Sicarii
Sicarii, 5 Oca 2026 tarihinden bu yana sızıntı sitesinde 1 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 1
- İlk ilan
- 5 Oca 2026
- Son ilan
- 5 Oca 2026
- MITRE ATT&CK tekniği
- 60
Sicarii, 2025 yılının sonlarında ortaya çıkan, İsrail yanlısı/Yahudi kimliği taşıyan bir “fidye yazılımı hizmeti” operasyonudur. Bu operasyon, açıkta kalan RDP hizmetlerini ve Fortinet cihazlarını istismar ederek, özellikle Arap ve Müslüman çoğunluklu kuruluşları hedef alırken İsrail sistemlerinden kaçınmaktadır; operasyonun yöneticisi daha sonra operatörlere BQTLock platformuna geçmeleri talimatını vermiştir.
Son 12 ayda 1 ilan verdi; en yoğun ay Ocak 2026 oldu (1 ilan).
En çok hedeflenen ülke Amerika Birleşik Devletleri: 1 ilan, toplamın %100 kadarı.
En çok hedeflenen sektör İmalat: 1 ilan, toplamın %100 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
1 sonucun 1 tanesi gösteriliyor
Grubun saldırılarında 5 aşamaya yayılan 60 MITRE ATT&CK tekniği belgelendi.
- 1
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid AccountsT1189Drive-by CompromiseT1190Exploit Public-Facing ApplicationT1566PhishingT1566.001Phishing: Spearphishing AttachmentT1566.002Phishing: Spearphishing LinkT1566.003Phishing: Spearphishing Voice - 2
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1047Windows Management InstrumentationT1053.005Scheduled Task/Job: Scheduled TaskT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.003Command and Scripting Interpreter: Windows Command ShellT1059.005Command and Scripting Interpreter: Visual BasicT1106Native APIT1129Shared ModulesT1203Exploitation for Client ExecutionT1204User ExecutionT1204.001User Execution: Malicious LinkT1204.002User Execution: Malicious File - 3
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1098Account ManipulationT1505.004Server Software Component: IIS ComponentsT1542.003Pre-OS Boot: BootkitT1543.003Create or Modify System Process: Windows ServiceT1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup FolderT1547.009Boot or Logon Autostart Execution: Shortcut ModificationT1574.001Hijack Execution Flow: DLL Search Order Hijacking - 4
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1068Exploitation for Privilege EscalationT1134Access Token ManipulationT1134.002Access Token Manipulation: Create Process with TokenT1543Create or Modify System Process - 5
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1027Obfuscated Files or InformationT1027.002Obfuscated Files or Information: Software PackingT1027.005Obfuscated Files or Information: Indicator Removal from ToolsT1027.007Obfuscated Files or Information: Dynamic API ResolutionT1027.009Obfuscated Files or Information: Embedded PayloadsT1027.013Obfuscated Files or Information: Encrypted/Encoded FileT1036MasqueradingT1036.003Masquerading: Rename Legitimate UtilitiesT1036.004Masquerading: Masquerade Task or ServiceT1036.005Masquerading: Match Legitimate Name or LocationT1036.008Masquerading: Masquerade File TypeT1055.001Process Injection: DLL InjectionT1070Indicator RemovalT1070.003Indicator Removal: Clear Command HistoryT1070.004Indicator Removal: File DeletionT1070.006Indicator Removal: TimestompT1140Deobfuscate/Decode Files or InformationT1202Indirect Command ExecutionT1218System Binary Proxy ExecutionT1218.005System Binary Proxy Execution: MshtaT1218.010System Binary Proxy Execution: Regsvr32T1218.011System Binary Proxy Execution: Rundll32T1220XSL Script ProcessingT1221Template InjectionT1222File and Directory Permissions ModificationT1497.001Virtualization/Sandbox Evasion: System ChecksT1497.003Virtualization/Sandbox Evasion: Time Based ChecksT1548Abuse Elevation Control MechanismT1553.002Subvert Trust Controls: Code SigningT1562Impair Defenses
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
Sicarii kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid Accounts
- T1189 · Drive-by Compromise
- T1190 · Exploit Public-Facing Application
- T1566 · Phishing
- T1566.001 · Phishing: Spearphishing Attachment
- T1566.002 · Phishing: Spearphishing Link
- T1566.003 · Phishing: Spearphishing Voice
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.