Noname fidye yazılımı çetesi, üç yıldan fazla bir süredir, şifrelemeleriyle dünya çapında küçük ve orta ölçekli işletmeleri hedefleyen ve şimdi bir Ransomhub üyesi olarak çalışıyor olabilir.
Çete, Spacecolon kötü amaçlı yazılım ailesi olarak bilinen özel araçlar kullanır ve kaba kuvvet yöntemleri aracılığıyla bir ağa erişim kazandıktan sonra ve EternalBlue (CVE-2017-0144) veya Zerologon (CVE-2012-1472) gibi eski güvenlik açıklarını kullandıktan sonra dağıtır. .
Daha yakın tarihli saldırılarda Noname, Scarab şifrelemesinin yerini alan scransom fidye yazılımlarını kullanır. Buna ek olarak, tehdit oyuncusu sızdırılan Lockbit 3.0 fidye yazılımı üreticisini deneyerek, benzer bir veri sızıntısı sitesi oluşturarak ve benzer fidye notlarını kullanarak bir isim yapmaya çalıştı.
Siber güvenlik şirketi ESET, Noname Gang'ı CosmicBeetle olarak izliyor ve 2023'ten beri faaliyetlerini takip ediyor ve Delphi tabanlı bir dosya şifreleme kötü amaçlı yazılım olan Scransom'un ortaya çıkmasıyla.
Bugünkü bir raporda, araştırmacılar scransom'un (Spacecolon kötü amaçlı yazılım ailesinin bir parçası) fidye yazılımı sahnesindeki diğer tehditler kadar sofistike olmasa da, gelişmeye devam eden bir tehdit olduğunu belirtiyor.
Kötü amaçlı yazılım, saldırganlara çok yönlülüklere izin vermek için farklı hız modlarıyla kısmi şifrelemeyi destekler ve ayrıca dosya içeriğini sabit bir değerle değiştiren ve onları kurtarılamaz hale getiren bir 'silme' moduna sahiptir.
Scransom, sabit, uzak ve çıkarılabilir ortamlar dahil tüm sürücülerdeki dosyaları şifreleyebilir ve operatörün özelleştirilebilir bir listede hangi dosya uzantılarını hedefleyeceğini belirlemesine izin verir.
Enstryüptörü başlatmadan önce Scransom, Windows Defender, Cilt Shadow Copy, SVCHOST, RDPCLIP, LSASS ve VMware araçlarıyla ilişkili işlemler dahil olmak üzere Windows ana bilgisayarındaki işlemlerin ve hizmetlerin bir listesini öldürür.
ESET, Scransom’un şifreleme şemasının, AES-CTR-128 ve RSA-1024 kombinasyonunu ve genel anahtarı korumak için ekstra bir AES anahtarının oluşturulduğunu belirten oldukça karmaşık olduğunu belirtiyor.
Bununla birlikte, birden fazla anahtar değişimi içeren çok adımlı işlem bazen doğru anahtarları kullanırken bile dosyaların şifresini çözememesine yol açabilecek hatalar getirir.
Ayrıca, fidye yazılımı aynı cihazda ikinci kez veya birden fazla farklı sistemden oluşan bir ağda yürütülürse, şifre çözme işlemini oldukça karmaşık hale getirerek yeni benzersiz anahtarlar ve kurban kimlikleri oluşturulacaktır.
ESET'in vurguladığı bir vaka, scransom ödedikten sonra 31 şifre çözme kimliği ve AES koruması alan bir kurbandır ve hala tüm şifreli dosyaları kurtaramamışlardır.
Noname, ağlara erişmek için kaba kuvvet kullanıyor, ancak tehdit oyuncusu SMB ortamlarında bulunma olasılığı daha yüksek olan çeşitli güvenlik açıklarından da yararlanıyor:
• CVE-2017-0144 (AKA EternalBlue), • CVE-2023-27532 (Veeam yedekleme ve çoğaltma bileşeninde bir güvenlik açığı) • NOPAC aracılığıyla CVE-2021-42278 ve CVE-2021-42287 (AD ayrıcalık artış güvenlik açıkları) • CVE-2022-42475 (Fortios SSL-VPN'de bir güvenlik açığı) • CVE-2020-1472 (AKA Zerologon)
Türkiye'de bir siber güvenlik şirketi olan Pure7'den yakın tarihli bir rapor, CVE-2017-0290'ın Windows Defender özelliklerini, hizmetlerini, hizmetlerini devre dışı bırakmak için Windows Kayıt Defteri'nde değişiklikler yapan bir toplu iş dosyası (DEF1.bat) aracılığıyla nonam saldırılarında da kullanıldığını belirtiyor. veya görevler.
Noname'nin Ransomhub bağlı kuruluşunun statüsüne yükselmesi, çetenin fidye yazılımı işine olan bağlılığını gösteren bir dizi hamle yapıldı. Scransom olay yerinde yerleşik bir isim olmadığından, çete görünürlüğünü artırmak için farklı bir yaklaşım benimsemeye karar verdi.
Eylül 2023'te CosmicBeetle, Lockbit Veri Sızdır Sitesinin (DLS) değiştirilmiş bir kopyası olan Dark Web markalı 'Noname' üzerinde bir gasp sitesi kurdu, bu da scransom değil, lockbit tarafından tehlikeye atılan kurbanları içeren, kontrol ettikten sonra keşfedilen araştırmacılar Birden çok DLS izleme hizmeti.
Kasım 2023'te, tehdit oyuncusu Lockbitblog [.] Bilgi alanını kaydederek ve DLS'yi Lockbit teması ve logosuyla markalayarak kimliğe bürünme çabasını hızlandırdı.
Araştırmacılar ayrıca, bir Lockbit örneğinin konuşlandırıldığı bazı son saldırıları keşfettiler, ancak fidye notunda zaten CosmicBeetle ile bağlantılı oldukları bir kurban kimliği vardı. Ayrıca, olaydaki araç seti, CosmicBeetle/Noname Tehdit Oyuncusu'na atfedilen kötü amaçlı yazılımlarla örtüştü.
ESET araştırmacıları, Haziran ayı başlarında başarısız bir scransom dağıtımıyla başlayan bir fidye yazılımı olayını araştırırken, bir haftadan kısa bir süre sonra aynı makinede yürüttüğü tehdit aktörünün, ayrıcalığın artarlanmasına izin veren bir araç olan RansomHub'ın EDR katili olduğunu buldular. Hedefli cihazlarda meşru, savunmasız sürücü.
İki gün sonra, 10 Haziran'da, bilgisayar korsanları uzlaşmış makinede Ransomhub fidye yazılımı gerçekleştirdi.
Araştırmacılar, bir Ransomhub iştiraki değil, CosmicBeetle tipik olan EDR katilini çıkarma yöntemini not ediyorlar.
Ransomhub kodunun veya inşaatçısının halka açık sızıntıları olmadığından, ESET araştırmacıları "CosmicBeetle'nin kendisini yeni bir Ransomhub iştiraki olarak kaydettirdiğine inanıyorlar."
Ranssomhub ile olan ilişkisi kesin olmasa da, ESET scransom şifrelemesinin aktif gelişme altında olduğunu söylüyor. Scransom'dan Lockbit'e geçiş ile birleştiğinde, CosmicBeetle'nin vazgeçme belirtisi göstermediğini gösterir.
Ransomhub Fidye Yazılımı, EDR yazılımını devre dışı bırakmak için Kaspersky TDSSKILLER'ı kötüye kullanıyor
Planlı Ebeveynlik, Ransomhub'ın ihlali iddia ettiği gibi siber saldırıyı teyit ediyor
Halliburton son siber saldırıda çalınan verileri onayladı
FBI: Ransomhub fidye yazılımı Şubat ayından bu yana 210 kurbanı ihlal etti
Ransomhub Ransomware Gang'a bağlı Halliburton Cyberattack
Kaynak: Bleeping Computer