'Buhti' adlı yeni bir fidye yazılımı işlemi, Windows ve Linux sistemlerini hedeflemek için Lockbit ve Babuk fidye yazılımı ailelerinin sızdırılmış kodunu kullanır.
Şimdi 'Blacktail' olarak izlenen Buhti'nin arkasındaki tehdit aktörleri, kendi fidye yazılımı suşlarını geliştirmemiş olsa da, "çift ekstremasyon" olarak bilinen bir taktik olan kurbanlara şantaj için kullandıkları özel bir veri açığa çıkma yardımcı programı oluşturdular.
Buhti ilk olarak Şubat 2023'te Wild'da Palo Alto Networks 'Birim 42 ekibi tarafından GO tabanlı bir Linux-hedefleme fidye yazılımı olarak tanımlandı.
Bugün Symantec'in tehdit avcısı ekibi tarafından yayınlanan bir rapor, Buhti'nin "Lockbit Black" adlı biraz değiştirilmiş bir Lockbit 3.0 varyantını kullanarak Windows'u da hedeflediğini gösteriyor.
Blacktail, Eylül 2022'de hoşnutsuz bir geliştiricinin Twitter'da sızdırdığı Windows Lockbit 3.0 oluşturucusunu kullanıyor.
Başarılı saldırılar, kurbanlara fidye notunu açmalarını söylemek için ihlal edilen bilgisayarların duvar kağıdını değiştirirken, tüm şifreli dosyalar ".buthi" uzantısını alır.
Linux saldırıları için Blacktail, bir tehdit oyuncusunun Eylül 2021'de Rusça konuşan bir hack forumunda yayınladığı Babuk kaynak koduna dayalı bir yük kullanıyor.
Bu ayın başlarında, Sentinellabs ve Cisco Talos, Linux sistemlerine saldırmak için Babuk kullanarak yeni fidye yazılımı operasyonlarını vurguladı.
Kötü amaçlı yazılım yeniden kullanımı genellikle daha az sofistike aktörlerin bir işareti olarak kabul edilirken, bu durumda, çoklu fidye yazılımı grupları, siber suçlar için çok karlı olan VMware ESXI ve Linux sistemlerini tehlikeye atma yeteneği nedeniyle Babuk'a yönelir.
Blacktail sadece diğer bilgisayar korsanlarının araçlarını minimum değişikliklerle yeniden kullanan bir taklitçi değildir. Bunun yerine, yeni grup kendi özel eksfiltrasyon aracını ve farklı bir ağ infiltrasyon stratejisini kullanır.
Symantec, Buhti saldırılarının yakın zamanda açıklanan Papercut NG ve Lockbit ve Clop çetelerinin de sömürdüğü MF RCE güvenlik açığından yararlandığını bildirdi.
Saldırganlar, kobalt grevi, metre-preter, şeridi, anydesk ve hedef bilgisayarlara bağlanması için CVE-2023-27350'ye güvenir, bunları kimlik bilgilerini çalmak ve uzlaşmış ağlara yanal olarak taşımak, dosyaları çalmak, ek yükler başlatmak ve daha fazlasını yapmak için kullanırlar.
Şubat ayında çete, IBM Aspera Faspex dosya değişim ürününü etkileyen kritik bir uzaktan kod yürütme kusuru olan CVE-2022-47986'dan yararlandı.
Buhti'nin eksfiltrasyon aracı, dosya sistemindeki hedeflenen dizinleri belirten komut satırı argümanları alabilen GO tabanlı bir stealer'dır.
Araç, hırsızlık için aşağıdaki dosya türlerini hedefler: PDF, PHP, PNG, PPT, PSD, RAR, RAW, RTF, SQL, SVG, SWF, TAR, TXT, WAV, WMA, WMV, XLS, XML, YML, ZIP, AIFF, ASPX, DOCX, EPUB, JSON, MPEG, PPTX, XLSX ve YAML.
Dosyalar bir zip arşivine kopyalanır ve daha sonra Blacktail'in sunucularına eklenir.
Blacktail ve fidye yazılımı operasyonu Buhti, tehdit aktörlerinin etkili kötü amaçlı yazılım araçları kullanarak harekete geçmesinin ve kuruluşlara önemli hasar vermesinin ne kadar kolay olduğunun modern bir örneğini oluşturur.
Ayrıca, sızdırılan kilitbit ve Babuk kaynak kodu, farklı bir ad altında yeniden markalaşmak isteyen mevcut fidye yazılımı çeteleri tarafından kullanılabilir ve önceki şifrelemelere bağlantı bırakmaz.
Kaspersky araştırmacısı Marc Rivero, BleepingComputer'a Çekya, Çin, Birleşik Krallık, Etiyopya, Amerika Birleşik Devletleri, Fransa, Belçika, Hindistan, Estonya, Almanya, İspanya ve İsviçre'ye isabetlere tanık olduklarını söyledi.
Bu, Buthi'nin zaten çok aktif bir fidye yazılımı operasyonu olduğu anlamına geliyor ve Blacktail dünya çapında kuruluşlar için önemli bir tehdit olmaya devam ediyor.
Blacktail'in yeni açıklanan güvenlik açıkları için istismarları hızla benimseme taktiği onları zamanında yamalama gibi artan uyanıklık ve proaktif savunma stratejileri gerektiren güçlü bir tehdit haline getiriyor.
Güncelleme 5/25 - Kaspersky'den ekstra bilgi eklemek için güncellenen makale
VMware ESXI sunucularını şifrelemek için 9 fidye yazılımı çeteleri tarafından kullanılan babuk kodu
Yeni RA Group Ransomware, ABD Orgs'ı çift genişlemeli saldırılarda hedefliyor
RTM Locker Ransomware hedeflerinin Linux sürümü VMware ESXI sunucuları
Mart 2023 459 olayla fidye yazılımı saldırısı rekorlarını kırdı
Microsoft: Notorious Fin7 hackerları Clop Fidye Yazılımı Saldırılarına Dönüş
Kaynak: Bleeping Computer