INC Ransom, Lynx, MedusaLocker ve LockBit bağlantılı faaliyetler dahil olmak üzere birkaç büyük fidye yazılımı operasyonunun arkasındaki teknik altyapıyı inceleyen yeni bir araştırma, farklı marka adları altında faaliyet göstermelerine rağmen bu grupların çarpıcı biçimde benzer saldırı kalıplarına dayandığını ortaya koydu. Bu tutarlılık, fidye yazılımını anlamaya çalışan herkes için önem taşıyor; çünkü bu, savunmacıların bir çeteyi yakalamak için kullandığı araçların ve taktiklerin genellikle aynı anda birkaç diğerine karşı da işe yaradığı anlamına geliyor.

Farklı Fidye Yazılımı Markalarının Ardındaki Ortak Altyapı

Fidye yazılımı sıklıkla, adı geçen her grubun kendine özgü bir oyun kitabına sahip tamamen ayrı bir suç girişimi olduğu izlenimiyle ele alınır. Bu araştırmanın ortaya çıkardığı gerçeklik daha karmaşık ve bir bakıma savunma açısından daha faydalı. Araştırmacılar, INC Ransom, Lynx, MedusaLocker ve LockBit ile bağlantılı saldırılarda kullanılan altyapıyı, yani sunucuları, komuta-kontrol kanallarını ve hazırlık sistemlerini izleyerek, sözde ilgisiz kampanyalar arasında tekrar eden teknik parmak izleri buldu.

Bu örtüşme, fidye yazılımı ekosisteminin başka yerlerinde zaten görülen daha geniş bir eğilimi yansıtıyor. Fidye yazılımı gruplarının rekor düzeyde 93 aktif ekibe ulaşması haberinde ele alındığı üzere, yeraltı suç dünyası çok sayıda isimli operasyona bölünmüş durumda; ancak temel teknikler ve bazı durumlarda gerçek altyapı yeniden kullanılıyor veya paylaşılıyor. Hizmet olarak fidye yazılımı (Ransomware-as-a-service) ortakları markalar arasında sık sık geçiş yapıyor ve sızdırılan veya yeniden satılan araç setleri, farklı "grupların" kaputun altında büyük ölçüde birbirine benzemesine yol açabiliyor.

Önce Çal, Sonra Şifrele: Çifte Şantaj Standardı

Araştırmadan ortaya çıkan en net kalıplardan biri zamanlama. İncelenen fidye yazılımı operasyonlarının çoğu, bir kurbanın sistemlerini kilitlemeden önce sessizce hassas verileri sızdırıyor. Saldırının, sistemler aniden çalışmayı bıraktığı için fark edilen kısmı olan şifreleme, genellikle ilk adım yerine son adım oluyor.

Bu sıralama, çifte şantajın belkemiğini oluşturuyor: saldırganlar sessizce veri çalıyor, ardından dosyaları şifreliyor ve sonra fidye ödenmezse çalınan verileri kamuya açıklamakla tehdit ediyor. Bu, kurbanlara ödeme yapmak için iki ayrı neden veriyor ve bir şirket sistemlerini şifre çözme anahtarı için ödeme yapmadan yedeklerden geri yükleyebilse bile saldırganlara koz sağlıyor. Bu taktik o kadar standart hale geldi ki artık yokluğu kuraldan çok istisna olurdu ve bu durum, fidye ödemeleri rekor düşük seviyelere ulaşırken şantaj taktiklerinin nasıl değiştiğine dair ayrı bulgularla örtüşüyor; bu da kurbanlar ödeme yapmayı reddettiğinde grupları daha sert baskı taktiklerine itiyor.

Erken Tespit Neden Artık En İyi Savunma

Veri hırsızlığı tipik olarak şifrelemeden çok önce gerçekleştiği için, genellikle bir ihlalin sürdüğü ancak henüz tam teşekküllü bir krize dönüşmediği bir pencere, bazen günler veya haftalar bulunur. Bu araştırmada tespit edilen altyapı kalıpları, savunmacılara bu pencereyi fark etmeleri için bir yol sunuyor: INC Ransom, Lynx, MedusaLocker ve LockBit bağlantılı faaliyetlerde ortaya çıkan tekrar eden komuta-kontrol davranışı, hazırlık teknikleri ve ağ imzaları.

Bu önemli çünkü ilk giriş, saldırganların giderek daha fazla yararlandığı en zayıf halka haline geliyor. Bu sitede ele alınan ayrı bir araştırma, fidye yazılımı olaylarının %79'unun sofistike açıklardan ziyade çalınan kimlik bilgileriyle başladığını ortaya koydu. Buna, saldırganlar içeri girdikten sonra öngörülebilir davranan bir altyapıyı eklediğinizde daha net bir tablo ortaya çıkıyor: fidye yazılımı saldırılarının çoğu durdurulamaz sıfır gün başyapıtları değil. Çalınan erişime ve yeniden kullanılan araçlara dayanıyorlar; bunların her ikisi de kuruluşlar neye bakacaklarını bilirse tespit edilebilir izler bırakıyor.

Bu Sizin İçin Ne Anlama Geliyor

Günlük kullanıcılar için bu araştırma, fidye yazılımının nadiren birdenbire ortaya çıktığının bir hatırlatıcısı. Genellikle çalınan bir parola, bir kimlik avı e-postası veya açığa çıkmış bir uzaktan erişim noktasını takip ediyor ve genellikle herhangi bir şey kilitlenmeden veya bir fidye notu ortaya çıkmadan çok önce veri çalıyor. İşletmeler ve BT ekipleri için çıkarım daha doğrudan: büyük fidye yazılımı aileleri arasında paylaşılan altyapı kalıplarının izlenmesi, şifreleme hiç gerçekleşmeden önce, veri hırsızlığı aşamasında bir izinsiz girişi yakalayabilir.

Bireyler için pratik savunma her zamanki gibi aynı: benzersiz parolalar, çok faktörlü kimlik doğrulama ve beklenmedik oturum açma istemleri veya kimlik bilgisi talepleri karşısında dikkatli olmak. Fidye yazılımı grupları kapıdan girmek için çalınan erişime bağımlıdır, dolayısıyla bu erişim noktasını kapatmak, daha gelişmiş altyapı taktikleri devreye girmeden önce avantajlarının çoğunu ortadan kaldırır.

Önemli Çıkarımlar

  • Farklı isimlere sahip fidye yazılımı grupları sıklıkla ortak altyapıyı ve taktikleri paylaşır; bu da bir çete için geliştirilen tespit araçlarının sıklıkla diğerlerine de uygulanabileceği anlamına gelir.
  • Veri hırsızlığı tipik olarak şifrelemeden önce gerçekleşir ve savunmacıların harekete geçebileceği bir tespit penceresi yaratır.
  • Çalınan kimlik bilgileri en önemli giriş noktalarından biri olmaya devam ediyor; bu da parola hijyeni ve çok faktörlü kimlik doğrulamayı mevcut en etkili savunmalardan bazıları haline getiriyor.
  • Kuruluşlar yalnızca fidye yazılımının son ve en görünür aşamasını değil, erken izinsiz giriş belirtilerini izlemeye öncelik vermelidir.

Fidye yazılımı altyapısının gerçekte nasıl çalıştığını anlamak, her saldırıyı izole bir olay olarak ele almak yerine, hem bireylere hem de kuruluşlara tehditleri tırmanmadan önce yakalamak için daha net bir yol sunar. Bu ortak kalıplar hakkında bilgi sahibi olmak, bir adım önde kalmak için en basit yollardan biridir.