MosesStaff
MosesStaff, 18 Ara 2021 tarihinden bu yana sızıntı sitesinde 16 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 16
- İlk ilan
- 18 Ara 2021
- Son ilan
- 18 Ara 2021
- MITRE ATT&CK tekniği
- 12
Cybereason Nocturnus, Moses Staff’ı ilk kez Ekim 2021’de tespit edilen İranlı bir hacker grubu olarak tanımlamaktadır. Grubun amacı, çalınan hassas verileri sızdırarak İsrailli şirketlere zarar vermek gibi görünmektedir.
Son 12 ayda ilan vermedi.
Grubun kökeni İran olarak bildiriliyor.
Grup 1 zararlı yazılım ailesiyle ilişkilendirildi.
Diğer adları: Marigold Sandstorm, DEV-0500, VENGEFUL KITTEN
En çok hedeflenen sektör Teknoloji: 4 ilan, toplamın %25 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
16 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 8 aşamaya yayılan 12 MITRE ATT&CK tekniği belgelendi.
- 1
Kaynak hazırlığı
Saldırıda kullanılacak altyapı, hesap ve araçlar hazırlanır.
T1587.001Develop Capabilities: MalwareT1588.002Obtain Capabilities: Tool - 2
İlk erişim
Kurum ağına ilk giriş yapılır.
T1190Exploit Public-Facing Application - 3
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1505.003Server Software Component: Web Shell - 4
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1016System Network Configuration DiscoveryT1082System Information DiscoveryT1087.001Account Discovery: Local Account - 5
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021.002Remote Services: SMB/Windows Admin Shares - 6
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1105Ingress Tool Transfer - 7
Diğer teknikler
T1027.013Obfuscated Files or Information: Encrypted/Encoded FileT1553.002Subvert Trust Controls: Code SigningT1686.003Disable or Modify System Firewall: Windows Host Firewall
Grup 1 zararlı yazılım ailesiyle ilişkilendirildi.
Zararlı yazılım ailesi
- StrifeWater RAT
Bu aktör hakkında yayımlanmış raporlar:
- https://twitter.com/campuscodi/status/1450455259202166799
- https://research.checkpoint.com/2021/mosesstaff-targeting-israeli-companies/
- https://www.cybereason.com/blog/strifewater-rat-iranian-apt-moses-staff-adds-new-trojan-to-ransomware-operations
Kaynak: MISP Galaxy, Malpedia.
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
MosesStaff kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1190 · Exploit Public-Facing Application
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.