BlackShadow
BlackShadow, 18 Ara 2021 tarihinden bu yana sızıntı sitesinde 3 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 3
- İlk ilan
- 18 Ara 2021
- Son ilan
- 18 Ara 2021
- MITRE ATT&CK tekniği
- 26
BlackShadow, İran bağlantılı bir sızdır-ve-ifşa et grubudur (Agrius APT'sine bağlı); sigorta firması Shirbit ve barındırma sağlayıcısı Cyberserve dahil İsrailli şirketleri hedef aldı, 290.000 hastanın tıbbi kayıtlarını sızdırdı; şantajı tamamen finansal kazanç yerine jeopolitik yıkım aracı olarak kullanır.
Son 12 ayda ilan vermedi.
Grubun kökeni İran olarak bildiriliyor.
Grup 1 zararlı yazılım ailesiyle ilişkilendirildi.
Diğer adları: AMERICIUM, DEV-0022, Agrius, Agonizing Serpens, UNC2428, SPECTRAL KITTEN
En çok hedeflenen sektör Finansal Hizmetler: 2 ilan, toplamın %67 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
3 sonucun 3 tanesi gösteriliyor
Grubun saldırılarında 12 aşamaya yayılan 26 MITRE ATT&CK tekniği belgelendi.
- 1
Kaynak hazırlığı
Saldırıda kullanılacak altyapı, hesap ve araçlar hazırlanır.
T1583Acquire Infrastructure - 2
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078.002Valid Accounts: Domain AccountsT1190Exploit Public-Facing Application - 3
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1059.003Command and Scripting Interpreter: Windows Command Shell - 4
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1078.002Valid Accounts: Domain AccountsT1505.003Server Software Component: Web ShellT1543.003Create or Modify System Process: Windows Service - 5
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1078.002Valid Accounts: Domain AccountsT1543.003Create or Modify System Process: Windows Service - 6
Kimlik bilgisi erişimi
Parola, jeton ve oturum bilgileri ele geçirilir.
T1003.001OS Credential Dumping: LSASS MemoryT1003.002OS Credential Dumping: Security Account ManagerT1110Brute ForceT1110.003Brute Force: Password Spraying - 7
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1018Remote System DiscoveryT1046Network Service Discovery - 8
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021.001Remote Services: Remote Desktop ProtocolT1570Lateral Tool Transfer - 9
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1005Data from Local SystemT1074.001Data Staged: Local Data StagingT1119Automated CollectionT1560.001Archive Collected Data: Archive via Utility - 10
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1041Exfiltration Over C2 Channel - 11
Diğer teknikler
T1036MasqueradingT1078.002Valid Accounts: Domain AccountsT1140Deobfuscate/Decode Files or InformationT1685Disable or Modify Tools
Grup 1 zararlı yazılım ailesiyle ilişkilendirildi.
Zararlı yazılım ailesi
- Apostle
Bu aktör hakkında yayımlanmış raporlar:
- https://www.oodaloop.com/archive/2024/01/02/critical-infrastructure-remains-the-brass-ring-for-cyber-attackers-in-2024/
- https://unit42.paloaltonetworks.com/agonizing-serpens-targets-israeli-tech-higher-ed-sectors/
- https://socprime.com/blog/agonizing-serpens-attack-detection-iran-backed-hackers-target-israeli-tech-firms-and-educational-institutions/
Kaynak: MISP Galaxy, Malpedia.
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
BlackShadow kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078.002 · Valid Accounts: Domain Accounts
- T1190 · Exploit Public-Facing Application
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Çalışan parolalarının ve oturum çerezlerinin infostealer kayıtlarında görünüp görünmediğini düzenli kontrol edin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.