Play
Play 26 noy 2022 tarixindən bəri sızıntı saytında 1.369 qurumu elan edib.
Aylıq elan
- Ümumi elan
- 1.369
- İlk elan
- 26 noy 2022
- Son elan
- 4 noy 2026
- MITRE ATT&CK texnikası
- 54
İlk dəfə 2022-ci ilin iyun ayında aşkarlanmış Play fidyə proqramı (PlayCrypt kimi də tanınır) ikiqat şantaj yolu ilə fəaliyyət göstərir və Latın Amerikasında bir çox təşkilatı hədəf alır. Onun ilkin giriş metodu digər fidyə proqramlarına çox bənzəyir və Phishing, İnternetə açıq xidmətlər və etibarlı hesabların ələ keçirilməsi kimi hücumları əhatə edir. 19 aprel 2023-cü ildə Symantec təhlükəsizlik şirkəti Play qrupu tərəfindən hazırlanmış iki yeni alət yayımlayıb. Bu alətlər zərərli aktyorun daxili şəbəkədən məlumatları siyahıya almasına və çıxarmasına imkan verir. Yazıda aşağıdakılar qeyd olunur: 'Play təhdid aktyorları .NET infostealer-dən WMI, WinRM, Uzaqdan Qeydiyyat və Uzaqdan Xidmət vasitəsilə proqram təminatı və xidmətləri siyahıya almaq üçün istifadə edirlər. Zərərli proqram təhlükə aktyorları tərəfindən sonradan əl ilə çıxarılmaq üçün .CSV fayllarına yığıldıqdan sonra .ZIP faylına sıxılan təhlükəsizlik və ehtiyat nüsxə proqramlarının, eləcə də uzaqdan idarəetmə alətlərinin və digər proqramların mövcudluğunu yoxlayır.'
Son 12 ayda 279 elan verib; ən sıx ay mart 2026 olub (46 elan).
Ən çox hədəf alınan ölkə Amerika Birləşmiş Ştatları: 967 elan, ümuminin %71-i.
Ən çox hədəf alınan sektor İstehsalat: 360 elan, ümuminin %26-i.
Hədəf aldığı ölkələr
Hədəf aldığı sektorlar
1.369 nəticədən 10 göstərilir
Qrupun hücumlarında 15 mərhələyə yayılan 54 MITRE ATT&CK texnikası sənədləşdirilib.
- 1
Resurs hazırlığı
Hücumda istifadə ediləcək infrastruktur, hesablar və alətlər hazırlanır.
T1587.001Develop Capabilities: MalwareT1588.002Obtain Capabilities: Tool - 2
İlkin giriş
Qurum şəbəkəsinə ilk giriş edilir.
T1078Valid AccountsT1078.002Valid Accounts: Domain AccountsT1078.003Valid Accounts: Local AccountsT1133External Remote ServicesT1190Exploit Public-Facing Application - 3
İcra
Zərərli kod hədəf sistemdə işə salınır.
T1053.005Scheduled Task/Job: Scheduled TaskT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.003Command and Scripting Interpreter: Windows Command Shell - 4
Davamlılıq
Yenidən başlatma və parol dəyişikliyindən sonra da giriş qorunur.
T1078.002Valid Accounts: Domain AccountsT1078.003Valid Accounts: Local AccountsT1133External Remote Services - 5
Səlahiyyət artırma
Daha yüksək səlahiyyətli hesablara keçilir.
T1078.002Valid Accounts: Domain AccountsT1078.003Valid Accounts: Local Accounts - 6
Müdafiədən yayınma
Təhlükəsizlik proqramları və qeydlər yan keçilir.
T1027Obfuscated Files or InformationT1070Indicator RemovalT1070.001Indicator Removal: Clear Windows Event LogsT1484Domain or Tenant Policy ModificationT1484.001Domain or Tenant Policy Modification: Group Policy ModificationT1562.001Disable or Modify Tools - 7
Giriş məlumatlarına çıxış
Parol, token və sessiya məlumatları ələ keçirilir.
T1003OS Credential DumpingT1003.001OS Credential Dumping: LSASS MemoryT1003.003OS Credential Dumping: NTDST1552Unsecured Credentials - 8
Daxili kəşfiyyat
Şəbəkədəki sistemlər, hesablar və məlumatlar xəritələnir.
T1016System Network Configuration DiscoveryT1018Remote System DiscoveryT1046Network Service DiscoveryT1057Process DiscoveryT1082System Information DiscoveryT1083File and Directory DiscoveryT1087.002Account Discovery: Domain AccountT1518Software DiscoveryT1518.001Software Discovery: Security Software Discovery - 9
Yanal hərəkət
Şəbəkə daxilində digər sistemlərə keçilir.
T1021.001Remote Services: Remote Desktop ProtocolT1021.002Remote Services: SMB/Windows Admin SharesT1570Lateral Tool Transfer - 10
Məlumat toplama
Sızdırılacaq məlumatlar seçilir və bir yerə toplanır.
T1560Archive Collected DataT1560.001Archive Collected Data: Archive via Utility - 11
Komanda və nəzarət
Ələ keçirilən sistemlərlə uzaqdan əlaqə qurulur.
T1105Ingress Tool TransferT1219Remote Access Software - 12
Məlumat sızdırma
Məlumatlar qurumdan kənara çıxarılır; elandakı yayımlama təhdidi bu məlumata əsaslanır.
T1030Data Transfer Size LimitsT1048Exfiltration Over Alternative Protocol - 13
Təsir
Sistemlər şifrələnir və ya xidmət dayandırılır.
T1486Data Encrypted for ImpactT1489Service StopT1490Inhibit System RecoveryT1657Financial Theft - 14
Digər texnikalar
T1027.010Obfuscated Files or Information: Command ObfuscationT1070.004Indicator Removal: File DeletionT1078.002Valid Accounts: Domain AccountsT1078.003Valid Accounts: Local AccountsT1685Disable or Modify ToolsT1685.005Disable or Modify Tools: Clear Windows Event Logs
Fidyə qrupu nə edir?
Fidyə proqramı qrupları qurum şəbəkəsinə sızır, məlumatı kənara çıxarır və sistemləri şifrələyir. Ödəniş edilməzsə, qurumu sızıntı saytında elan edir və məlumatı yayımlamaqla hədələyir.
Play qurumlara necə daxil olur?
Qurum şəbəkəsinə ilk giriş edilir.
- T1078 · Valid Accounts
- T1078.002 · Valid Accounts: Domain Accounts
- T1078.003 · Valid Accounts: Local Accounts
- T1133 · External Remote Services
- T1190 · Exploit Public-Facing Application
Hansı tədbirlər önə çıxır?
Sənədləşdirilən texnikalara görə prioritet tədbirlər:
- İnternetə açıq VPN, uzaq masaüstü və firewall interfeyslərini yeniləyin; bu hesablarda çoxaddımlı doğrulamanı məcburi edin.
- Skript və makroların işlədilməsini yalnız ehtiyacı olan istifadəçilərə açın; uc nöqtə qorumasında davranış qaydalarını aktiv saxlayın.
- Yeni yaradılan xidmətləri, planlaşdırılmış tapşırıqları və başlanğıc qeydlərini izləyin.
- Yerli administrator hesablarını azaldın; imtiyazlı əməliyyatları ayrı və izlənən hesablarla aparın.
- Təhlükəsizlik proqramının söndürülməsini və qeydlərin silinməsini xəbərdarlıq kimi təyin edin.
- Əməkdaş parollarının və sessiya kukilərinin infostealer qeydlərində görünüb-görünmədiyini mütəmadi yoxlayın.
- Qısa müddətdə çox sorğu edən hesabları və qeyri-adi şəbəkə skanlarını izləyin.
- Şəbəkəni seqmentlərə bölün; idarəetmə protokollarını yalnız idarəetmə şəbəkəsindən əlçatan saxlayın.
- Böyük həcmli fayl arxivləmə əməliyyatlarını izləyin.
- Uzaqdan idarəetmə alətlərinin təsdiqsiz istifadəsini bloklayın.
- Bulud yaddaşı və fayl ötürmə xidmətlərinə gedən qeyri-adi məlumat həcmini izləyin.
- Şəbəkədən ayrılmış, dəyişdirilə bilməyən ehtiyat nüsxə saxlayın və bərpanı mütəmadi sınayın.
Qurumunuz sızıntı saytında elan edilərsə nə etməlisiniz?
- Elanı və yayımlanan nümunə faylları qeydə alın; elan saytına qurum şəbəkəsindən daxil olmayın.
- Təsirlənən sistemləri şəbəkədən ayırın və qeydləri silmədən qoruyun.
- Hansı məlumatın qurumdan kənara çıxdığını müəyyən edin; şəxsi məlumat varsa, bildiriş öhdəliyini hüquq komandanızla qiymətləndirin.
- Fidyə tələbi ilə bağlı qərarı hüquq, rəhbərlik və insidentə cavab komandası ilə birlikdə verin.
- Hücumçunun daxil olduğu yolu bağlamadan sistemləri yenidən işə salmayın.
Qurumunuzun adı keçir?
Domen adınızla axtarış edərək fidyə elanlarında, sızan qeydlərdə, forumlarda və Telegram kanallarında görünüb-görünmədiyinizi yoxlayın.
Domen adınızla axtarınIntelligence 360
Infostealer Detection-ın üstünə müştəri kəşfiyyatı: saytınıza daxil olan son istifadəçilərin sızan hesabları da görünür.