ABD hükümeti, özel PowerShell ve toplu komut dosyaları ile birlikte açık kaynaklı kamu hizmetlerini içerecek şekilde saldırılarda avoslocker fidye yazılım iştiraklerinin kullanımı araçlarının listesini güncelledi.
Ortak bir siber güvenlik danışmanlığında, Federal Soruşturma Bürosu (FBI) ve Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), meşru bir ağ izleme aracı kisvesiyle kötü amaçlı yazılımları tespit etmek için bir Yara kuralını da paylaşır.
Avoslocker fidye yazılımı iştiraklerinin, kurumsal ağlardan verileri tehlikeye atmak ve yaymak için uzak sistem yönetimi için meşru yazılım ve açık kaynaklı kod kullandığı bilinmektedir.
FBI, ağda yanal olarak hareket etmek, ayrıcalıklarını artırmak ve sistemlerdeki güvenlik aracılarını devre dışı bırakmak için özel PowerShell, web mermileri ve toplu komut dosyaları kullanan tehdit aktörlerini gözlemledi.
Güncellenmiş danışmanlıkta, ajanslar aşağıdaki araçları Avoslocker fidye yazılım ortaklıklarının cephaneliğinin bir parçası olarak paylaşıyor:
Avoslocker saldırılarında gözlemlenen ek kamuya açık araçlar arasında Notepad ++, RDP tarayıcı ve 7ZIP bulunmaktadır. Psexec ve NLTest gibi meşru yerel pencere araçları da görüldü.
Avoslocker saldırılarının bir başka bileşeni, meşru bir süreç olarak ortaya çıkan ve “meşru bir ağ izleme aracı görünümüne sahip olan NetMonitor.exe adlı bir kötü amaçlı yazılım parçasıdır.
Bununla birlikte, NetMonitor, her beş dakikada bir ağdan gelen bir kalıcılık aracıdır ve tehdit aktörlerinin uzlaşma ağına uzaktan bağlanmasını sağlayan ters bir proxy görevi görür.
FBI, “Gelişmiş Dijital Adli Tıp Grubu” nun araştırılmasının ayrıntılarını kullanan FBI, bir ağdaki netmonitor kötü amaçlı yazılımları tespit etmek için aşağıdaki Yara kuralını oluşturdu.
“Avoslocker iştirakleri, ABD'deki birçok kritik altyapı sektöründe kuruluşları tehlikeye attılar, Windows, Linux ve VMware ESXI ortamlarını etkiledi” - FBI ve CISA
CISA ve FBI, kuruluşların izin verilen programlar da dahil olmak üzere yazılımın yürütülmesini kontrol etmek için uygulama kontrol mekanizmaları uygulamalarını ve ayrıca yetkisiz yardımcı programların taşınabilir sürümlerini, özellikle uzaktan erişim araçlarını önlemelerini önerir.
Tehdit aktörlerine karşı savunmak için en iyi uygulamaların bir kısmı, giriş denemelerinin sayısını sınırlandırarak ve kimlik avına dirençli çok faktörlü kimlik doğrulama (MFA) uygulayarak RDP gibi uzak masaüstü hizmetlerini kullanma kısıtlamalarıdır.
En az ayrıcalıklar ilkesini uygulamak da önerilerin bir parçasıdır ve kuruluşlar, işleri için ihtiyaç duymayan kullanıcılar için komut satırını, komut dosyasını ve PowerShell kullanımını devre dışı bırakmalıdır.
Yazılım ve kodu en son sürüme güncel tutmak, daha uzun parolalar kullanarak, bunları karma formatında saklamak ve girişler paylaşılırsa bunları tuzlamak ve ağı bölümlere ayırarak güvenlik uzmanlarından sürekli öneriler olarak kalır.
Mevcut siber güvenlik danışmanlığı, Mart ayı ortasında yayınlanan bir önceki bilgilere eklenir ve bazı avoslocker fidye yazılımı saldırılarının şirket içi Microsoft Exchange sunucularındaki güvenlik açıklarından yararlandığını not eder.
FBI: Avoslocker fidye yazılımı bize kritik altyapı hedefliyor
CISA, fidye yazılımı çeteleri tarafından kullanılan güvenlik açıklarını, yanlış konfigürasyonları paylaşıyor
FBI: İkili fidye yazılımı saldırısı kurbanları artık 48 saat içinde vuruluyor
İranlı bilgisayar korsanları ABD havacılık orgunu managemine, fortinet böcekleri ile ihlal ettiriyor
Küba Ransomware, kritik ABD kuruluşlarına karşı Veeam istismarını kullanıyor
Kaynak: Bleeping Computer