LockBit, 2022’de sızdırılan builder aracılığıyla tehlike saçmaya devam ediyor. Yakın zamanda yaşanan bir olayın ardından Kaspersky Global Acil Durum Müdahale ekibi, saldırganların kendi kendine yayılma özelliğine sahip kendi kötü amaçlı şifreleme yazılımlarını oluşturduklarını ortaya koydu. Söz konusu olayda siber suçlular, çalınan ayrıcalıklı kimlik bilgilerinden faydalanarak altyapıya sızmayı başardı. Olay Batı Afrika’da gerçekleşmiş olsa da, Kaspersky diğer bölgelerde de builder tabanlı fidye yazılımı saldırılarının yaşandığına dikkat çekiyor.
Gine-Bissau’da meydana gelen son olay, özel fidye yazılımlarının bugüne dek görülmemiş teknikler kullandığını ortaya koydu. Virüs bulaşmış ana bilgisayarların kötü amaçlı yazılımı kurbanın ağında daha fazla yaymaya çalışması kontrolsüz bir çığ etkisi yaratabiliyor.
Saldırılar nasıl gerçekleşiyor?
Kaspersky, yaşanan son olayın ardından konuyla ilgili olarak ayrıntılı bir analiz paylaştı.
Kimlik taklidi: Yasadışı yollarla elde edilen kimlik bilgilerinden yararlanan tehdit aktörü, ayrıcalıklı haklara sahip sistem yöneticisinin kimliğine bürünüyor. Ayrıcalıklı hesaplar saldırıyı yürütmek ve kurumsal altyapının en kritik alanlarına erişim sağlamak için kapsamlı fırsatlar sunduğundan, bu adım kritik önem taşıyor.
Kendi kendine yayılma: Özelleştirilmiş fidye yazılımı, yüksek ayrıcalıklı etki alanı kimlik bilgilerini kullanarak ağda bağımsız olarak yayılabiliyor. Ayrıca verileri şifrelemek ve eylemlerini gizlemek için Windows Defender’ı devre dışı bırakma, ağ paylaşımlarını şifreleme ve Windows Olay Günlüklerini silme gibi kötü amaçlı etkinlikler gerçekleştirebiliyor. Kötü amaçlı yazılımın davranışı, virüs bulaşmış her bir ana bilgisayarın ağdaki bir diğer ana bilgisayarlara virüs bulaştırmaya çalıştığı senaryoyla sonuçlanıyor.
Uyarlanabilir özellikler: Özelleştirilmiş yapılandırma dosyaları, yukarıda belirtilen yeteneklerle birlikte, kötü amaçlı yazılımın kendisini mağdur şirketin mimarisinin belirli yapılandırmalarına göre uyarlamasını sağlıyor. Örneğin saldırgan, fidye yazılımını .xlsx ve .docx dosyaları gibi yalnızca belirli dosyalara veya yalnızca belli bir dizi sisteme bulaşacak şekilde yapılandırabiliyor.
Kaspersky, bu özel yapıyı bir sanal makine üzerinde çalıştırdığında gerçekleştirdiği kötü amaçlı faaliyetlerin yanı sıra masaüstünde özel bir fidye notu oluşturduğunu gözlemledi. Gerçek saldırı durumunda bu not, kurbanın şifre çözücüyü elde etmek için saldırganlarla nasıl iletişime geçmesi gerektiğine dair ayrıntılar içeriyor.
LockBit programlama becerisi gerektirmiyor!
Kaspersky Global Acil Durum Müdahale Ekibi Olay Müdahale Uzmanı Cristian Souza, şunları söylüyor: “LockBit 3.0 builder 2022 yılında sızdırıldı ve saldırganlar bunu özelleştirilmiş sürümler hazırlamak için aktif olarak kullanıyor. Bunun için ileri programlama becerileri de gerekmiyor. Bu esneklik, incelediğimiz son vakanın da gösterdiği üzere, saldırganlara saldırılarının etkinliğini arttırmak için pek çok fırsat sunuyor. Kurumsal kimlik bilgisi sızıntılarının artan sıklığı göz önüne alındığında, bu tür saldırılar daha da tehlikeli hale geliyor.”
Kaspersky ayrıca saldırganların SessionGopher komut dosyasını kullanarak etkilenen sistemlerdeki uzak bağlantılar için kayıtlı parolaları bulup çıkardığını tespit etti.
Sızdırılan LockBit 3.0 kurucusuna dayanan- ancak Gine-Bissau’da bulunan kendi kendine yayılma ve kimliğe bürünme yeteneklerinden yoksun- çeşitli diğer türleri içeren olaylar, çeşitli sektörlerde ve bölgelerde düzenli olarak meydana geliyor. Bunların Rusya, Şili ve İtalya’da gözlemlenmesi saldırıların coğrafyasının daha da genişlediğine dair bir gösterge niteliğinde.