Yeni ve yıkıcı bir 'Azov Ransomware' veri silecek, korsan yazılım, anahtar jeneratörler ve reklam yazılımı demetleri aracılığıyla yoğun bir şekilde dağıtılıyor ve saldırının arkasında olduklarını iddia ederek tanınmış güvenlik araştırmacılarını çerçevelemeye çalışıyor.
Azov fidye yazılımı, HasherAzade adlı tanınmış bir güvenlik araştırmacısı tarafından yanlış bir şekilde oluşturulduğunu iddia ediyor ve operasyonda yer alan diğer araştırmacıları, kendim ve BleepingComputer'ı listeliyor.
Restore_files.txt adlı fidye notu, cihazların Kırım'ın ele geçirilmesini protesto etmek için şifreli olduğunu ve Batı ülkelerinin Ukrayna'ya Rusya'ya karşı savaşlarında yardım etmek için yeterli yapmadıklarını söylüyor.
Fidye notu, kurbanlara, fidye yazılımı operasyonunun bir parçası olduğumuzu yanlış bir şekilde ima ederek Twitter'da Twitter'da benimle iletişime geçmelerini, BleepingComputer, Hasherazade, Malwarehunterteam, Michael Gillespie veya Vitali Kremeez ile iletişime geçmelerini söyler.
Açık olmak gerekirse, fidye notunda listelenenler bu fidye yazılımı ile ilişkili değildir ve tehdit oyuncusu tarafından çerçevelenmektedir. Bu nedenle, maalesef şifre çözme anahtarlarına sahip değiliz ve yardımcı olamayız.
Ayrıca, bir fidye ödemek için tehdit aktörleriyle iletişim kurmanın bir yolu olmadığından, bu kötü amaçlı yazılım fidye yazılımı yerine yıkıcı bir veri silecek olarak değerlendirilmelidir.
Ne yazık ki, kurbanlar dosyaları kurtarmak için BleepingComputer ile iletişime geçmeye başladılar ve yardım etmek istediğimiz kadar, şu anda yardım etmenin bilinen bir yolu yok.
Tehdit oyuncusu bunu Ukrayna'yı desteklemek için yaptıklarını iddia ederken, BleepingComputer bu veri silecekinden etkilenen bir Ukrayna örgütünü biliyor.
Silecek, adını geçmişte neo-Nazi ideolojisi ile ilişkili olduğu iddia edilen tartışmalı bir askeri güç olan Ukrayna Azov Alayı'ndan alıyor.
Bu, Tehdit Oyuncuları ilk kez güvenlik araştırmacılarını kötü amaçlı yazılımları için çerçevelemeye çalışmadı.
2016 yılında, Apocalypse Ransomware Operasyonu, Fabian Wosar'dan sonra varyantlarından birini Fabianomware'e yeniden adlandırdı. 2020'de labirent fidye yazılımı geliştiricilerinden biri, Vital Kremeez tarafından yapıldığını iddia eden bir MBR dolabını yayınladı.
Son iki gün içinde yeni bir kampanyada, bir tehdit oyuncusu yeni yıkıcı Azov silecekini sunmak için Smokeloader kötü amaçlı yazılım botnet aracılığıyla 'yüklemeler' satın almış gibi görünüyor.
Bu şey yaklaşık 2 hafta önce yayılmaya başladı. Bu bokun yayma yöntemlerinden (veya tek bir tane?) Birinin, bazı çengeleyicileri, Stop / DJVU fidye yazılımlarını, vb. Yaymak için kullanılan kötü amaçlı yazılım dağıtım ağlarında / botnet'lere yüklenen kurulumlar gibi görünüyor. (1/x) https://t.co/ndcdyohdtv pic.twitter.com/3y4vw1llzq
Smokeloader, diğer tehdit aktörlerinin enfekte olmuş cihazlara kendi kötü amaçlı yazılımlarını dağıtmak için 'kurulumlar' kiralayabilecekleri veya satın alabilecekleri kötü amaçlı bir botnettir. Smokeloader genellikle sahte yazılım çatlaklarını, oyun değişikliklerini, hileleri ve anahtar jeneratörleri iten web siteleri aracılığıyla dağıtılır.
Son birkaç gün içinde Smokeloader, Redline Stealer bilgi çalma kötü amaçlı yazılımları ve Stop fidye yazılımları gibi diğer kötü amaçlı yazılımlar [Virustotal] ile birlikte yeni 'Azov Fidye Yazılımları' sunmaya başladı.
BleepingComputer, Smokeloader her ikisini aynı anda teslim ettiği için kurbanların çift şifreli, önce Azov ve daha sonra durma fidye yazılımı ile farkında.
İlk fidye yazılımı yürütülebilir [virustotal], Windows sıcaklığında (%Temp) rastgele bir dosya altında bırakılacak ve yürütülecek.
Başlatıldıktan sonra silecek, c: \ windows \ system32 \ msiexec.exe'yi C: \ ProgramData \ rdpclient.exe [virustotal] olarak kopyalayacak ve Azov silecekliğini de içerecek şekilde kopyalayacaktır. Ayrıca, silecek, Windows aşağıdaki kayıt defteri tuşunu kullanmaya başladığında başlatılacak şekilde yapılandırılabilir.
[HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Run \] "Bandera" = "C: \ ProgramData \ rdpclient.exe"
Silecek artık bilgisayardaki tüm sürücüleri tarayacak ve .ini, .dll ve .exe uzantılarına sahip olmayan herhangi bir dosyayı şifreleyecektir.
Dosyaları şifrelerken, .azov dosya uzantısını şifrelenmiş dosyaların adlarına ekler. Örneğin, 1.doc şifrelenir ve aşağıda gösterildiği gibi 1.doc.azov olarak yeniden adlandırılır.
Dosyalar için taranan her klasörde, silecek, daha önce makalede gösterildiği gibi, tehdit oyuncusundan bir mesaj içeren rorteore_files.txt adlı metin dosyaları oluşturur.
MalwareHunterTeam tarafından bulunan silecekin önceki bir sürümü, çok daha karanlık bir mesajla farklı bir fidye notu kullandı.
Fidye yazılımı, şifrelemedeki zayıflıklar için araştırmacılar tarafından analiz edilecek olsa da, şu anda, tehdit aktörleriyle temasa geçmenin ve şifre çözme anahtarlarını kurtarmanın bir yolu olmadığı için fidye yazılımı yıkıcı olarak kabul edilmelidir.
Dosyaları ücretsiz olarak kurtarmak için bir yöntem keşfedilirse bu makaleyi güncelleyeceğiz.
Ancak, bu veri silecek verilerinizi şifrelediyse, muhtemelen bilgi çalma truva atları gibi diğer kötü amaçlı yazılımlarla da enfekte olmuştunuz.
Bu nedenle, çevrimiçi hesaplarınızdaki, özellikle çevrimiçi bankacılık, şifre yöneticileri ve e -posta hesapları gibi doğada hassas olanları hemen değiştirmelisiniz.
Küba Ransomware Affiliate Hedefler Ukrayna Hükümet Ajansları
Microsoft: Ukrayna, Polonya'daki Yeni Prestige Fidye Yazılımı Orgs Hedefleri
Sahte yetişkin siteleri fidye yazılımı olarak gizlenmiş veri sileceklerini itin
Saldırıda 'BL00DY' Ransomware Gang tarafından kullanılan sızdırılmış Lockbit 3.0 Builder
Ukrayna, müttefikleri Rusya'nın siber saldırıları artırmayı planladığı konusunda uyarıyor
Kaynak: Bleeping Computer