Şimdi Lockan olarak izlenen bir fidye yazılımı bağlı kuruluş grubunun kullandığı araçlar ve taktikler hakkında detaylar, bugün Fransa'nın bilgisayar acil müdahale ekibinden (CERT) bir raporda ortaya çıkmıştır.
Geçtiğimiz bir buçuk yıl boyunca, tehdit aktör, en az sekiz Fransız şirketinin ağlarını tehlikeye attı, verileri çaldı ve kötü amaçlı yazılımları birden fazla Ransomware-AS-A-Service (RAA'lar) işlemlerinden dağıtıyor.
Lockean aktivitesi ilk önce 2020'de aktörün üretim sektöründe bir Fransız şirketi vurduğunda ve ağdaki Doppelpaymer Ransomware'i dağıttığında fark edildi.
2020 - 2021 - 2021 yılları arasında, Lobean, çeşitli fidye yazılımları aileleriyle en az yedi şirkete saldırdı: labirent, Egregor, Prolock, Revil.
Uzlaşmacı işletmeler arasında Nakliyat şirketi GEFCO, OUEST-Fransa Gazetesi ve Fareva ve Pierre Fabre ilaç firmaları.
Cert-FR tarafından adlandırılmayan dört ek şirket, Raporlardan ANSSI, Fransa Ulusal Siber Güvenlik Ajansı ve Özel Kuruluşlar Intrinsec ve DFIR Raporu tarafından açıklanan iki olay olarak bildirildi.
Raporda açıklanan saldırıların çoğunda, tehdit aktör, kurban ağına, Ransomware Strins Follock, Egregor ve DoppelPaymer dahil, diğer kötü amaçlı yazılımları dağıtma rolünü değiştiren bir bankacılık Trojanı olan QBOT / QAPBOT ile ilk erişim kazandı.
QBOT, şu anda Defağd Emotet Botnet'ten ve TA551, A.K.A. Shathak, UNC2420 ve Altın Kabin olarak izlenen daha az bilinen kötü amaçlı yazılım dağıtım hizmeti ile e-postalara yayıldı.
En az bir bilinen örnekte, Lockan, ağa erişmek için IceDID kötü amaçlı yazılım dağıtım hizmetini kullandı.
Yanal hareket için, tehdit oyuncusu Kobalt Strike penetrasyon test çerçevesini ve serbestçe kullanılabilen ADFIND, Blood ve BitsAdmin araçlarını kullandı.
CERT-FR, LOCEAN'ın ortalama fidy kesiminin% 70 olduğu raporda, gerisi RAA'ların bakıcılarına gidiyor.
Kârın arttırılması için, aktör, makineleri şifreleymeden önce çift gaspli modelini (RClone aracı üzerinden) taklit etti.
Daha büyük mahremiyet ve yasal etkileri taşıyan bir veri sızıntısı tehdidi altında, mağdurların müzakereci bir fidye ödemesi daha olasıdır.
Başlangıçtan bitirmekten, tipik bir lockean izinsiz girişi aşağıdaki gibi görünüyor:
Cert-FR'nin Lockean'ın taktikleri, teknikleri ve prosedürleri hakkındaki verileri sekiz olaya dayanırken, grup muhtemelen bundan daha aktiftir ve daha fazla sayıda şirkete çarptı.
Rapordaki uzlaşmasının göstergelerine bakıldığında, Legmagit'in Valery Marchive, Conti Ransomware ile ilgili birçok IP adresi buldu ve diğer bölgelerdeki işletmelerin hedeflerini hedef almaya ve işletmelerin hedeflenmesi.
Lockan, bu yıl tanımlanan ikinci fidye yazılımı bağlı kuruluşudur. Ağustos ayında, FBI, ABD'deki kuruluşlara vuran bir aktör olan ONEPERCENT hakkında bilgi paylaştı.
LOCKEAN gibi, ONEPERCENT, birden fazla RAA'lı operasyonlara (labirent, Egregor, Revil) ile ilişkilendirilir ve dosya şifreleme rutinini dağıtmadan önce veri çalınır.
Ransomware'de hafta - 29 Ekim 2021 - Tutuklama Yapma
Alman araştırmacılar tekrar ransomware çete çekirdek üyesini tanımlar
Ransomware çeteleri, ziyaretçilere enfekte etmek için SEO zehirlenmesini kullanıyor
Ransomware'de Hafta - 22 Ekim 2021 - Geri Striking
Free Revil Ransomware Master Decrypter geçmiş mağdurlar için serbest bırakıldı
Kaynak: Bleeping Computer