Bu haftaki raporlar, tehdit aktörlerinin Microsoft Exchange'i veri çalmak ve fidye yazılımlarını dağıtmak için kurumsal ağlara ilk erişim elde etmek için nasıl ana hedef olarak gördüğünü göstermektedir.
Crowdstrike araştırmacıları bu hafta Play Fidyeware operasyonunun, kurumsal ağlara başlangıç erişimini elde etmek için CVE-2022-41082 ve CVE-2022-41080 için zincirlenmiş istismarlar 'OWASSRF' olarak adlandırılan yeni bir Microsoft Exchange saldırısı kullandığını bildirdi.
Fidye yazılımı işlemi daha sonra bu erişimi ağdaki veri çalmak ve cihazları şifrelemek için kullandı.
Microsoft Exchange'in tehdit aktörleri tarafından yoğun bir şekilde hedeflendiği bir başka örneği olarak Prodaft, bu hafta FIN7 hackleme grubunun Microsoft Exchange'i hedefleyen 'checkMarks' adlı bir otomatik saldırı platformu oluşturduğunu açıkladı.
Bu platform, değişim sunucuları için otomatik olarak tarar, erişim elde etmek için güvenlik açıklarından yararlanır ve ardından sunucudan veri indirir.
Fin7 daha sonra şirketi fidye yazılımını dağıtacak kadar değerli olup olmadığını belirlemek için değerlendirecektir.
Trendmicro ayrıca bu hafta Eylül raporumuzu, Zeon olarak bilinen bir Conti hücresinin Royal Fidyeware'e yeniden markalaştığını doğruladı.
Bu hafta diğer raporlar çeşitli fidye yazılımı işlemlerine ışık tuttu:
Katkıda bulunanlar ve bu hafta yeni fidye yazılımı bilgileri ve hikayeleri sunanlar şunları içerir: @BleEpincomputer, @FourocTets, @Billtoulas, @danielgallagher, @Strruppigel, @JornTVDW, @lawrenceAbrams, @PwoStaree, @fwosarteam @İonut_ilascu, @seifreed, @MalwareForme, @Serghei, @Ibmsecurity, @Prodaft, @Crowdstrike, @LabsSentinel, @Fortinet, @zscaler, @TrendMicro ve @Pccrrisk.
Oyun fidye yazılımı çetesi, şirket için iletişim kesintileri ile sonuçlanan H-Hotels'e (H-Hotels.com) bir siber saldırı için sorumluluk iddia etti.
2012 yılında Reveton fidye yazılımı ortaya çıktı. Hizmet olarak ilk fidye yazılımı (RAAS) operasyonu olarak kabul ediliyor. O zamandan beri Raas, temel teknik becerilere sahip çetelerin saldırılar başlatmasını sağlamlaştı. Şimdi, neredeyse herkes son derece etkili kötü amaçlı yazılım kampanyaları oluşturabilir.
Play fidye yazılımı tehdit aktörleri, Outlook Web erişimi (OWA) aracılığıyla savunmasız sunucularda uzaktan kod yürütme (RCE) kazanmak için Proxynotshell URL yeniden yazma azaltmalarını atlayan yeni bir istismar zinciri kullanıyor.
Nokoyawa fidye yazılımı, Şubat 2022'de karma olarak bilinen başka bir fidye yazılımı ailesiyle kod paylaşarak keşfedildi. Nokoyawa fidye yazılımının soyu, Nemty fidye yazılımlarına kadar izlenebilir. Nokoyawa Ransomware'in orijinal versiyonu, C programlama dili ve dosya şifrelemesi (ECC) kullanılan C programlama dili ve dosya şifreleme (A.K.A. NIST B-233) ile birlikte yazılmıştır. . Nokoyawa Ransomware 2.0 hala simetrik şifreleme için Salsa20 kullanıyor, ancak eliptik eğri eğri25519 ile değiştirildi.
Pcrisk, .ISAL veya .ISZA uzantılarını ekleyen yeni Stop Fidye yazılımı varyantları buldu.
Kraliyet fidye yazılımı ilk olarak Eylül 2022'de araştırmacılar tarafından gözlemlenmiş olabilir, ancak Vitali Kremeez tarafından paylaşılan bir zihin haritasına göre, arkasında siber suçlular var: bu fidye yazılımını yöneten tehdit aktörleri - eskiden Conti Takım Birinin bir parçası olan - Royal fidye yazılımına yeniden markalayana kadar zeon fidye yazılımı olarak adlandırıldı.
Pccrisk, .Hardbit2 uzantısını ekleyen Hardbit 2.0 fidye yazılımını buldu ve fidye.txt'inizi nasıl geri yükleyeceğiniz adlandırılan fidye notlarını bıraktı.
Pcrisk, .ISWR uzantısını ekleyen yeni bir Stop fidye yazılımı varyantı buldu.
Vice Society fidye yazılımı işlemi, NTRUEncrypt ve Chacha20-Poly1305'e dayanan güçlü, hibrit bir şifreleme şeması uygulayan özel bir fidye yazılımı şifrelemesi kullanmaya geçti.
Kötü şöhretli Fin7 Hacking Group, kurumsal ağları ihlal etmek, verileri çalmak ve finansal boyuta göre fidye yazılımı saldırıları için hedefleri seçmek için Microsoft Exchange ve SQL enjeksiyon güvenlik açıklarından yararlanan otomatik bir saldırı sistemi kullanır.
Oyun, Haziran 2022'de ilk kez tespit edilen fidye yazılımı oyununun göreceli bir yeni üyesidir. Bu raporda Play, hem onu geliştiren hem de dağıtan grubun hem de fidye yazılımı yürütülebilir ürününün adını ifade eder. Bu alandaki diğer birçok operatör gibi, Play, uç noktaları ve/veya bir kuruluş içindeki değer altyapısını şifrelemenin çift genişlemeli metodolojisini benimsedi ve daha sonra fidye ödenmezse internetteki bu makinelerden söndürülmüş verileri serbest bırakmakla tehdit etti.
Fidye Yazılımında Hafta - 9 Aralık 2022 - Geniş Etki
Ransomware'de Hafta - 18 Kasım 2022 - Yükselen Operasyonlar
Royal Ransomware Talepleri Intrado telekom sağlayıcısına saldırı
Ransomware Gang, sunucuları ihlal etmek için yeni Microsoft Exchange istismarını kullanıyor
Fin7 Hacker'ları, değişim sunucularını ihlal etmek için otomatik saldırı platformu oluşturur
Kaynak: Bleeping Computer