Siber casusluk yapan ve Japon ve Batılı şirketlerden fikri mülkiyet çalan iki Çinli hack grubu, kötü niyetli faaliyetlerini örtmek için fidye yazılımlarını bir tuzak olarak konuşlandırıyor.
SecureWorks'ten gelen tehdit analistleri, casusluk operasyonlarında fidye yazılımı kullanımının, izlerini gizlemek, atıfları daha zorlaştırmak ve savunucular için güçlü bir dikkat dağıtıcı oluşturmak için yapıldığını söylüyor.
Son olarak, hassas bilgilerin pessatasyonu finansal olarak motive edilen saldırılar olarak maskelenmiştir, bu da Çin hükümet destekli tehdit gruplarında geçerli değildir.
Secureworks tarafından analiz edilen iki hack aktivitesi kümesi, her ikisi de uzaktan erişim truva atları, plugx, kobalt grevi ve quasarrat dağıtmak için HUI yükleyicisini kullanan "Bronz Riverside" (APT41) ve "Bronz Starlight" (APT10).
Mart 2022'den başlayarak, "Bronz Starlight", Lockfile, Atomsilo, Rook, Gece Sky ve Pandora gibi fidye yazılımı suşlarını dağıtmak için kobalt grevinden yararlandı.
Bu saldırılarda, bilgisayar korsanları ayrıca Windows API çağrılarını bağlayabilen ve Windows (ETW) ve antimalware tarama arayüzü için etkinlik izlemesini devre dışı bırakabilen yeni bir HUI Loader sürümünü kullandı. (AMSI) Fonksiyonlar.
Atomsilo, Night Sky ve Pandora'yı kullanarak üç ayrı saldırıda kobalt vuruş işaretlerinin yapılandırması ortak bir C2 adresi ortaya koydu. Ek olarak, aynı kaynak bu yıl virüs toplamına HUI yükleyici örneklerini yüklemek için kullanıldı.
Lockfile, Atomsilo, Rook, Gece Sky ve Pandora'nın etkinliği ve mağduru, finansal olarak motive edilen fidye yazılımı operasyonlarına kıyasla, kısa bir süre boyunca az sayıda kurbanı hedefleyen ve daha sonra projeyi tamamen terk ediyor.
SecureWorks ayrıca Pandora ve Hui Loader'ın en son sürümü arasında kod örtüşme olduğunu da söylüyor, bu nedenle bu gevşek bağlantı ortak bir gruba işaret edebilir.
Lockfile ve Atomsilo da çok benzer gibi görünürken, gece Sky, Pandora ve Rook Babuk kaynak kodundan türetildi ve kodlarında kapsamlı benzerliklere sahip.
Bu beş fidye yazılımı operasyonu siber suç topluluğunda bir iz bırakmadı ve asla önemli bir tehdit haline gelmedi. Ayrıca, hepsi biraz erken terk edildi.
Bununla birlikte, "Bronz Starlight", fidye yazılımı saldırıları olarak siber-durum operasyonlarını maskelemek için kısa ömürlü fidye yazılımı suşları yaratıyor olabilir ve doğru atıfın sonuçlarıyla başa çıkma şansını azaltır.
Tartışılan tüm fidye yazılımı suşları halka açık veya sızdırılmış kodlara dayandığından ve Çin tehdit gruplarının arka kapıları ve altyapıyı paylaştığı bilindiğinden, hiçbir şey kesin olarak söylenemez.
Bununla birlikte, SecureWork'ün bulguları ilginçtir ve savunucuların sağlam fidye yazılımı algılama ve koruma mekanizmaları kurmaları ve tüm sistemleri temizlemeden sonra iyice incelemelerinin başka bir nedenini oluşturur.
Bu fidye yazılımı ailelerinin diğer kötü niyetli etkinlikleri gizlemek için tuzak olarak geliştirilip geliştirilmeyeceği belirsiz olsa da, fidye yazılımının bu şekilde ilk kez kullanılmaması olmaz.
2018 yılında, tehdit aktörleri, hızlı para transfer sistemi aracılığıyla para çalmaya çalışırken personelin dikkatini dağıtmak için bir Şili bankasında yüzlerce bilgisayara disk saran bir kötü amaçlı yazılım kullandı.
Daha yakın zamanlarda, Hermeticwiper olarak bilinen sahte fidye yazılımı, Rusya'nın ülkeyi işgal etmesinden bir gün önce Ukrayna ağlarına konuşlandırıldı.
Fidye Yazılımında Hafta - 24 Haziran 2022 - Splinter Hücreleri
Şüpheli fidye yazılımı saldırısında bilgisayar korsanları tarafından kullanılan Mitel Zero-Day
Conti fidye yazılımı nihayet veri sızıntısını, müzakere sitelerini kapatır
Conti fidye yazılımı hackleme çılgınlığı bir ayda 40'tan fazla orgs ihlali
Otomotiv hortumu üreticisi Nichirin Fidye Yazılımı Saldırısı
Kaynak: Bleeping Computer