RansomHub
RansomHub 10 fev 2024 tarixindən bəri sızıntı saytında 842 qurumu elan edib.
Aylıq elan
- Ümumi elan
- 842
- İlk elan
- 10 fev 2024
- Son elan
- 31 mar 2025
- MITRE ATT&CK texnikası
- 60
Qrup 2024-cü ilin fevral ayının ortalarında ortaya çıxıb və artıq şifrələmə və məlumat sızması yolu ilə şantaj nəticəsində hücumlarının iddia edilən qurbanları kimi bir neçə təşkilatı siyahıya alıb. RansomHub tərəfindən yeni Ransomware-as-a-Service (RaaS) satışının elanı kibercinayətkarların zərərli xidmətləri reklam etmək üçün istifadə etdiyi rus mənşəli forumlardan birində, RAMP4U (və ya RAMP) adlanan forumda dərc olunub. 'koley' ləqəbli və şəxsiyyətli bir istifadəçi 2 fevral 2024-cü ildə tərəfdaş proqramı elan etdi. Yeni RaaS elanında ödənilən fidyələrin pul yuma əməliyyatının tərəfdaşın məsuliyyəti olduğu qeyd olunub. Bu o deməkdir ki, bütün ünsiyyət və deşifratorun qurbanın cihazına göndərilməsi söhbət vasitəsilə həyata keçirilir. Bu RaaS-ın gəlir bölgüsü tərəfdaş üçün 90%, inkişaf etdirici üçün isə 10% olacaq; bu halda inkişaf etdirici "Koley" şəxsiyyətidir. Nəşrə görə, fidyə proqramının paylaşıla bilən hissəsi Golang dilində yazılıb, x25519 əsasında asimmetrik alqoritmdən və AES256, ChaCha20 və xChaCha20 şifrələmə alqoritmlərindən istifadə edir, bu da onun sürəti ilə seçilir. Şifrləmə AST vasitəsilə obfuskasiya olunub. Payload həm təhlükəsiz, həm də yerli rejimdə şəbəkə yayılmasını və məlumatların şifrlənməsini dəstəkləyəcək. Koley-yə görə, bu fidyə proqramı Windows, Linux və ESXi kimi platformalarda, eləcə də ARM və MIPS kimi digər arxitekturalarda işləmək üçün nəzərdə tutulub. Panel tərəfindən qeyd edildiyi və kəşfiyyat komandası tərəfindən artıq vurğulandığı kimi, Koley bildirib
Son 12 ayda elan verməyib.
Qrup 2 zərərli proqram ailəsi ilə əlaqələndirilib.
Ən çox hədəf alınan ölkə Amerika Birləşmiş Ştatları: 347 elan, ümuminin %41-i.
Ən çox hədəf alınan sektor Peşəkar Xidmətlər: 214 elan, ümuminin %25-i.
Hədəf aldığı ölkələr
Hədəf aldığı sektorlar
842 nəticədən 10 göstərilir
Qrupun hücumlarında 7 mərhələyə yayılan 60 MITRE ATT&CK texnikası sənədləşdirilib.
- 1
İlkin giriş
Qurum şəbəkəsinə ilk giriş edilir.
T1078Valid AccountsT1078.003Valid Accounts: Local AccountsT1190Exploit Public-Facing ApplicationT1566.001Phishing: Spearphishing AttachmentT1566.004Phishing: Spearphishing Voice - 2
İcra
Zərərli kod hədəf sistemdə işə salınır.
T1047Windows Management InstrumentationT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.003Command and Scripting Interpreter: Windows Command ShellT1059.006Command and Scripting Interpreter: PythonT1203Exploitation for Client Execution - 3
Davamlılıq
Yenidən başlatma və parol dəyişikliyindən sonra da giriş qorunur.
T1098Account ManipulationT1133External Remote ServicesT1136Create AccountT1136.001Create Account: Local AccountT1136.002Create Account: Domain AccountT1547Boot or Logon Autostart ExecutionT1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup FolderT1547.004Boot or Logon Autostart Execution: Winlogon Helper DLL - 4
Səlahiyyət artırma
Daha yüksək səlahiyyətli hesablara keçilir.
T1068Exploitation for Privilege EscalationT1548.002Abuse Elevation Control Mechanism: Bypass UAC - 5
Müdafiədən yayınma
Təhlükəsizlik proqramları və qeydlər yan keçilir.
T1027Obfuscated Files or InformationT1027.009Obfuscated Files or Information: Embedded PayloadsT1027.013Obfuscated Files or Information: Encrypted/Encoded FileT1036MasqueradingT1055.012Process Injection: Process HollowingT1070Indicator RemovalT1070.001Indicator Removal: Clear Windows Event LogsT1112Modify RegistryT1134Access Token ManipulationT1134.001Access Token Manipulation: Token Impersonation/TheftT1222.001File and Directory Permissions Modification: Windows PermissionsT1480Execution GuardrailsT1484.001Domain or Tenant Policy Modification: Group Policy ModificationT1562Impair Defenses: Disable or Modify ToolsT1562.001Impair Defenses: Disable or Modify ToolsT1564Hidden ArtifactsT1564.003Hidden Artifacts: Hidden WindowT1620Reflective DLL Injection - 6
Giriş məlumatlarına çıxış
Parol, token və sessiya məlumatları ələ keçirilir.
T1003OS Credential DumpingT1003.001OS Credential Dumping: LSASS MemoryT1003.003OS Credential Dumping: NTDST1003.008OS Credential Dumping: /etc/passwd and /etc/shadowT1110Brute ForceT1110.003Brute Force: Password SprayingT1555.005Credentials from Password Stores: Password Managers - 7
Daxili kəşfiyyat
Şəbəkədəki sistemlər, hesablar və məlumatlar xəritələnir.
T1007System Service DiscoveryT1016.001Internet Connection DiscoveryT1018Remote System DiscoveryT1033System Owner/User DiscoveryT1046Network Service DiscoveryT1057Process DiscoveryT1082System Information DiscoveryT1083File and Directory DiscoveryT1087Account DiscoveryT1087.001Account Discovery: Local AccountT1087.002Account Discovery: Domain AccountT1120Peripheral Device DiscoveryT1135Network Share DiscoveryT1482Domain Trust Discovery
Qrup 2 zərərli proqram ailəsi ilə əlaqələndirilib.
Zərərli proqram ailəsi
- BlackCat
- RansomHub
Bu aktor haqqında dərc edilmiş hesabatlar:
- https://symantec-enterprise-blogs.security.com/threat-intelligence/ransomhub-knight-ransomware
- https://forescoutstage.wpengine.com/blog/analysis-a-new-ransomware-group-emerges-from-the-change-healthcare-cyber-attack/
- https://www.sentinelone.com/blog/ransomware-evolution-how-cheated-affiliates-are-recycling-victim-data-for-profit/
Mənbə: MISP Galaxy, Malpedia.
Fidyə qrupu nə edir?
Fidyə proqramı qrupları qurum şəbəkəsinə sızır, məlumatı kənara çıxarır və sistemləri şifrələyir. Ödəniş edilməzsə, qurumu sızıntı saytında elan edir və məlumatı yayımlamaqla hədələyir.
RansomHub qurumlara necə daxil olur?
Qurum şəbəkəsinə ilk giriş edilir.
- T1078 · Valid Accounts
- T1078.003 · Valid Accounts: Local Accounts
- T1190 · Exploit Public-Facing Application
- T1566.001 · Phishing: Spearphishing Attachment
- T1566.004 · Phishing: Spearphishing Voice
Hansı tədbirlər önə çıxır?
Sənədləşdirilən texnikalara görə prioritet tədbirlər:
- İnternetə açıq VPN, uzaq masaüstü və firewall interfeyslərini yeniləyin; bu hesablarda çoxaddımlı doğrulamanı məcburi edin.
- Skript və makroların işlədilməsini yalnız ehtiyacı olan istifadəçilərə açın; uc nöqtə qorumasında davranış qaydalarını aktiv saxlayın.
- Yeni yaradılan xidmətləri, planlaşdırılmış tapşırıqları və başlanğıc qeydlərini izləyin.
- Yerli administrator hesablarını azaldın; imtiyazlı əməliyyatları ayrı və izlənən hesablarla aparın.
- Təhlükəsizlik proqramının söndürülməsini və qeydlərin silinməsini xəbərdarlıq kimi təyin edin.
- Əməkdaş parollarının və sessiya kukilərinin infostealer qeydlərində görünüb-görünmədiyini mütəmadi yoxlayın.
- Qısa müddətdə çox sorğu edən hesabları və qeyri-adi şəbəkə skanlarını izləyin.
Qurumunuz sızıntı saytında elan edilərsə nə etməlisiniz?
- Elanı və yayımlanan nümunə faylları qeydə alın; elan saytına qurum şəbəkəsindən daxil olmayın.
- Təsirlənən sistemləri şəbəkədən ayırın və qeydləri silmədən qoruyun.
- Hansı məlumatın qurumdan kənara çıxdığını müəyyən edin; şəxsi məlumat varsa, bildiriş öhdəliyini hüquq komandanızla qiymətləndirin.
- Fidyə tələbi ilə bağlı qərarı hüquq, rəhbərlik və insidentə cavab komandası ilə birlikdə verin.
- Hücumçunun daxil olduğu yolu bağlamadan sistemləri yenidən işə salmayın.
Qurumunuzun adı keçir?
Domen adınızla axtarış edərək fidyə elanlarında, sızan qeydlərdə, forumlarda və Telegram kanallarında görünüb-görünmədiyinizi yoxlayın.
Domen adınızla axtarınIntelligence 360
Infostealer Detection-ın üstünə müştəri kəşfiyyatı: saytınıza daxil olan son istifadəçilərin sızan hesabları da görünür.