LockBit 5.0, dünya genelinde kuruluşlara saldırmaya devam ediyor ve grubun iş ortakları, tam anlamıyla savunulması zor olan iki aşamalı bir saldırı yaklaşımı geliştirdi. Güncel tehdit istihbaratına göre, LockBit 5.0 çifte şantaj kampanyaları artık yalnızca kaba kuvvet şifrelemeye değil, kurbanların ödeme yapması için baskıyı en üst düzeye çıkarmak üzere tasarlanmış, veri hırsızlığı ve kesinti kombinasyonuna dayanıyor.

Bu, birdenbire ortaya çıkan yeni bir fidye yazılımı ailesi değil. LockBit, dünyanın en üretken hizmet olarak fidye yazılımı (RaaS) operasyonlarından biri olarak uzun ve iyi belgelenmiş bir geçmişe sahip ve kolluk kuvvetlerinin Cronos Operasyonu ile grubu çökertme çabasının ardından yeniden ortaya çıkışı, güvenlik araştırmacıları tarafından yakından takip ediliyor. Grubun kendini nasıl yeniden inşa ettiği ve mevcut formuna nasıl evrildiğine dair daha kapsamlı geçmiş bilgiyi isteyen okuyucular için, LockBit 5.0 açıklayıcı yazımız bu geçmişi derinlemesine ele alıyor. Bu yazı ise şu anda olup bitene odaklanıyor: mevcut kampanyanın işleyişi ve kuruluşların buna karşı neler yapabileceği.

LockBit 5.0’ın Çifte Şantaj Saldırısı Nasıl İşliyor?

İş ortaklarının kullandığı saldırı deseni kasıtlı bir sıra izliyor. Herhangi bir dosya şifrelenmeden önce, saldırganlar hedef ağdan veri sızdırıyor. Bunun için genellikle meşru bir dosya aktarım aracı olan ve büyük hacimli çalıntı veriyi harici depolama alanına sessizce taşımak amacıyla kötüye kullanılan Rclone ya da bu iş için özel olarak tasarlanmış hırsız kötü amaçlı yazılımlar kullanıyor.

Veriler kopyalanıp çıkarıldıktan sonra şifreleme aşaması başlıyor ve bu aşama hızlı olacak şekilde tasarlanmış durumda. İş ortakları, aralıklı ve hızlı şifreleme rutinleri kullanıyor; yani dosyalar tek bir sürekli işlemle değil, patlamalar halinde kilitleniyor. Bu yaklaşım saldırganların çok sayıda dosyayı hızlıca şifrelemesine olanak tanırken, geleneksel izleme araçları tarafından fark edilmeyi zorlaştırıyor. Şifrelenmiş dosyalara ayrıca rastgele dosya uzantıları veriliyor, bu da kurtarma çabalarını karmaşık hale getiriyor ve savunmacıların etkilenenlerin kapsamını hızlıca belirlemesini güçleştiriyor.

Sonuç, kurbanlar için çifte açmaza dönüşüyor. Bir kuruluş, şifrelenmiş sistemleri yedeklerden geri yükleyebilse ve şifre çözme anahtarı için ödeme yapmaktan kaçınabilse bile, saldırganlar hâlâ çalınmış verileri elinde tutuyor ve bunları sızdırmak veya satmakla tehdit edebiliyor. İşte bu ikinci koz, bu modelin sektördeki fidye yazılımı grupları için neden etkili olmaya devam ettiğinin ve LockBit iş ortaklarının Windows, Linux ve sanallaştırılmış ortamlarda neden bu yönteme bel bağlamaya devam ettiğinin tam da sebebi.

Asıl Tehdit Artık Neden Şifreleme Değil de Veri Sızdırma?

Fidye yazılımını öncelikle bir dosya şifreleme sorunu, yani iyi yedekler tutarak çözülecek bir şey olarak düşünmek cazip gelebilir. Bu düşünce tarzı, asıl kozun şimdi nerede yattığını gözden kaçırır. Veri ağdan bir kez çıktığında, yedekler bu ifşayı geri alamaz. Müşteri kayıtları, finansal veriler, dahili yazışmalar veya fikrî mülkiyet olsun, çalınan dosyalar artık saldırganların elindedir ve kurban kuruluş fidyeyi ödesin ya da ödemesin bu durum değişmez.

Bu değişim önemli, çünkü “kurtarma”nın gerçekte ne anlama geldiğini değiştiriyor. Sistemleri temiz bir yedekten geri yüklemek, operasyonel kesintiyi giderir, ancak hassas bilgilerin bir sızıntı sitesinde yayınlanmasını veya başka tehdit aktörlerine satılmasını engellemez. Kuruluşların, veri sızdırmayı şifrelemenin sonradan akla gelen bir unsuru olarak değil, planlanması gereken birincil risk olarak ele alması gerekiyor.

Sağlamlaştırma Adımları: Yedekler, Ağ Bölümleme ve Erişim Kontrolleri

Bu saldırı deseni göz önüne alındığında, birkaç savunma önceliği LockBit 5.0 iş ortaklarının çalışma şekliyle özellikle ilgili olarak öne çıkıyor:

  • Şifreli, çevrim dışı yedekler. Yedekler, bekleyen veri (at rest) olarak şifrelenmeli ve birincil ağdan yalıtılmış şekilde, mümkünse değiştirilemez (immutable) veya hava boşluklu (air-gapped) kopyalar olarak tutulmalıdır; böylece saldırganlar geniş erişim elde etse bile kurtarma verilerine ulaşamaz veya onları kurcalayamaz.
  • Ağ bölümleme (segmentasyon). İş ortakları şifrelemeden önce verileri dışarı çıkardığı için, bir davetsiz misafirin ağ üzerinde bir kere içeri girdikten sonra ne kadar ilerleyebileceğini sınırlamak, hem riske giren veri hacmini hem de şifreleme aşamasında vurulabilecek sistem sayısını azaltır.
  • Olağan dışı veri transferlerinin izlenmesi. Rclone gibi sızdırma araçları meşru yazılımların kötüye kullanılması olduğundan, güvenlik ekipleri yalnızca kötü amaçlı yazılım imzalarını değil, anormal giden aktarım hacimlerini veya dosya senkronizasyon araçlarının alışılmadık kullanımını da izlemelidir.
  • Sıkı erişim kontrolleri. Hangi hesapların ve sistemlerin hassas verilere erişebileceğini sınırlamak, bir saldırgan giriş noktası olan bir hesabı ele geçirse bile çalınabilecek veri havuzunu daraltır.
  • Veri hırsızlığını varsayan olay müdahale planlaması. Müdahale planları, herhangi bir şifreleme tespit edilmeden önce verilerin kopyalanıp çıkarılmış olabileceği ihtimalini açıkça hesaba katmalıdır; böylece hukuki, iletişim ve mevzuata uygunluk yükümlülükleri sonradan akla gelen konular olmaz.

Bu önlemlerin hiçbiri alışılmadık değil. Önemli olan, bunları LockBit 5.0’ın kendine özgü deseni akılda tutularak uygulamaktır: sessiz veri hırsızlığının ardından gelen hızlı, aralıklı şifreleme.

Sizin İçin Anlamı

Herhangi bir büyüklükteki kuruluşta BT veya güvenlikten sorumluysanız, buradan çıkarılacak pratik sonuç, fidye yazılımı savunmasının şifreleme engellemesiyle sınırlı kalamayacağıdır. LockBit 5.0 çifte şantaj olayı, sağlam yedekleme uygulamalarına sahip kuruluşlara karşı bile başarıya ulaşır; çünkü hırsızlık önce gerçekleşir ve koz yalnızca şifrelemeye bağlı değildir. Hassas verilerin nasıl bölümlendiğini, kimlerin erişebildiğini ve giden transferlerin izlenip izlenmediğini gözden geçirmek, bu noktada en az yedekleme hijyeni kadar önemlidir.

Bireyler için ise maruziyet daha dolaylıdır ancak yine de gerçektir. Kişisel verilerinizi paylaştığınız bir şirket bu tür bir kampanyanın hedefi olursa, kuruluş fidye ödesin ya da ödemesin bilgileriniz ifşa olabilir. Bu, hizmetlerle paylaştığınız kişisel veriler konusunda seçici olmanız ve kullandığınız şirketlere ait ihlal bildirimlerine dikkat etmeniz için iyi bir hatırlatmadır.

Önemli Noktalar

LockBit 5.0’ın süregelen faaliyetleri, hizmet olarak fidye yazılımı operasyonlarının hızla adapte olduğunu ve savunmaların buna ayak uydurması gerektiğini hatırlatıyor. Bu tür bir kampanyadan kaynaklanan riski azaltmak için:

  • Saldırganların ulaşamayacağı veya bozamayacağı şifreli, çevrim dışı veya değiştirilemez yedekler bulundurun
  • Ağları, tek bir ele geçirilmiş hesap tüm ortama erişemeyecek şekilde bölümlere ayırın
  • Yalnızca zararlı yazılım imzalarını değil, olağan dışı giden veri transferlerini de izleyin
  • Hassas verilere, sıkı “bilinmesi gereken” esasına dayalı erişim kontrolleri uygulayın
  • Olay müdahale planlarını, tespit öncesinde veri sızdırıldığını varsayarak oluşturun

LockBit’in kolluk kuvvetlerinin müdahalesinin ardından operasyonunu nasıl yeniden inşa ettiği ve en son sürümünde nelerin değiştiği hakkında daha fazla bilgi için, LockBit 5.0’ın evrimine dair açıklayıcı yazımızın tamamını okuyun.