Windows, Linux/VMware ESXi sistemlerini hedef alan Kraken fidye yazılımı, verileri aşırı yüklemeden ne kadar hızlı şifreleyebileceğini kontrol etmek için makineleri test ediyor.
Cisco Talos araştırmacılarına göre Kraken'in özelliği, tam ve kısmi veri şifreleme arasında seçim yapmak için geçici dosyaları kullanan nadir bir özellik.
Kraken fidye yazılımı yılın başında Hello Kitty operasyonunun devamı olarak ortaya çıktı ve çifte gasp için veri hırsızlığıyla büyük oyun avlama saldırıları gerçekleştiriyor.
Çetenin veri sızıntısı sitelerinde ABD, İngiltere, Kanada, Panama, Kuveyt ve Danimarka'dan mağdurlar listeleniyor.
Cisco araştırmacıları, Kraken'in sitesindeki çeşitli sözlerin ve fidye notundaki benzerliklerin, 2021'de öne çıkan ve kaynak kodunun sızdırılmasının ardından yeniden markalaşma girişiminde bulunan, artık geçerliliğini yitirmiş olan HelloKitty fidye yazılımıyla bağlantılara işaret ettiğini belirtiyor.
Kraken, fidye yazılımı operasyonunun yanı sıra, sözde güvenli iletişim ve alışverişi kolaylaştırmak için "The Last Haven Board" adlı yeni bir siber suç forumu da başlattı.
Cisco'nun gözlemlerine göre, Kraken fidye yazılımı saldırıları genellikle KOBİ'lerin internete açık varlıklar üzerindeki güvenlik açıklarından yararlanılmasıyla başlıyor ve tehdit aktörlerine ilk tutunma noktası sağlıyor.
Daha sonra davetsiz misafir, yönetici hesabı kimlik bilgilerini çıkarır ve bunları Uzak Masaüstü Protokolü (RDP) aracılığıyla ortama yeniden girmek ve Cloudflared ve SSHFS araçlarını dağıtmak için kullanır.
Cloudflared, kurban ana bilgisayardan saldırganın altyapısına doğru ters bir tünel oluşturmak için kullanılır ve SSHFS, monte edilmiş uzak dosya sistemleri aracılığıyla verilerin sızmasına olanak tanır.
Kalıcı Cloudflared tünelleri ve RDP'yi kullanan Kraken operatörleri, güvenliği ihlal edilmiş ağlarda gezinir ve değerli verileri çalmak ve fidye yazılımı ikili dosyalarının dağıtımına zemin hazırlamak için ulaşılabilir tüm makinelere yanal olarak hareket eder.
Araştırmacılar, şifreleme komutu verildiğinde Kraken'in her makinede bir performans karşılaştırması gerçekleştireceğini söylüyor.
Süreç, rastgele verilerle geçici bir dosyanın oluşturulmasını, bunun zamanlı bir işlemle şifrelenmesini, sonucun hesaplanmasını ve ardından dosyanın silinmesini içerir.
Sonuca göre şifreleme, verilerin tamamen mi yoksa kısmen mi şifreleneceğine karar verir.
Cisco Talos, makinenin yeteneklerinin değerlendirilmesinin saldırının son aşamasıyla birlikte hızla ilerleyebileceğini ve yoğun kaynak kullanımı nedeniyle uyarıları tetiklemeden maksimum hasar verebileceğini belirtiyor.
Gerçek şifrelemeyi tetiklemeden önce Kraken, gölge birimleri ve Geri Dönüşüm Kutusu'nu siler ve sistemde çalışan yedekleme hizmetlerini durdurur.
Cisco, Kraken'in Windows sürümünün dört şifreleme modülü içerdiğini açıklıyor:
Linux/ESXi sürümü, disk dosyalarının kilidini açmak için çalışan sanal makineleri numaralandırır ve zorla sonlandırır ve ardından Windows sürümüyle aynı kıyaslama mantığını kullanarak çok iş parçacıklı tam veya kısmi şifreleme gerçekleştirir.
Şifreleme tamamlandıktan sonra, otomatik olarak oluşturulan bir 'bye_bye.sh' betiği çalıştırılarak tüm günlükler, kabuk geçmişi, Kraken ikili dosyası ve son olarak betiğin kendisi kaldırılır.
Şifrelenmiş dosyalar '.zpsc' dosya uzantısıyla eklenir ve etkilenen dizinlere bir fidye notu ('readme_you_ws_hacked.txt') bırakılır.
Cisco, bir vakada Bitcoin ile ödenecek 1 milyon dolarlık fidye talebinin gözlemlendiğini belirtiyor.
Kraken fidye yazılımı saldırılarıyla ilişkili güvenlik ihlalinin (IoC'ler) tam göstergeleri bu GitHub deposunda mevcuttur.
MCP (Model Bağlam Protokolü), LLM'leri araçlara ve verilere bağlamak için standart haline geldikçe, güvenlik ekipleri bu yeni hizmetleri güvende tutmak için hızla hareket ediyor.
Bu ücretsiz yardımcı sayfa, bugün kullanmaya başlayabileceğiniz en iyi 7 uygulamayı özetlemektedir.
Kurbanlar bilgisayar korsanlarına ödeme yapmayı bıraktıkça fidye yazılımı kârları düşüyor
Bir fidye yazılımı çetesi Nevada hükümetinin sistemlerini nasıl şifreledi?
ABD'li siber güvenlik uzmanları BlackCat fidye yazılımı saldırılarıyla suçlandı
CISA, Nutanix sanal makinelerini hedef alan Akira fidye yazılımı Linux şifreleyicisi konusunda uyardı
Synnovis, 2024 fidye yazılımı saldırısının ardından veri ihlalini bildirdi
Kaynak: Bleeping Computer