Nightspire
Nightspire 12 mar 2025 tarixindən bəri sızıntı saytında 380 qurumu elan edib.
Aylıq elan
- Ümumi elan
- 380
- İlk elan
- 12 mar 2025
- Son elan
- 7 noy 2026
- MITRE ATT&CK texnikası
- 35
NightSpire 2025-ci ilin martında ilk dəfə ortaya çıxan və ABŞ, Fransa, Hindistan, Tayvan və Yaponiya daxil olmaqla pərakəndə satış, istehsalat, səhiyyə, maliyyə və təhsil sahələrində iki gün qədər qısa müddətli fidyə tələbi ilə aqressiv ikiqat şantajdan istifadə edərək sürətlə 250-dən çox qurban verən ransomware qrupudur.
Son 12 ayda 286 elan verib; ən sıx ay mart 2026 olub (63 elan).
Ən çox hədəf alınan ölkə Amerika Birləşmiş Ştatları: 101 elan, ümuminin %27-i.
Ən çox hədəf alınan sektor İstehsalat: 63 elan, ümuminin %17-i.
Hədəf aldığı ölkələr
Hədəf aldığı sektorlar
380 nəticədən 10 göstərilir
Qrupun hücumlarında 13 mərhələyə yayılan 35 MITRE ATT&CK texnikası sənədləşdirilib.
- 1
Resurs hazırlığı
Hücumda istifadə ediləcək infrastruktur, hesablar və alətlər hazırlanır.
T1587Develop Capabilities - 2
İlkin giriş
Qurum şəbəkəsinə ilk giriş edilir.
T1078Valid AccountsT1110Brute ForceT1190Exploit Public-Facing ApplicationT1566Phishing - 3
İcra
Zərərli kod hədəf sistemdə işə salınır.
T1059Command and Scripting InterpreterT1072Software Deployment Tools - 4
Davamlılıq
Yenidən başlatma və parol dəyişikliyindən sonra da giriş qorunur.
T1053Scheduled Task/JobT1136Create AccountT1547Boot or Logon Autostart ExecutionT1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder - 5
Səlahiyyət artırma
Daha yüksək səlahiyyətli hesablara keçilir.
T1068Exploitation for Privilege Escalation - 6
Müdafiədən yayınma
Təhlükəsizlik proqramları və qeydlər yan keçilir.
T1027Obfuscated Files or InformationT1036MasqueradingT1070Indicator RemovalT1218System Binary Proxy Execution - 7
Giriş məlumatlarına çıxış
Parol, token və sessiya məlumatları ələ keçirilir.
T1003OS Credential DumpingT1003.001OS Credential Dumping: LSASS MemoryT1552Unsecured Credentials - 8
Daxili kəşfiyyat
Şəbəkədəki sistemlər, hesablar və məlumatlar xəritələnir.
T1046Network Service DiscoveryT1057Process DiscoveryT1082System Information DiscoveryT1083File and Directory Discovery - 9
Yanal hərəkət
Şəbəkə daxilində digər sistemlərə keçilir.
T1021.001Remote Services: Remote Desktop ProtocolT1021.002Remote Services: SMB/Windows Admin SharesT1047Windows Management Instrumentation - 10
Məlumat toplama
Sızdırılacaq məlumatlar seçilir və bir yerə toplanır.
T1119Automated CollectionT1560Archive Collected DataT1560.001Archive Collected Data: Archive via Utility - 11
Komanda və nəzarət
Ələ keçirilən sistemlərlə uzaqdan əlaqə qurulur.
T1071Application Layer ProtocolT1573Encrypted Channel - 12
Məlumat sızdırma
Məlumatlar qurumdan kənara çıxarılır; elandakı yayımlama təhdidi bu məlumata əsaslanır.
T1041Exfiltration Over C2 ChannelT1048Exfiltration Over Alternative ProtocolT1567.002Exfiltration Over Web Service: Exfiltration to Cloud Storage - 13
Təsir
Sistemlər şifrələnir və ya xidmət dayandırılır.
T1486Data Encrypted for Impact
Fidyə qrupu nə edir?
Fidyə proqramı qrupları qurum şəbəkəsinə sızır, məlumatı kənara çıxarır və sistemləri şifrələyir. Ödəniş edilməzsə, qurumu sızıntı saytında elan edir və məlumatı yayımlamaqla hədələyir.
Nightspire qurumlara necə daxil olur?
Qurum şəbəkəsinə ilk giriş edilir.
- T1078 · Valid Accounts
- T1110 · Brute Force
- T1190 · Exploit Public-Facing Application
- T1566 · Phishing
Hansı tədbirlər önə çıxır?
Sənədləşdirilən texnikalara görə prioritet tədbirlər:
- İnternetə açıq VPN, uzaq masaüstü və firewall interfeyslərini yeniləyin; bu hesablarda çoxaddımlı doğrulamanı məcburi edin.
- Skript və makroların işlədilməsini yalnız ehtiyacı olan istifadəçilərə açın; uc nöqtə qorumasında davranış qaydalarını aktiv saxlayın.
- Yeni yaradılan xidmətləri, planlaşdırılmış tapşırıqları və başlanğıc qeydlərini izləyin.
- Yerli administrator hesablarını azaldın; imtiyazlı əməliyyatları ayrı və izlənən hesablarla aparın.
- Təhlükəsizlik proqramının söndürülməsini və qeydlərin silinməsini xəbərdarlıq kimi təyin edin.
- Əməkdaş parollarının və sessiya kukilərinin infostealer qeydlərində görünüb-görünmədiyini mütəmadi yoxlayın.
- Qısa müddətdə çox sorğu edən hesabları və qeyri-adi şəbəkə skanlarını izləyin.
- Şəbəkəni seqmentlərə bölün; idarəetmə protokollarını yalnız idarəetmə şəbəkəsindən əlçatan saxlayın.
- Böyük həcmli fayl arxivləmə əməliyyatlarını izləyin.
- Uzaqdan idarəetmə alətlərinin təsdiqsiz istifadəsini bloklayın.
- Bulud yaddaşı və fayl ötürmə xidmətlərinə gedən qeyri-adi məlumat həcmini izləyin.
- Şəbəkədən ayrılmış, dəyişdirilə bilməyən ehtiyat nüsxə saxlayın və bərpanı mütəmadi sınayın.
Qurumunuz sızıntı saytında elan edilərsə nə etməlisiniz?
- Elanı və yayımlanan nümunə faylları qeydə alın; elan saytına qurum şəbəkəsindən daxil olmayın.
- Təsirlənən sistemləri şəbəkədən ayırın və qeydləri silmədən qoruyun.
- Hansı məlumatın qurumdan kənara çıxdığını müəyyən edin; şəxsi məlumat varsa, bildiriş öhdəliyini hüquq komandanızla qiymətləndirin.
- Fidyə tələbi ilə bağlı qərarı hüquq, rəhbərlik və insidentə cavab komandası ilə birlikdə verin.
- Hücumçunun daxil olduğu yolu bağlamadan sistemləri yenidən işə salmayın.
Qurumunuzun adı keçir?
Domen adınızla axtarış edərək fidyə elanlarında, sızan qeydlərdə, forumlarda və Telegram kanallarında görünüb-görünmədiyinizi yoxlayın.
Domen adınızla axtarınIntelligence 360
Infostealer Detection-ın üstünə müştəri kəşfiyyatı: saytınıza daxil olan son istifadəçilərin sızan hesabları da görünür.