Kaspersky yeni bir gizli fidye yazılımı tanımladı

Kaspersky Küresel Acil Durum Müdahale Ekibi, çalışanların kimlik bilgilerinin çalınmasını takip eden bir saldırı sırasında kullanılan, daha önce görülmemiş bir fidye yazılımı türünün aktif olarak dolaşımda olduğunu tespit etti. “Ymir” olarak adlandırılan fidye yazılımı, gelişmiş gizlilik ve şifreleme yöntemlerini kullanıyor. Ayrıca dosyaları seçerek hedef alıyor ve tespit edilmekten kaçınmaya çalışıyor.

Ymir fidye yazılımı, etkisini artıran teknik özellikler ve taktikler eşliğinde benzersiz bir yetenek kombinasyonu ortaya koyuyor.

Gizlilik için yaygın kullanılmayan bellek manipülasyon teknikleri.  Tehdit aktörleri, kötü amaçlı kodu doğrudan bellekte çalıştırmak için malloc, memmove ve memcmp gibi alışılmadık bellek yönetimi işlevleri karışımından yararlanıyor. Bu yaklaşım, yaygın fidye yazılımı türlerinde görülen tipik sıralı yürütme akışından saparak gizlilik yeteneklerini artırıyor. Üstüne Ymir esnek bir yapılanma gösteriyor: Saldırganlar –path komutunu kullanarak fidye yazılımının dosyaları araması gereken dizini belirleyebiliyorlar. Eğer bir dosya beyaz listede yer alıyorsa, fidye yazılımı bu dosyayı atlıyor ve şifrelemeden bırakıyor. Bu özellik saldırganlara neyin şifrelenip neyin şifrelenmeyeceği konusunda daha fazla kontrol sağlıyor.

Veri çalmaya odaklı kötü amaçlı yazılım. Kolombiya’daki bir kuruluşa yönelik gerçekleşen ve Kaspersky uzmanları tarafından gözlemlenen bir saldırıda, tehdit aktörlerinin çalışanlardan kurumsal kimlik bilgilerini almak için bilgi çalmaya odaklı bir kötü amaçlı yazılım türü olan RustyStealer’ı kullandığı görüldü. Bu bilgiler daha sonra kuruluşun sistemlerine erişim sağlamak ve fidye yazılımını dağıtacak kadar uzun süre boyunca kontrolü elde tutmak için kullanıldı. Bu saldırı, saldırganların sistemlere sızdığı ve erişimi sürdürdüğü ilk erişim aracısı olarak biliniyor. Genellikle ilk erişim aracıları elde ettikleri erişimi dark web üzerinden diğer siber suçlulara satıyorlar. Ancak bu vakada saldırganlar fidye yazılımını sisteme bulaştırarak saldırıyı kendileri devam ettirmiş gibi görünüyorlar. Kaspersky Global Acil Durum Müdahale Ekibi Olay Müdahale Uzmanı Cristian Souza, “Aracılar gerçekten de fidye yazılımını dağıtan aktörlerle aynıysa, bu durum geleneksel Hizmet Olarak Fidye Yazılımı (RaaS) gruplarına güvenmeden ek ele geçirme seçenekleri yaratan, yeni bir eğilime işaret edebilir” diyor.

Ymir’in fidye notu

Gelişmiş şifreleme algoritması. Fidye yazılımı hızı ve güvenliğiyle bilinen, hatta Gelişmiş Şifreleme Standardından (AES) daha iyi performans gösteren modern bir akış şifresi olan ChaCha20’yi kullanıyor.

Cristian Souza, durumu şöyle yorumluyor: “Bu saldırının arkasındaki tehdit aktörü çalınan verileri kamuyla paylaşmamış ya da başka taleplerde bulunmamış olsa da, araştırmacılar bu konuda yeni bir faaliyet olup olmadığını yakından takip ediyor. Henüz yeraltı pazarında ortaya çıkan yeni bir fidye yazılımı grubu gözlemlemiş değiliz. Saldırganlar genellikle karanlık web forumları ya da portalları kullanarak bilgi sızdırıp kurbanları fidye ödemeye zorlarlar ki Ymir’de böyle bir durum söz konusu değildi. Bu nedenle, fidye yazılımının arkasında hangi grubun olduğu sorusu açıkta kalıyor ve bunun yeni bir kampanya olabileceğinden şüpheleniyoruz.”

Yeni tehdit için bir isim arayan Kaspersky uzmanları, Satürn’ün Ymir adlı ayının adını kullanmaya karar verdi. Bu ay, gezegenin dönüşünün tersi yönünde hareket eden “düzensiz” bir ay ve bu özelliği yeni fidye yazılımında kullanılan bellek yönetimi işlevlerinin alışılmadık karışımına ilginç bir şekilde benziyor.

Kaspersky ürünleri, Ymir fidye yazılımını Trojan-Ransom.Win64.Ymir.gen olarak tespit ediyor. Kaspersky ayrıca kurumlara fidye yazılımı saldırılarından korunmaları için aşağıdaki önlemleri öneriyor:

• Sıkı bir yedekleme programı uygulayın ve düzenli testler yapın.
• Veri çalan kötü amaçlı yazılımlar gibi siber tehditlere karşı farkındalığı artırmak ve etkili azaltma stratejilerini öğretmek için çalışanlarınıza düzenli siber güvenlik eğitimleri verin.
• Fidye yazılımının kurbanı olduysanız ve karşılaştığınız tehdide dair henüz bilinen bir şifre çözücü yoksa, şifrelenmiş kritik dosyalarınızı saklayın. Devam eden bir tehdit araştırması kapsamında veya yetkililerin tehdidin arkasındaki aktörün kontrolünü ele geçirmeyi başarması halinde bir şifre çözme çözümü ortaya çıkarsa, verilerinizi kurtarma şansı bulabilirsiniz.
• Fidyeyi ödemenizi tavsiye etmiyoruz.  Fidye ödemek kötü amaçlı yazılımın yaratıcılarını faaliyetlerine devam etmeye teşvik eder. Ayrıca dosyalarınızın güvenli ve güvenilir bir şekilde geri gelmesini garanti etmez.
• Şirketi çok çeşitli tehditlere karşı korumak için Kaspersky Next gibi gerçek zamanlı koruma, tehdit görünürlüğü, araştırma ve EDR ve XDR’nin her büyüklükteki ve sektördeki kuruluşlar için yanıt yeteneklerini sağlayan çözümleri kullanın.
• Tehdit tanımlamadan sürekli koruma ve düzeltmeye kadar tüm olay yönetimi döngüsünü kapsayan, Kaspersky’nin Tehdit Değerlendirmesi, Yönetilen Tespit ve Müdahale (MDR) ve/veya Olay Müdahalesi gibi yönetilen güvenlik hizmetlerini kullanın.  Bunlar siber saldırılara karşı korunmaya, olası saldırıları araştırmaya ve şirkette güvenlik çalışanınız olmasa bile ek siber güvenlik uzmanlığı kazanmanıza yardımcı olur.

Kaynak: (BYZHA) Beyaz Haber Ajansı