ve bilhassa etkilenen kuruluşa etkin VPN ilişkisinin olması durumunda daha sonraki ataklar için sıçrama tahtası fonksiyonu gorebildiği potansiyel bir örüntü tespit etti. Saldırganların sıhhat kesimine saldırmasının niçinlerinden birinin de mağdur olan sıhhat kuruluşlarının COVID-19 periyodunda hizmetlerini sağlamaya mümkün olduğunca süratli bir halde devam etmek istemesi olduğu görülüyor.
Kaynak: (BHA) – Beyaz Haber Ajansı