Play
Play, 26 Kas 2022 tarihinden bu yana sızıntı sitesinde 1.369 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 1.369
- İlk ilan
- 26 Kas 2022
- Son ilan
- 4 Kas 2026
- MITRE ATT&CK tekniği
- 54
İlk olarak Haziran 2022’de tespit edilen Play fidye yazılımı (diğer adıyla PlayCrypt), çift şantaj yöntemiyle çalışarak Latin Amerika’daki çok sayıda kuruluşu hedef almaktadır. İlk Erişim yöntemi, diğer fidye yazılımlarına oldukça benzemekte olup, kimlik avı, İnternet’e açık hizmetler ve geçerli hesapların ele geçirilmesi gibi saldırıları içermektedir. 19 Nisan 2023 tarihinde, güvenlik şirketi Symantec, Play grubu tarafından geliştirilen iki yeni aracı yayınladı. Bu araçlar, kötü niyetli aktörlerin iç ağdaki verileri listelemesine ve sızdırmasına olanak tanır. Yayında şunlar belirtilmektedir: 'Play tehdit aktörleri, WMI, WinRM, Uzak Kayıt Defteri ve Uzak Hizmet aracılığıyla yazılım ve hizmetleri listelemek için .NET bilgi hırsızını kullanır. Kötü amaçlı yazılım, güvenlik ve yedekleme yazılımlarının yanı sıra uzaktan yönetim araçları ve diğer programların varlığını kontrol eder ve bu bilgileri, tehdit aktörleri tarafından daha sonra manuel olarak sızdırılmak üzere bir .ZIP dosyasına sıkıştırılmış .CSV dosyalarına kaydeder."
Son 12 ayda 279 ilan verdi; en yoğun ay Mart 2026 oldu (46 ilan).
En çok hedeflenen ülke Amerika Birleşik Devletleri: 967 ilan, toplamın %71 kadarı.
En çok hedeflenen sektör İmalat: 360 ilan, toplamın %26 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
1.369 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 15 aşamaya yayılan 54 MITRE ATT&CK tekniği belgelendi.
- 1
Kaynak hazırlığı
Saldırıda kullanılacak altyapı, hesap ve araçlar hazırlanır.
T1587.001Develop Capabilities: MalwareT1588.002Obtain Capabilities: Tool - 2
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid AccountsT1078.002Valid Accounts: Domain AccountsT1078.003Valid Accounts: Local AccountsT1133External Remote ServicesT1190Exploit Public-Facing Application - 3
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1053.005Scheduled Task/Job: Scheduled TaskT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.003Command and Scripting Interpreter: Windows Command Shell - 4
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1078.002Valid Accounts: Domain AccountsT1078.003Valid Accounts: Local AccountsT1133External Remote Services - 5
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1078.002Valid Accounts: Domain AccountsT1078.003Valid Accounts: Local Accounts - 6
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1027Obfuscated Files or InformationT1070Indicator RemovalT1070.001Indicator Removal: Clear Windows Event LogsT1484Domain or Tenant Policy ModificationT1484.001Domain or Tenant Policy Modification: Group Policy ModificationT1562.001Disable or Modify Tools - 7
Kimlik bilgisi erişimi
Parola, jeton ve oturum bilgileri ele geçirilir.
T1003OS Credential DumpingT1003.001OS Credential Dumping: LSASS MemoryT1003.003OS Credential Dumping: NTDST1552Unsecured Credentials - 8
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1016System Network Configuration DiscoveryT1018Remote System DiscoveryT1046Network Service DiscoveryT1057Process DiscoveryT1082System Information DiscoveryT1083File and Directory DiscoveryT1087.002Account Discovery: Domain AccountT1518Software DiscoveryT1518.001Software Discovery: Security Software Discovery - 9
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021.001Remote Services: Remote Desktop ProtocolT1021.002Remote Services: SMB/Windows Admin SharesT1570Lateral Tool Transfer - 10
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1560Archive Collected DataT1560.001Archive Collected Data: Archive via Utility - 11
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1105Ingress Tool TransferT1219Remote Access Software - 12
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1030Data Transfer Size LimitsT1048Exfiltration Over Alternative Protocol - 13
Etki
Sistemler şifrelenir ya da hizmet durdurulur.
T1486Data Encrypted for ImpactT1489Service StopT1490Inhibit System RecoveryT1657Financial Theft - 14
Diğer teknikler
T1027.010Obfuscated Files or Information: Command ObfuscationT1070.004Indicator Removal: File DeletionT1078.002Valid Accounts: Domain AccountsT1078.003Valid Accounts: Local AccountsT1685Disable or Modify ToolsT1685.005Disable or Modify Tools: Clear Windows Event Logs
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
Play kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid Accounts
- T1078.002 · Valid Accounts: Domain Accounts
- T1078.003 · Valid Accounts: Local Accounts
- T1133 · External Remote Services
- T1190 · Exploit Public-Facing Application
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
- Çalışan parolalarının ve oturum çerezlerinin infostealer kayıtlarında görünüp görünmediğini düzenli kontrol edin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
- Ağdan ayrılmış, değiştirilemez yedek tutun ve geri yüklemeyi düzenli olarak deneyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.