Daha önce Rustystealer Infostealer kötü amaçlı yazılım tarafından tehlikeye atılan vahşi, şifreleme sistemlerinde 'YMIR' adlı yeni bir fidye yazılımı ailesi tespit edildi.
Rustystealer, ilk olarak 2021'de belgelenen bilinen bir kötü amaçlı yazılım ailesidir, ancak fidye yazılımı ile görünüşü, birlikte çalışan siber suç operasyonlarının son trendinin başka bir örneğini göstermektedir.
Bir olay yanıtı sırasında YMIR'yi keşfeden Kaspersky araştırmacılarına göre, yeni fidye yazılımı suşu, bellek içi yürütülmesi, bir kod yorumunda Afrika Lingala dilinin kullanımı, PDF dosyalarının fidye notları olarak kullanılması ve genişletme yapılandırma seçenekleri ile dikkat çekiyor.
Kaspersky, YMIR'nin veri açığa çıkmasını kolaylaştırabilecek harici sunuculara bağlandığına dair kanıtlar bulsa da, fidye yazılımı böyle bir özellik içermiyor.
BleepingComputer, dünya çapında şirketlere saldırmaya başladığında Temmuz 2024'te piyasaya sürülen fidye yazılımı operasyonunun teyit etti.
Kaspersky'nin analizi, Rusty Stealer'ın YMIR'ın konuşlandırılmasından iki gün önce hedeflenen altyapı içinde birden fazla sisteme sızdığını ortaya koydu.
Esasen bir kimlik bilgisi-hasat aracı olan Rustystealer, saldırganların yanal harekette yararlı meşru yüksek ayrı hesaplardan ödün vererek sistemlere yetkisiz erişim elde etmelerini sağladı.
Ağ boyunca yanal hareket, uzaktan kumanda için Windows Uzaktan Yönetimi (WINRM) ve PowerShell gibi araçlar kullanılarak kolaylaştırıldı. Aynı zamanda, saldırganlar Process Hacker ve Gelişmiş IP tarayıcı gibi araçlar da yüklediler.
Daha sonra, SystemBC kötü amaçlı yazılımlarla ilişkili komut dosyalarını yürüttüler ve muhtemelen veri açığa vurma veya komut yürütme için, saldırganların altyapısı ile birlikte gizli kanallar oluşturdular.
Rustystealer kullanarak dayanağı sağlamlaştırdıktan ve muhtemelen verileri çaldıktan sonra, son yük olarak YMIR fidye yazılımı düşürüldü.
YMIR, tespitten kaçınmak için tamamen bellekten çalışan ve 'Malloc,' 'Memove' ve 'Memcmp' gibi işlevlerden yararlanan yeni bir Windows fidye yazılımı suşudur.
Lansman üzerine, sistem tarihini ve saatini alarak, çalışma süreçlerini belirleyerek ve sistem çalışma süresini kontrol ederek sistem keşfi gerçekleştirir, bu da bir kum havuzunda çalışıp çalışmadığını belirlemeye yardımcı olabilir.
Ardından, sistemi bozulamaz hale getirmek için sabit kodlanmış bir listeye dayalı dosya uzantılarını atlar.
YMIR, kurbanın sistemindeki dosyaları şifrelemek için gelişmiş ve hızlı bir şifreleme algoritması olan Chacha20 Stream Cipher'i kullanır.
Şifrelenmiş dosyalar, ".6c5oy2dvr6" gibi rastgele bir uzantı ile eklenir ve "Overt_report.pdf" adlı bir fidye notu, ymir ikili "bölümünden şifreli dosyalar içeren tüm dizinlerde üretilir.
Fidye yazılımı ayrıca, bir kullanıcı şifreli bir cihaza giriş yapmadan önce bir gasp talebini göstermek için Windows kayıt defteri "LegalNoticEcaption" değerini değiştirir.
Fidye notu, verilerin kurbanın sisteminden çalındığını iddia ediyor ve Kaspersky, bunun YMIR'den önce konuşlandırılan araçlar kullanılarak meydana gelebileceğini varsayıyor.
Son olarak, YMIR sistemi PowerShell varlığı için tarar ve tanımlama ve analizden kaçınmak için yürütülebilir dosyasını silmek için kullanır.
YMIR henüz bir veri sızıntısı sitesi oluşturmadı, ancak tehdit aktörleri mağdur verileri biriktirmeye yeni başlamış olabilir.
Kaspersky, YMIR'nin bilgi çalıcıları erişim brokerleri olarak kullanmasının bu yeni fidye yazılımı ailesini hızlı bir şekilde yaygın bir tehdit haline getirebileceği konusunda uyarıyor.
Halliburton fidye yazılımı saldırısından sonra 35 milyon dolarlık kayıp bildiriyor
Fidye Yazılımı Saldırısı Oynamaya Bağlı Kuzey Koreli Govt Hacker'ları
Ransomhub, Kawasaki Cyberattack'ın, çalınan verileri sızdırmaya tehdit ettiğini iddia ediyor
Ransomhub Fidye Yazılımı, EDR yazılımını devre dışı bırakmak için Kaspersky TDSSKILLER'ı kötüye kullanıyor
HIBP, 57 milyon kişiyi sıcak konu veri ihlaline bildiriyor
Kaynak: Bleeping Computer