RansomHub
RansomHub, 10 Şub 2024 tarihinden bu yana sızıntı sitesinde 842 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 842
- İlk ilan
- 10 Şub 2024
- Son ilan
- 31 Mar 2025
- MITRE ATT&CK tekniği
- 60
Grup, 2024 yılının Şubat ayı ortasında ortaya çıktı ve şifreleme yoluyla şantaj ve veri sızıntıları sonucu gerçekleştirdiği saldırıların kurbanı olduğu iddia edilen birçok kuruluşun listesini şimdiden yayınladı. RansomHub tarafından yeni bir "Ransomware-as-a-Service" (RaaS) satış duyurusunun, siber suçluların kötü amaçlı hizmetlerin reklamını yapmak için kullandıkları, RAMP4U (veya RAMP) olarak bilinen Rus kökenli forumlardan birinde yayınlandı. "koley" takma adını ve kimliğini kullanan bir kullanıcı, 2 Şubat 2024 tarihinde bu ortaklık programını duyurdu. Yeni RaaS duyurusunda, ödenen fidyelerin kara para aklama işleminin ortaklığın sorumluluğunda olduğu belirtildi. Bu, tüm iletişimin ve şifre çözücünün kurbana gönderilmesinin sohbet yoluyla gerçekleştirileceği anlamına geliyor. Bu RaaS modelinde gelir dağılımı, değerin %90'ı ortaklara, %10'u ise geliştiriciye ait olacak; bu durumda geliştirici, "Koley" takma adını kullanan kişi olacaktır. Ayrıca, yayına göre fidye yazılımı yükü Golang dilinde yazılmış, x25519 tabanlı asimetrik algoritmayı ve AES256, ChaCha20 ve xChaCha20 şifreleme algoritmalarını kullanıyor ve hızıyla öne çıkıyor. Şifreleme, AST kullanılarak gizlenmiştir. Yük, hem güvenli hem de yerel modda ağ üzerinden yayılmayı ve verilerin şifrelenmesini desteklemektedir. Koley’e göre, fidye yazılımı Windows, Linux ve ESXi gibi platformların yanı sıra ARM ve MIPS gibi diğer mimarilerde çalışacak şekilde tasarlanmıştır. Panel tarafından da belirtildiği ve istihbarat ekibi tarafından daha önce vurgulanmış olduğu üzere, Koley şunları ifade etmiştir:
Son 12 ayda ilan vermedi.
Grup 2 zararlı yazılım ailesiyle ilişkilendirildi.
En çok hedeflenen ülke Amerika Birleşik Devletleri: 347 ilan, toplamın %41 kadarı.
En çok hedeflenen sektör Profesyonel Hizmetler: 214 ilan, toplamın %25 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
842 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 7 aşamaya yayılan 60 MITRE ATT&CK tekniği belgelendi.
- 1
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid AccountsT1078.003Valid Accounts: Local AccountsT1190Exploit Public-Facing ApplicationT1566.001Phishing: Spearphishing AttachmentT1566.004Phishing: Spearphishing Voice - 2
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1047Windows Management InstrumentationT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.003Command and Scripting Interpreter: Windows Command ShellT1059.006Command and Scripting Interpreter: PythonT1203Exploitation for Client Execution - 3
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1098Account ManipulationT1133External Remote ServicesT1136Create AccountT1136.001Create Account: Local AccountT1136.002Create Account: Domain AccountT1547Boot or Logon Autostart ExecutionT1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup FolderT1547.004Boot or Logon Autostart Execution: Winlogon Helper DLL - 4
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1068Exploitation for Privilege EscalationT1548.002Abuse Elevation Control Mechanism: Bypass UAC - 5
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1027Obfuscated Files or InformationT1027.009Obfuscated Files or Information: Embedded PayloadsT1027.013Obfuscated Files or Information: Encrypted/Encoded FileT1036MasqueradingT1055.012Process Injection: Process HollowingT1070Indicator RemovalT1070.001Indicator Removal: Clear Windows Event LogsT1112Modify RegistryT1134Access Token ManipulationT1134.001Access Token Manipulation: Token Impersonation/TheftT1222.001File and Directory Permissions Modification: Windows PermissionsT1480Execution GuardrailsT1484.001Domain or Tenant Policy Modification: Group Policy ModificationT1562Impair Defenses: Disable or Modify ToolsT1562.001Impair Defenses: Disable or Modify ToolsT1564Hidden ArtifactsT1564.003Hidden Artifacts: Hidden WindowT1620Reflective DLL Injection - 6
Kimlik bilgisi erişimi
Parola, jeton ve oturum bilgileri ele geçirilir.
T1003OS Credential DumpingT1003.001OS Credential Dumping: LSASS MemoryT1003.003OS Credential Dumping: NTDST1003.008OS Credential Dumping: /etc/passwd and /etc/shadowT1110Brute ForceT1110.003Brute Force: Password SprayingT1555.005Credentials from Password Stores: Password Managers - 7
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1007System Service DiscoveryT1016.001Internet Connection DiscoveryT1018Remote System DiscoveryT1033System Owner/User DiscoveryT1046Network Service DiscoveryT1057Process DiscoveryT1082System Information DiscoveryT1083File and Directory DiscoveryT1087Account DiscoveryT1087.001Account Discovery: Local AccountT1087.002Account Discovery: Domain AccountT1120Peripheral Device DiscoveryT1135Network Share DiscoveryT1482Domain Trust Discovery
Grup 2 zararlı yazılım ailesiyle ilişkilendirildi.
Zararlı yazılım ailesi
- BlackCat
- RansomHub
Bu aktör hakkında yayımlanmış raporlar:
- https://symantec-enterprise-blogs.security.com/threat-intelligence/ransomhub-knight-ransomware
- https://forescoutstage.wpengine.com/blog/analysis-a-new-ransomware-group-emerges-from-the-change-healthcare-cyber-attack/
- https://www.sentinelone.com/blog/ransomware-evolution-how-cheated-affiliates-are-recycling-victim-data-for-profit/
Kaynak: MISP Galaxy, Malpedia.
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
RansomHub kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid Accounts
- T1078.003 · Valid Accounts: Local Accounts
- T1190 · Exploit Public-Facing Application
- T1566.001 · Phishing: Spearphishing Attachment
- T1566.004 · Phishing: Spearphishing Voice
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
- Çalışan parolalarının ve oturum çerezlerinin infostealer kayıtlarında görünüp görünmediğini düzenli kontrol edin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.