Maui fidye yazılımı operasyonu, Güney Kore'de gelir elde etmek ve anlaşmazlığa neden olmak için kötü niyetli siber faaliyetler kullandığı bilinen Kuzey Kore devlet destekli hack grubu 'Andariel' ile bağlantılıdır.
Devlet destekli Kuzey Koreli bilgisayar korsanları, kampanyaları finansal güdülerle düzenlemekle ünlüdür, bu nedenle kendi fidye yazılımı operasyonlarını yürütmek genel stratejik hedefleriyle eşleşir.
Maui ve Andariel arasındaki bağlantı, onu orta güvenle atfeten Kaspersky'deki araştırmacılar tarafından yapıldı.
Andariel, yakın geçmişte Medya, İnşaat, Üretim ve Ağ Hizmetlerinde Güney Koreli şirketleri hedefleyen fidye yazılımı saldırılarıyla bağlantılıdır.
Andariel (diğer adıyla Stonefly), casusluk, veri hırsızlığı, veri silme ve Kuzey Kore hükümeti için geliri artırmak için operasyonlar yapmak için siber saldırılarla bağlantılıdır.
Grup en az 2015'ten beri devlet, hükümet ve ordu kuruluşları ve finansal hizmet sağlayıcılarını hedefleyen faaliyet göstermektedir.
Geçen ay Andariel, DPRK destekli hack grupları arasındaydı.
Maui fidye yazılımı, Nisan 2021'de (yapı zaman damgalarına dayanarak) saldırılara başladı ve ABD'deki sağlık kuruluşlarına belirgin bir odaklanmayı sürdürdü.
FBI ve CISA daha önce Maui fidye yazılımı hakkında uyarılar yayınladı ve Kuzey Kore tehdit aktörlerine işaret eden uzlaşma göstergelerini paylaştı.
ABD'deki kolluk kuvvetleri Maui'yi izlemeye devam etti ve yakın zamanda fidye yazılımı çetesine hastaneler tarafından ödenen 500.000 dolarlık fidye geri kazanmayı başardı.
Kaspersky'nin son raporu önceki vahiylere dayanıyor ve bir Japon konut şirketine ve daha sonra Hindistan, Rusya ve Vietnam'da yaptırılmamış saldırılara karşı daha önceki bir Maui saldırısının kanıtını sunuyor.
Kaspersky'ye göre, Japon kurbanı, şifrelemeden sadece saatler önce DTrack kötü amaçlı yazılım tarafından vurulurken, sonraki günlük analizi aylar önce firmanın ağında "3proxy" aracının varlığını ortaya çıkardı.
DTrack (PREFT olarak da bilinir), Windows komutları aracılığıyla veri hırsızlığı ve HTTP eksfiltrasyonu konusunda uzmanlaşmış modüler bir kötü amaçlı yazılımdır. 3Proxy, çeşitli Andariel geçmiş kampanyalarında gözlenen ücretsiz açık kaynaklı bir proxy sunucu yardımcı programıdır.
Japon, Rus, Hint ve Vietnamlı firmalara yönelik saldırılarda kullanılan belirli DTrack varyantı, doğrudan önceki Andariel operasyonlarıyla bağlantılı örneklere% 84'lük bir kod benzerliğine sahiptir.
Japon firmasına karşı kullanılan kötü amaçlı yazılım, bir Andariel kampanyasını analiz eden 2021 Symantec yazısında bildirilen aynı kabuk kodunu kullandı.
Ek olarak, bu saldırılarda fark edilen ilk ağ uzlaşma yöntemleri, savunmasız WebLogic sunucularından (CVE-2017-10271) yararlanmak gibi tipik Andariel özelliklerine de sahiptir. Kaspersky, analistlerinin 2019 ortalarında Andariel tarafından kullanılan özdeş istismarları ve uzlaşma yöntemlerini gördüğünü belirtiyor.
Yukarıdakiler somut atıf için yeterli olmasa da, APT ve fidye yazılımı işleminin erken tespit ve önlemeye yardımcı olabilecek bir bağlantısı olduğu görülmektedir.
FBI, Maui Fidye Yazılımına Ödenen 500.000 $ 'lık Sağlık Bakımı Orgs'u kurtardı
Bilgisayar korsanları gazeteci olarak News Media Org’un ağlarını ihlal etmek için poz veriyor
Microsoft, Holy Ghost fidye yazılımı operasyonunu Kuzey Koreli bilgisayar korsanlarına bağlar
ABD Govt, Healthcare Orgs'a karşı Maui fidye yazılımı saldırılarını uyarıyor
Lazarus Hackers tarafından hedeflenen Debridge Finance kripto platformu
Kaynak: Bleeping Computer