483 Kurbana Sahip ve Büyüyen Bir Araç Setine Sahip Fidye Yazılımı Çetesi

The Gentlemen olarak bilinen bir fidye yazılımı operasyonunun, iki farklı kötü amaçlı araç setini birleştirerek 483 kurbanı ele geçirdiği bildirildi: GentleKiller adlı bir savunma atlatma aracı ve EtherRAT adlı bir uzaktan erişim truva atı. Bu araçlar bir arada, grubun hedef makinedeki güvenlik yazılımlarını devre dışı bırakmasına ve savunucuların kapatmasının daha zor olduğu gizli komuta-kontrol iletişimini sürdürmesine olanak tanıyor.

Güvenlik araştırmacılarının ayrıca The Gentlemen fidye yazılımı çetesinin Thialf'e saldırısı raporumuzda ele aldığımız Hollanda buz pateni stadyumu gibi kuruluşlara yönelik saldırılarla da ilişkilendirdiği grup, erişim alanını istikrarlı biçimde genişletiyor. Çete, tek bir yeni istismar yoluna güvenmek yerine, birkaç iyi bilinen atlatma tekniğini tek bir otomatik pakette üst üste yığarak ve ardından bu paketi çok sayıda hedefte yeniden kullanarak başarı elde ediyor gibi görünüyor.

GentleKiller Güvenlik Yazılımlarını Nasıl Alt Ediyor

Bu kampanyanın merkezinde, genellikle BYOVD ya da "Kendi Savunmasız Sürücünü Getir" olarak adlandırılan bir teknik etrafında inşa edilmiş GentleKiller yer alıyor. Basitçe söylemek gerekirse, saldırganlar kurbana ait bilgisayara meşru ancak kusurlu bir donanım veya yazılım sürücüsü kuruyor. Bu sürücü çoğu zaman dijital olarak imzalanmış ve Windows tarafından güvenildiği için derin sistem düzeyinde ayrıcalıklarla çalışabiliyor. Saldırganlar daha sonra bu sürücüdeki bilinen bir zayıflığı istismar ederek makinede çalışan güvenlik yazılımlarını kapatıyor veya kör ediyor; böylece güvenilen bir yazılım parçasını, tam da onu durdurmak için tasarlanmış araçlara karşı bir silaha dönüştürüyor.

Bu kampanyaya ilişkin haberlere göre GentleKiller, 48 farklı güvenlik satıcısının ürünlerini alt etmek için kullanıldı. Bu sayı önemli çünkü araç, bir veya iki belirli antivirüs programından kaçınmak için tasarlanmamış. Aksine, uç nokta koruma pazarının geniş bir bölümünü etkisiz hale getirebilen geniş, yeniden kullanılabilir bir çerçeve olarak inşa edilmiş. Bu durum, The Gentlemen fidye yazılımının EDR araçlarını nasıl kör ettiği haberimizde izlediğimiz bir örüntüyü yansıtıyor; grubun operatörleri, gerçek şifreleme yükünü devreye almadan önce tespiti devre dışı bırakma konusunda tutarlı bir ilgi göstermiş durumda.

EtherRAT ve Blokzinciri Ayrıntısı

İkinci bileşen EtherRAT, komuta-kontrol (C2) iletişimini yönetiyor; bu, saldırganların enfekte makinelere talimat göndermek ve çalınan verileri ya da durum güncellemelerini geri almak için kullandığı kanal. EtherRAT'i farklı kılan şey, bu amaçla blokzinciri altyapısını kullandığının bildirilmesi. Geleneksel C2 sunucuları, keşfedildiklerinde araştırmacılar veya kolluk kuvvetleri tarafından tanımlanıp kapatılabiliyor. Saldırganlar iletişimi blokzinciri tabanlı mekanizmalar üzerinden yönlendirerek bu tür bir kapatmayı önemli ölçüde zorlaştırıyor; çünkü blokzinciri verisi dağıtıktır ve tek bir kapatma noktasına karşı dirençlidir.

Sürücü tabanlı bir savunma katili ile dayanıklı bir C2 kanalının bu birleşimi, fidye yazılımı-hizmet olarak (RaaS) operasyonları arasındaki daha geniş bir eğilimi yansıtıyor: bir kez inşa et, geniş çapta sat veya lisansla ve iştiraklerin çeşitli hedeflere karşı büyük ölçekli kampanyalar yürütmesine izin ver; buna, pazar payı için rekabet eden grupların giderek daha fazla hedef aldığı küçük ve orta ölçekli işletmeler de dahil; bunu Qilin ve The Gentlemen'in KOBİ saldırılarını tırmandırması yazımızda ayrıntılı olarak ele almıştık.

Bu Sizin İçin Ne Anlama Geliyor

Bir işletme için BT sistemlerini yönetiyorsanız veya yalnızca ev ağınızın güvenliğini önemsiyorsanız bile, buradaki temel ders The Gentlemen'e özgü değil. Ders, herhangi bir tek güvenlik ürününe güvenmenin sınırlarıyla ilgili. 48 farklı satıcıyı alt edebilen bir araç, antivirüs veya uç nokta algılama yazılımının tek başına tam bir savunma olarak görülemeyeceğini gösteriyor.

Bireyler için pratik risk daha düşük ama sıfır değil: fidye yazılımı grupları ilk erişimi sıklıkla kimlik avı e-postaları, açıkta kalan uzaktan erişim hizmetleri veya yamalanmamış yazılımlar üzerinden elde ediyor; bunlar kişisel verileri ve ev ağlarını riske atan aynı giriş noktaları. Arka uçtaki kötü amaçlı yazılım ne kadar sofistike hale gelirse gelsin, sistemleri güncel tutmak, benzersiz parolalar kullanmak ve istenmeyen ekler konusunda dikkatli olmak temel koruma olmayı sürdürüyor.

Kuruluşlar için bu kampanya, fidye ödemenin ileriye dönük güvenliği garanti etmediğini hatırlatıyor. Fidye ödeyenlere ilişkin Proofpoint çalışması analizimizde ele alındığı üzere, fidye ödeyen şirketlerin yaklaşık üçte biri yeniden hedef alınıyor. Katmanlı savunmalar, çevrimdışı yedeklemeler ve hangi çekirdek düzeyi sürücülerin yüklenebileceğini kısıtlayan sürücü izin listesi politikaları, tek bir güvenlik aracının her tehdidi yakalayacağını ummaktan çok daha dayanıklı korumalar.

Çıkarımlar

  • Tek bir güvenlik ürününe güvenmeyin; saldırganlar araçları belirli satıcıları atlatacak şekilde özellikle tasarladığında katmanlı savunmalar daha da önemlidir.
  • Sistemlerinizde hangi sürücülerin yüklenebileceğini kısıtlayın; çünkü BYOVD saldırıları çekirdek erişimine sahip dış sürücülerin kurulmasına bağlıdır.
  • Fidye yazılımı enfeksiyonunun bir ödeme kararını zorlamaması için çevrimdışı, test edilmiş yedeklemeler bulundurun.
  • Beklenmeyen e-postalara, bağlantılara ve uzaktan erişim taleplerine şüpheyle yaklaşın; çünkü ilk erişim hâlâ tipik olarak temel sosyal mühendislik veya yamalanmamış yazılımla başlıyor.
  • The Gentlemen fidye yazılımı operasyonu gibi gruplar hakkında bilgi sahibi olun; çünkü araçları ve hedefleri gelişmeyi sürdürüyor.