Yeni 'HellDown' fidye yazılımı operasyonunun, Zyxel güvenlik duvarlarındaki güvenlik açıklarını kurumsal ağları ihlal etmek için hedeflediğine ve cihazları çalmalarına ve cihazları şifrelemelerine izin verdiğine inanılıyor.
Fransız siber güvenlik firması Sekoia bunu cehennem saldırılarının son gözlemlerine dayanan orta güvenle bildiriyor.
Fidye yazılımı alanındaki büyük oyuncular arasında olmasa da, Helldown yaz boyunca lansmanından bu yana hızla büyüdü ve veri gasp portalında çok sayıda kurbanı listeledi.
Cehennem ilk olarak Cyfirma tarafından 9 Ağustos 2024'te ve daha sonra tekrar 13 Ekim'de Cyberint tarafından belgelendi ve her ikisi de yeni fidye yazılımı operasyonunu kısaca anlattı.
VMware dosyalarını hedefleyen HellDown Fiddingware'in Linux varyantının ilk raporu 31 Ekim'de 360NetLab güvenlik araştırmacısı Alex Turing'den geldi.
Linux varyant, görüntüleri şifrelemek için VM'leri listelemek ve öldürmek için kod içerir, ancak işlevleri sadece kısmen çağrılır, bu da hala geliştirilmede olabileceğini gösterir.
Sekoia, Windows for Windows'un sızdırılmış Lockbit 3 Builder'a dayandığını ve Darkrace ve Donex ile operasyonel benzerliklere sahip olduğunu bildirdi. Bununla birlikte, mevcut kanıtlara dayanarak kesin bir bağlantı yapılamaz.
7 Kasım 2024 itibariyle, tehdit grubu yakın zamanda yenilenen gasp portalında 31 kurbanı, öncelikle Amerika Birleşik Devletleri ve Avrupa merkezli küçük ve orta ölçekli firmalarda listeledi. Bugün itibariyle, sayı 28'e düştü ve potansiyel olarak bazılarının fidye ödediğini gösteriyor.
Sekoia, HellDown'un daha verimli taktikleri takiben diğer gruplar gibi çaldığı verilerde seçici olmadığını ve web sitesinde büyük veri paketleri yayınladığını ve bir örnekte 431GB'a ulaştığını söylüyor.
Listelenen kurbanlardan biri, ağ ve siber güvenlik çözümleri sağlayıcısı Zyxel Europe'dur.
Grubun şifrelemeleri çok gelişmiş görünmüyor, tehdit aktörleri bu işlevselliği doğrudan kötü amaçlı yazılımlara dahil etmek yerine görevleri sona erdirmek için toplu iş dosyalarını kullanıyor.
Dosyaları şifrelerken, tehdit aktörleri, şifreli dosyaların uzantısı olarak kullanılacak olan "FGQOGSXF" gibi rastgele bir kurban dizesi oluşturacaklar. Fidye notu, bu kurban dizesini "readme.fgqogsxf.txt" gibi dosya adında da kullanır.
Bir Zyxel Europe liderliğinden çalışan Sekoia, Cehennem Web Sitesinde listelenen en az sekiz kurbanın ihlalleri sırasında IPSEC VPN erişim puanları olarak Zyxel güvenlik duvarları kullandığını buldu.
Daha sonra Sekoia, 7 Kasım'dan itibaren bir Truesec raporunun, MIPS tabanlı cihazları hedefleyen bir saldırının bir parçası olarak kullanılan bir yapılandırma dosyasında ('zzz1.conf') 'Oksdw82a' adlı kötü amaçlı bir hesabın kullanılmasından bahsettiğini fark etti. Zyxel güvenlik duvarları.
Tehdit aktörleri bu hesabı, SSL VPN aracılığıyla kurbanın ağlarına güvenli bir bağlantı kurmak, etki alanı denetleyicilerine erişmek, yanal olarak hareket etmek ve uç nokta savunmalarını kapatmak için kullandılar.
Daha fazla araştırarak Sekoia, Zyxel forumlarında şüpheli kullanıcı hesabı 'oksdw82a' ve 'zzz1.conf' yapılandırma dosyasının oluşturulmasına ilişkin raporlar buldu;
Sürüme dayanarak, Sekoia'nın araştırmacıları, IPSEC VPN'de, kimlik doğrulanmamış bir saldırganın kullanıcı tabanlı-PSK modunda hazırlanmış bir uzun kullanıcı adıyla işletim sistemi komutlarını yürütmesine izin veren bir komut enjeksiyonu olan CVE-2024-42057'yi kullanıyor olabileceğini varsayıyor.
Buna ek olarak, Sekoia ayrıca, detayları satıcının PSIRT ile paylaştığı Zyxel'de ayrı bir belgesiz güvenlik açığı olarak görüyor.
CVE-2024-42057, ürün yazılımı 5.39 sürümünün piyasaya sürülmesiyle 3 Eylül'de sabitlendi ve sömürü detayları henüz kamuya açıklanmadı, bu nedenle cehennem özel N-Day istismarlarına eriştiğinden şüpheleniliyor.
Ayrıca Sekoia, 17-22 Ekim tarihleri arasında Rusya'dan Virustotal'a yüklenen yükleri keşfetti, ancak yük eksikti.
Sekoia araştırmacısı Jeremy Scion, "Kod çözüldüğünde MIPS mimarisi için bir ELF ikili ortaya çıkaran baz 64 kodlu bir dize içeriyor."
"Bununla birlikte, yük eksik görünmektedir. Sekoia Orta Güvenle Değerlendirme Bu dosya muhtemelen daha önce bahsedilen Zyxel uzlaşmasına bağlıdır."
BleepingComputer, bu saldırılarla ilgili sorularla Zyxel ile temasa geçti, ancak şu anda bir yanıt almadı.
GÜNCELLEME 11/21 - Zyxel, Sekoia'nın raporundan kaynaklanan endişeleri ele alan bir bülten yayınladı ve müşterilere ürün yazılımı 5.39 sürümünün bu saldırılara karşı korunduğunu garanti etti.
CISA Etiketleri Kemp LoadMaster Kusurunu Saldırılarda Sömürüldüğü Gibi
Oracle, Agile Plm Dosya Açıklama Kusurunu Saldırılardan Sömürülen uyarıyor
Palo Alto Networks, saldırılarda kullanılan iki güvenlik duvarı sıfır gününü yamalar
Palo Alto Networks, saldırılarda sömürülen kritik RCE Zero-Day konusunda uyarıyor
ABD Ücreti Güney Kore iadesinden sonra Phobos Fidye Yazılımı Yöneticisi
Kaynak: Bleeping Computer