Handala
Handala, 26 May 2024 tarihinden bu yana sızıntı sitesinde 175 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 175
- İlk ilan
- 26 May 2024
- Son ilan
- 8 Nis 2026
- MITRE ATT&CK tekniği
- 60
Bir fidye yazılımı grubu değil
Son 12 ayda 69 ilan verdi; en yoğun ay Mart 2026 oldu (39 ilan).
Grubun kökeni Filistin Bölgeleri olarak bildiriliyor.
Grup 3 zararlı yazılım ailesiyle ilişkilendirildi.
En çok hedeflenen ülke İsrail: 70 ilan, toplamın %40 kadarı.
En çok hedeflenen sektör Teknoloji: 38 ilan, toplamın %22 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
175 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 12 aşamaya yayılan 60 MITRE ATT&CK tekniği belgelendi.
- 1
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid AccountsT1078.002Valid Accounts: Domain AccountsT1078.004Valid Accounts: Cloud AccountsT1133External Remote ServicesT1190Exploit Public-Facing ApplicationT1199Trusted RelationshipT1566Phishing - 2
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1047Windows Management InstrumentationT1059.001Command and Scripting Interpreter: PowerShellT1059.006Command and Scripting Interpreter: PythonT1072Software Deployment ToolsT1204.002User Execution: Malicious FileT1651Cloud Administration Command - 3
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1078Valid AccountsT1078.002Valid Accounts: Domain AccountsT1078.004Valid Accounts: Cloud AccountsT1098Account ManipulationT1133External Remote ServicesT1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder - 4
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1078Valid AccountsT1078.002Valid Accounts: Domain AccountsT1078.004Valid Accounts: Cloud AccountsT1098Account ManipulationT1484.001Domain or Tenant Policy Modification: Group Policy ModificationT1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder - 5
Kimlik bilgisi erişimi
Parola, jeton ve oturum bilgileri ele geçirilir.
T1003.001OS Credential Dumping: LSASS MemoryT1110Brute ForceT1110.001Brute Force: Password GuessingT1110.004Brute Force: Credential StuffingT1552.002Unsecured Credentials: Credentials in Registry - 6
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1082System Information DiscoveryT1087.002Account Discovery: Domain Account - 7
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021.001Remote Services: Remote Desktop ProtocolT1072Software Deployment Tools - 8
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1005Data from Local SystemT1074Data StagedT1113Screen CaptureT1114.002Email Collection: Remote Email CollectionT1119Automated CollectionT1123Audio CaptureT1125Video CaptureT1213.002Data from Information Repositories: SharepointT1560.001Archive Collected Data: Archive via Utility - 9
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1071.001Application Layer Protocol: Web ProtocolsT1102Web ServiceT1105Ingress Tool TransferT1219.002Remote Access Tools: Remote Desktop SoftwareT1572Protocol Tunneling - 10
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1041Exfiltration Over C2 Channel - 11
Etki
Sistemler şifrelenir ya da hizmet durdurulur.
T1485Data DestructionT1486Data Encrypted for Impact - 12
Diğer teknikler
T1027.015Obfuscated Files or Information: CompressionT1036.004Masquerading: Masquerade Task or ServiceT1036.005Masquerading: Match Legitimate Resource Name or LocationT1078Valid AccountsT1078.002Valid Accounts: Domain AccountsT1078.004Valid Accounts: Cloud AccountsT1564.003Hide Artifacts: Hidden WindowT1679Selective ExclusionT1684.001Social Engineering: Impersonation
Grup 3 zararlı yazılım ailesiyle ilişkilendirildi.
Zararlı yazılım ailesi
- FlashDevelop
- Handala
- Hatef
Bu aktör hakkında yayımlanmış raporlar:
- https://www.splunk.com/en_us/blog/security/handalas-wiper-threat-analysis-and-detections.html
- https://www.trellix.com/blogs/research/handalas-wiper-targets-israel/
- https://intezer.com/blog/research/stealth-wiper-israeli-infrastructure/
Kaynak: MISP Galaxy, Malpedia.
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
Handala kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid Accounts
- T1078.002 · Valid Accounts: Domain Accounts
- T1078.004 · Valid Accounts: Cloud Accounts
- T1133 · External Remote Services
- T1190 · Exploit Public-Facing Application
- T1199 · Trusted Relationship
- T1566 · Phishing
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Çalışan parolalarının ve oturum çerezlerinin infostealer kayıtlarında görünüp görünmediğini düzenli kontrol edin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
- Ağdan ayrılmış, değiştirilemez yedek tutun ve geri yüklemeyi düzenli olarak deneyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.