Siber saldırılarda “Çifte gasp kampanyalarına dalmak”ta gösterildiği gibi, Hizmet olarak Fidye Yazılımı (RaaS) operasyonlarının yaygınlaşmasında, veri hırsızlığı taktiklerine yardımcı olacak araçlar bir meta haline geldi. Rclone, MegaSync ve FileZilla gibi her yerde bulunan araçları kullanmanın yanı sıra, fidye yazılımı ve gasp grupları, operasyonlarına göre uyarlanmış özel sızma araçları hazırladı. Bu özel araçların sürekli kullanımı ve geliştirilmesi, genellikle veri hırsızlığını basitleştiren ve hızlandıran başarılarının bir kanıtıdır.
2021’in dördüncü çeyreği ile 2022’nin ilk çeyreği arasında yürütülen CIFR olay müdahale çalışmaları sırasında belirlenen iki sızma araç setini inceleyeceğiz: StealBit ve ExMatter.
Araçların ve zaman içinde gözlemlenen devam eden kullanım ve geliştirme çabalarının karşılaştırmalı ve zamansal bir analizini sağlayacağız.
2021’de keşfedilen StealBit ve ExMatter, başlangıçta sırasıyla LockBit ve BlackMatter fidye yazılımı operasyonları tarafından kullanıldığı bilinen özel sızma araçlarıdır. İşlevselliklerinin ve etkinliklerinin bir kanıtı olan bu araçlar, fidye yazılımı ve gasp ekosisteminde popülerlik kazanmıştır.
Accenture Security, orijinal keşiflerinden bu yana, 2021’in dördüncü çeyreğinden ve 2022’nin ilk çeyreğinden itibaren, BlackCat (aka ALPHV) ve LockBit operatörlerinin yanı sıra Conti operatörleri tarafından yakın zamanda benimsenen birden fazla fidye yazılımı olayında kullanılan araçların değiştirilmiş sürümlerini gözlemledi. .
Araçların karşılaştırmalı analizine dayanarak, veri sızdırma tutarlı operasyonel hedef olsa da, bu hedefe ulaşmanın yolu ve her sızma aracının destekleyici işlevselliği, yapılandırmaya, uygulama ayrıntılarına ve operasyonel ortama bağlı olarak biraz farklılık gösterir. Bu varyasyonlar ağ savunucuları için zorluklar yaratabilir.
Ayrıca, 15’ten fazla örneğin analizine dayalı olarak, ExMatter dosya keşfi ve sızma için daha hedefli bir yaklaşım benimserken, StealBit özellikle coğrafi konum kısıtlamalarının kaldırıldığı daha yeni sürümler için daha geniş bir ağ oluşturur.
2022’nin ilk çeyreğinde keşfedilen ExMatter’ın değiştirilmiş bir sürümünün Bilgisayar Destekli Tasarım (CAD) dosyalarının hedeflenmesini içermesi, operatörlerin endüstriyel ortamlarda yaygın olan mühendislik belgeleri veya ürün tasarımlarıyla ilgili verileri sızdırmakla ilgilendiğini öne sürüyor. otomotiv, havacılık ve imalat sektörleri.
Accenture Security, çeşitli toplama kaynaklarından elde edilen örneklerin analizine dayanarak, araçların yazarları tarafından sürekli olarak geliştirildiğini ve iyileştirildiğini ve araçların kullanımının 2022’nin ikinci çeyreği ve sonrasında da devam edeceğini büyük bir güvenle değerlendirmektedir.
Q1 2022 Siber Saldırı Analizi Öngörüleri
Symantec, ExMatter’ı ilk olarak Kasım 2021’de açıkladı ve aracı o sırada BlackMatter fidye yazılımı varyantını kullanan en az bir bağlı kuruluşla ilişkilendirdi. ExMatter’in (diğer adıyla Fendr) değiştirilmiş bir sürümünün varlığı, Accenture Security tarafından birkaç farklı fidye yazılımı olayı sırasında yürütülen soruşturmalarla ortaya çıktı. 2021’in dördüncü çeyreği ile 2022’nin ilk çeyreği arasında, CIFR olay müdahale ekipleri, sızma operasyonlarına yardımcı olmak için aracın çeşitli sürümlerini kullanan BlackMatter ve BlackCat fidye yazılımı operatörlerinin yanı sıra aynı dönemde Conti fidye yazılımı operatörlerini belirledi.
Etkilenen sektörler arasında Kuzey Amerika, Avrupa ve Avustralya’da kurbanların olduğu finansal hizmetler, perakende, profesyonel hizmetler ve enerji sektörleri yer alıyor.
Accenture Security, analiz edilen daha yeni örnekler ek özellikler ve özelleştirme seçenekleri içerdiğinden, araçların yazarları tarafından sürekli olarak geliştirildiğini ve iyileştirildiğini büyük bir güvenle değerlendirir. Örneğin, bir olay müdahale katılımı sırasında analiz edilen ExMatter’in yeni bir sürümü, CAD dosyalarının özel olarak hedeflenmesini içeriyordu; bu, operatörlerin, otomotiv gibi endüstriyel ortamlarda yaygın olan mühendislik belgeleri veya ürün tasarımlarıyla ilgili hassas fikri mülkiyet haklarını sızdırmakla ilgilenebileceğini gösteriyor.
