Kendini Geri Alan Bir Fidye Yazılımı Saldırısı
Fidye yazılımı saldırıları genellikle mağdur için ters giden şeylerle tanımlanır: dosyalar şifrelenir, sistemler kilitlenir, ödeme talep eden fidye notları. Akira fidye yazılımı grubunu içeren yakın zamanda bildirilen bir olay bu senaryoyu tersine çeviriyor. Raporlara göre Akira, uç nokta tespit ve yanıt (EDR) araçlarını atlatmak için hedef sistemi Güvenli Mod'da yeniden başlatarak akıllıca bir kaçamak manevrası denedi, ancak hile o kadar kötü geri tepti ki fidye yazılımının kendi şifreleyicisini bozdu. Microsoft Defender daha sonra yükü tespit edip karantinaya alarak saldırganlara bu sızma için gösterecek hiçbir şey bırakmadı.
Fidye yazılımı çetelerinin genellikle hasara neden olan taraf olduğu bir tehdit ortamında bu nadir, neredeyse anti-klimaktik bir sonuç. Ancak bu olay yalnızca bir merak konusu değil. Saldırganların güvenlik savunmalarını devre dışı bırakmaya nasıl çalıştığına ve bu girişimler ters gittiğinde ne olduğuna dair faydalı bir pencere sunuyor.
Güvenli Mod Hilesi Nasıl Çalışır ve Neden Başarısız Oldu
Ele geçirilmiş bir makineyi Güvenli Mod'da başlatmak, fidye yazılımı operatörleri arasında bilinen bir tekniktir. Güvenli Mod, bir Windows sistemini yalnızca temel sürücülere ve hizmetlere indirger; bu da normal önyükleme süreçlerine dayanan birçok üçüncü taraf EDR ve antivirüs aracını kullanışlı bir şekilde devre dışı bırakır. Saldırganlar için bu, güvenlik yazılımının izlemediği bir pencere oluşturur ve şifreleyiciyi fark edilmeden dağıtmayı kolaylaştırır.
Bu durumda, aynı sadeleştirilmiş ortamın şifreleyicinin kendi doğru çalışma yeteneğine müdahale ettiği görülüyor. Fidye yazılımı yükleri, şifreleme rutinlerini sorunsuz bir şekilde yürütmek için genellikle belirli sistem bileşenlerine, kitaplıklarına veya hizmetlerine bağımlıdır. Güvenli Mod bu bağımlılıkları devre dışı bıraktığı için bu bağımlılıklar mevcut olmadığında, kötü amaçlı yazılım çökebilir veya tamamen başarısız olabilir. Burada fiilen olan da budur: savunucuları kör etmek için tasarlanan taktik, saldırının kendisini kör etmekle sonuçlandı.
Dahası, Microsoft Defender daha sonra yükü tespit edip karantinaya alabildi; bu da kaçamak girişiminin Microsoft'un yerleşik korumalarından gizli kalma temel hedefine bile ulaşamadığını gösteriyor.
Bu Hataya Rağmen Saldırganlar Neden Hâlâ Avantajlı?
Bu olayı fidye yazılımı savunmalarının genel mücadeleyi kazandığının kanıtı olarak okumak bir hata olur. Akira gibi gruplar aktif ve ısrarcı olmaya devam ediyor ve bu tür başarısızlıklar kural değil istisnadır. Fidye yazılımı operatörleri araçlarını sürekli olarak iyileştiriyor, yeni kaçamak teknikleri test ediyor ve bu tür hatalardan ders çıkarıyor. Bugün başarısız olan bir saldırı, aynı tekniğin yarın yamanıp başarıyla yeniden dağıtılmayacağı anlamına gelmez.
Bu olayın vurguladığı şey, katmanlı savunmaların ve hızlı tespitin önemidir. Bir saldırgan bir koruma katmanını bozmayı veya devre dışı bırakmayı başarsa bile, Defender'ın olay sonrası tespit yeteneği gibi diğer araçların yerinde olması, kalıcı zarara neden olmadan önce kötü amaçlı etkinliği yakalayabilir. Tehdit istihbaratı paylaşımının sektörler genelinde bu kadar önemli olmasının nedeni de budur. FBI'ın sağlık kuruluşlarını fidye yazılımı tehdit verilerini paylaşmaya teşvik etmesi gibi çabalar, saldırgan davranışlarına ilişkin görünürlüğün, başarısızlıkları da dahil, savunucuların yalnızca tepki vermek yerine bir sonraki hamleyi öngörmesine yardımcı olduğuna dair artan bir kabulü yansıtıyor.
Bu Sizin İçin Ne Anlama Geliyor?
Sıradan kullanıcılar ve küçük işletme sahipleri için bu hikâye, fidye yazılımının durdurulamaz bir güç olmadığını ancak ortadan kalkmayacağını da hatırlatıyor. Buradaki belirli teknik başarısızlık, bir kaçamak hilesinin kötü amaçlı yazılımın kendi işlevini bozması, mağdur için büyük ölçüde üstün savunmalarının sonucu olmaktan çok bir şans eseriydi. Verilerinizi korumak için saldırganların hata yapmasına güvenmemelisiniz.
Kontrol edebileceğiniz şey, başarılı bir şekilde hedef alınma olasılığını en baştan azaltmaktır. Bu, sistemlerin güncel tutulması, EDR veya antivirüs araçlarının doğru yapılandırıldığından ve izlendiğinden emin olunması ve çevrimdışı veya değişmez yedeklerin korunması anlamına gelir; böylece başarılı bir şifreleme girişimi bile kalıcı veri kaybı anlamına gelmez. Kuruluşlar ayrıca, Güvenli Mod'a beklenmeyen yeniden başlatmalar gibi olağan dışı sistem davranışlarını hesaba katan olay müdahale planlarına sahip olmalıdır; çünkü bunlar rutin bakım yerine aktif bir sızmanın erken uyarı işaretleri olabilir.
Önemli Çıkarımlar
Akira gibi fidye yazılımı grupları, yüklerini dağıtmadan önce güvenlik araçlarını devre dışı bırakmanın yeni yollarını geliştirmeye devam ediyor ve Güvenli Mod başlatmaları bu tekniklerden biri. Bu örnekte taktik geri tepti, şifreleyiciyi çökertti ve Defender'ın yükü daha sonra yakalamasına izin verdi. Ancak bu sonuç koşullara bağlıydı, garanti değildi. Bireyler ve kuruluşlar için asıl ders, güvenlik araçlarını güncel tutmak, güçlü yedekleme uygulamalarını sürdürmek ve olağan dışı sistem davranışlarına karşı tetikte olmaktır. Fidye yazılımı savunması, saldırganların başarısız olmasını ummakla ilgili değildir; başarısız olduklarında veya olmadıklarında hasarın sınırlı kalması için dayanıklılık oluşturmakla ilgilidir.
