İhlalden Fidye Yazılımına Erişim Pazarı Nasıl Çalışır?

Yeni bir rapora göre, Rusça konuşan bir hacker dünya genelindeki kuruluşlara sızıyor, giriş bilgilerini çalıyor ve bu çalıntı erişimleri fidye yazılımı gruplarına satılmak üzere paketliyor. Aynı aktörün Ukrayna askeri web sitelerini de izlediği bildiriliyor; bu da maddi amaçlı siber suç ile devam eden çatışmayla bağlantılı istihbarat toplama faaliyetini bir araya getiriyor.

Bu vaka, modern fidye yazılımı saldırılarının aslında nasıl başladığının net bir örneğidir. Manşetler genellikle bir şirketin dosyalarını şifreleyen zararlı yazılıma odaklanır, ancak ön kapı genellikle tamamen başka biri tarafından açılır: bir ilk erişim komisyoncusu. Bunlar tek bir işi iyi yapan uzmanlardır. Ağlara sızarlar, erişimin çalıştığını doğrularlar ve ardından genellikle yeraltı forumlarında, gasp işini yürüten fidye yazılımı operatörlerine satarlar. Bu iş bölümü, fidye yazılımı kampanyalarını daha hızlı, daha ölçeklenebilir ve tek bir gruba kadar izlemeyi zorlaştırmıştır.

Bu ihlalden fidye yazılımına erişim pazarı, tek bir çalıntı parolanın çok uzun bir yol kat edebileceği anlamına gelir. Onu çalan kişi fidye yazılımını asla kendisi dağıtmayabilir. Bunun yerine bir tedarikçi gibi davranır ve asıl hasarı – bir hastane sisteminin çevrimdışı kalması, bir üreticinin operasyonlarının durması, bir okul bölgesinin verilerinin şifrelenmesi – tamamen ayrı bir alıcı, zincirin alt halkalarında gerçekleştirir.

Hangi Kimlik Bilgileri ve Ağ Erişimleri Çalınıp Satıldı

Rapora göre, hacker’ın operasyonu küresel kuruluşlardan kimlik bilgileri toplamaya ve ardından bu erişimi yeniden satışa hazırlamaya odaklanmıştı. Aktör, ele geçirilen her sistemi hemen sömürmek yerine, çalıntı giriş bilgilerini envanter gibi ele almış gibi görünüyor: kataloglanacak, doğrulanacak ve bir saldırının sonraki aşamasında uzmanlaşmış alıcılara devredilecek bir şey. Bu ticari faaliyetin yanı sıra, hacker’ın Ukrayna askeri web sitelerini de takip ettiği gözlemlendi; bu ayrıntı, salt kârın ötesinde örtüşen motivasyonlara işaret ediyor.

Bu model, yani maddi amaçlı kimlik bilgisi hırsızlığının jeopolitik motivasyonlu gözetimle paralel yürümesi, Rusça konuşan tehdit aktörleri arasında giderek yaygınlaştı. Aynı zamanda savunmacıların bir kimlik bilgisi hırsızlığı olayının “sadece” bir mali suç sorunu olduğunu varsayamayacaklarının da altını çiziyor. Bir fidye yazılımı ekibine satılmak üzere son bulan aynı çalıntı erişim, kolaylıkla casusluk için de kullanılabilir ya da her ikisi birden.

Çalıntı VPN ve Uzaktan Erişim Kimlik Bilgileri Erişim Komisyoncuları İçin Neden Başlıca Hedeflerdir

Erişim komisyoncuları, en az çabayla en geniş bölgeyi açan kimlik bilgilerine yönelir. VPN girişleri, uzak masaüstü hesapları ve diğer uzaktan erişim araçları bu listenin üst sıralarında yer alır, çünkü bir kullanıcıyı dış dünyadan doğrudan iç ağa sokmak üzere tasarlanmışlardır. Tek bir geçerli VPN kimlik bilgisi, çevre savunmalarını tamamen atlayarak saldırgana meşru görünen bir dayanak noktası sağlar ve geleneksel bir sızmayla aynı alarmları tetiklemez.

VPN sağlayıcılarının ve tuttukları kimlik bilgisi verilerinin kendi başlarına neden cazip hedefler haline geldiğinin nedeni tam olarak budur. Risk altında olan yalnızca kurumsal VPN ağ geçitleri değildir. Tüketiciye yönelik VPN hizmetlerinin de iç veritabanları açığa çıkmış ve “kayıt tutmama” vaatlerinin inceleme altında geçerli olup olmadığına dair rahatsız edici soruları gündeme getirmiştir. SplitVPN ihlali buna iyi bir örnektir: sağlayıcıyla bağlantılı olduğu iddia edilen büyük bir veritabanı bir suç forumunda ortaya çıkmış, şirketin gizlilik iddialarını zayıflatmış ve kullanıcılara bir VPN’in kendi güvenlik duruşunun, reklamını yaptığı şifreleme kadar önemli olduğunu hatırlatmıştır.

VPN, 2FA ve Kimlik Bilgisi Hijyeni Yanal Hareket Riskini Nasıl Azaltır

İyi haber şu ki, bu saldırı hattındaki sürtünmenin çoğu, birkaç tutarlı adım atmaya istekli kuruluşlar ve bireyler tarafından geri eklenebilir. Çok faktörlü kimlik doğrulama, çalıntı kimlik bilgilerine karşı en etkili kontroldür; çünkü bir parola, ikinci bir doğrulama adımıyla eşleştirilemezse alıcı için çok daha az kullanışlı hale gelir. Kimlik bilgilerini düzenli olarak değiştirmek, hizmetler arasında parola tekrarından kaçınmak ve ihlal bildirim hizmetlerinde açığa çıkmış girişleri izlemek, çalıntı erişimin bir komisyoncu için değerli kaldığı süreyi daraltır.

Özellikle uzaktan erişim için, sadece bir pazarlama iddiası değil, doğrulanabilir, denetlenmiş bir kayıt tutmama politikasına sahip bir VPN sağlayıcısı seçmek, kendi kimlik bilgilerinizin satılık bir sonraki veri seti olma olasılığını azaltır. Bunu her uzaktan erişim noktasında 2FA ile eşleştirmek ve ağları, ele geçirilmiş tek bir hesabın her şeye ulaşamayacağı şekilde bölümlere ayırmak, bir saldırganın içeri girse bile ne kadar ilerleyebileceğini sınırlar.

Bu Sizin İçin Ne İfade Ediyor

Bir işletme için BT yönetiyorsanız, bu vaka, bir fidye yazılımı olayının gerçek başlangıç noktasının genellikle fidye yazılımının kendisi değil, ilk erişim komisyoncusu kimlik bilgisi hırsızlığı olduğunu hatırlatır. Kimlik bilgisi hijyenine, MFA’ya ve uzaktan erişim izlemeye yatırım yapmak, bu saldırıları durdurmakta herhangi bir kötü amaçlı yazılım önleme aracından daha fazlasını yapar. Bireysel bir kullanıcıysanız, VPN veya uzaktan erişim sağlayıcınızın kendi verilerini koruma konusunda bir sicile sahip olup olmadığını kontrol etmeniz için bir uyarıdır; çünkü kimlik bilgileriniz ancak onları saklayan hizmet kadar güvendedir.

Uygulanabilir çıkarımlar:

  • Yalnızca e-posta değil, her VPN, uzak masaüstü ve yönetici hesabında çok faktörlü kimlik doğrulamayı etkinleştirin.
  • Özellikle uzaktan erişim araçları için, hizmetler arasında parola tekrarından kaçının.
  • Kayıt tutmama iddialarına güvenmeden önce bir VPN sağlayıcısının güvenlik geçmişini ve bağımsız denetimlerini araştırın.
  • Kimlik bilgilerinizin ihlal veritabanlarında görünüp görünmediğini izleyin ve bulunursa hemen değiştirin.
  • Ağları, çalıntı tek bir kimlik bilgisinin geniş yanal erişim sağlayamayacağı şekilde bölümlere ayırın.