Kaspersky uzmanları, kurumsal verileri şifrelemek için BitLocker kullanan yeni bir fidye yazılımı tespit etti!
Tehdit aktörleri, evrakların geri yüklenmesini önlemek için kurtarma seçeneklerini kaldırıyor ve yeni bir özelliğe sahip makus maksatlı bir komut belgesi kullanıyor. Ayrıyeten muhakkak Windows sürümlerini algılayabiliyor ve Windows sürümüne nazaran BitLocker’ı etkinleştirebiliyor.
“ShrinkLocker” olarak isimlendirilen bu fidye yazılımı ve türevleriyle ilgili olaylar Meksika, Endonezya ve Ürdün’de gözlemlendi. Failler çelik ve aşı üretimi yapan şirketleri ve bir kamu kurumunu amaç aldı.
Kaspersky Küresel Acil Durum Müdahale grubunun bildirdiğine nazaran, tehdit aktörleri Windows bilgisayarlardaki vazifeleri otomatikleştirmek için kullanılan bir programlama lisanı olan VBScript’i kullanarak, hücumun ziyanını en üst seviyeye çıkarmak için daha evvel bildirilmemiş özelliklere sahip berbat gayeli bir komut belgesi oluşturuyor. Buradaki yenilik, tehdidin sistemde yüklü olan mevcut Windows sürümünü denetim etmesi ve BitLocker özelliklerini buna nazaran aktifleştirmesi. Bu formda tehdidin Windows Server 2008’e kadar yeni ve eski sistemlere bulaşabileceğine inanılıyor.
İşletim sistemi sürümünün hücum için uygun olması durumunda, komut evrakı önyükleme ayarlarını değiştiriyor ve BitLocker kullanarak tüm şoförleri şifrelemeye çalışıyor. Yeni bir önyükleme kısmı oluşturarak bilgisayarın şoföründe işletim sisteminin ön yüklenmesi için gerekli evrakları içeren başka bir kısım kuruyor. Bu aksiyon kurbanı daha sonraki bir etapta kilitlemeyi amaçlıyor. Saldırganlar ayrıyeten BitLocker’ın şifreleme anahtarını teminat altına almak için kullanılan koruyucuları da siliyor, böylelikle kurban bunları kurtaramıyor.
Kötü emelli komut belgesi daha sonra sistem hakkındaki bilgileri ve ele geçirilen bilgisayarda oluşturulan şifreleme anahtarını tehdit aktörü tarafından denetim edilen sunucuya gönderiyor. Akabinde ipucu niteliğinde olan ve taarruzun araştırılmasına yardımcı olabilecek günlük kayıtlarını ve çeşitli belgeleri silerek izini kapatıyor.
Son adımda makûs gayeli yazılım sistemi kapatmaya zorluyor ki, bu farklı bir önyükleme kısmında evrakların oluşturulması ve tekrar yüklenmesi ile sağlanan bir yetenek. Kurban BitLocker ekranında şu bildirisi görüyor: “Bilgisayarınızda artık BitLocker kurtarma seçeneği mevcut değil”.
Sistemin zorla kapatılmasından sonra kurbanın ekranında beliren mesaj
Kaspersky kelam konusu komut belgesini “ShrinkLocker” olarak isimlendirdi. Bu isim, saldırganın sistemin şifrelenmiş belgelerle gerçek halde ön yüklenmesini sağlamak için gerekli olan kritik tekrar kısım boyutlandırma prosedürünü vurguluyor.
Kaspersky Küresel Acil Durum Müdahale Takımı Olay Müdahale Uzmanı Cristian Souza, şunları söylüyor: “Bu olayda bilhassa kaygı verici olan şey, başlangıçta bilgi hırsızlığı yahut ifşa risklerini azaltmak için tasarlanan BitLocker’ın saldırganlar tarafından makûs niyetli gayeler için kullanılmasıdır. Bir güvenlik tedbirinin bu biçimde silah haline getirilmesi acımasız bir ironi. BitLocker kullanan şirketlerin güçlü parolaları ve kurtarma anahtarlarını inançlı bir biçimde saklanması çok değerlidir. Çevrimdışı tutulan ve test edilen sistemli yedeklemeler de temel müdafaa tedbirleridir.”
Olayın detaylı teknik analizi Securelist’te yer alıyor. Kaspersky uzmanları, saldırganların raporda açıklanan özellikten yararlanmasını önlemek için aşağıdaki hafifletme tedbirlerini öneriyor:
- BitLocker’ı berbata kullanmaya çalışan tehditleri tespit etmek için sağlam, düzgün yapılandırılmış bir güvenlik yazılımı kullanın. Tehditleri proaktif olarak araştırmak için Yönetilen Algılama ve Karşılık (MDR) uygulayın.
- Şifreleme özelliklerinin yetkisiz olarak aktifleştirilmesini yahut kayıt defteri anahtarlarının değiştirilmesini önlemek için kullanıcı ayrıcalıklarını sonlandırın.
- Virüs bulaşmış sistemler saldırgan tesir alanlarına parola yahut anahtar iletebileceğinden, hem GET hem de POST isteklerini yakalayarak ağ trafiğinin günlüğe kaydını ve izlenmesini aktifleştirin.
- VBScript ve PowerShell yürütme olaylarını izleyin. Günlüğe kaydedilen komut belgelerini ve komutları mahallî silme sürecine karşılık aktif bir biçimde saklamak için harici bir depolamaya kaydedin
Kaynak: (BYZHA) Beyaz Haber Ajansı
News