Stormous Ransomware
Stormous Ransomware, 22 Mar 2022 tarihinden bu yana sızıntı sitesinde 188 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 188
- İlk ilan
- 22 Mar 2022
- Son ilan
- 28 Haz 2026
- MITRE ATT&CK tekniği
- 34
Stormous, en azından 2022 yılından beri faaliyet gösteren, Arapça konuşan, Rusya yanlısı bir fidye yazılımı ve hacktivist grubudur. 15’ten fazla ülkede siyasi amaçlı saldırılar düzenlemesiyle tanınan grup, GhostLocker 2.0 RaaS platformunda GhostSec ile işbirliği yapmış ve 2024 yılının ortalarında GhostSec’in RaaS operasyonlarını devralmıştır. 1 Temmuz 2026 tarihinde grup, faaliyetlerine ve hizmetlerine son verdiğini duyurmuştur.
Son 12 ayda 27 ilan verdi; en yoğun ay Haziran 2026 oldu (14 ilan).
En çok hedeflenen ülke Amerika Birleşik Devletleri: 14 ilan, toplamın %7 kadarı.
En çok hedeflenen sektör Teknoloji: 32 ilan, toplamın %17 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
188 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 14 aşamaya yayılan 34 MITRE ATT&CK tekniği belgelendi.
- 1
Keşif
Saldırı öncesinde hedef kurum hakkında bilgi toplanır.
T1595Active Scanning - 2
Kaynak hazırlığı
Saldırıda kullanılacak altyapı, hesap ve araçlar hazırlanır.
T1588.002Obtain Capabilities: Tool - 3
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid AccountsT1190Exploit Public-Facing ApplicationT1199Trusted RelationshipT1566PhishingT1566.001Phishing: Spearphishing Attachment - 4
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1059Command and Scripting InterpreterT1059.005Command and Scripting Interpreter: Visual BasicT1204.002User Execution: Malicious File - 5
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1053Scheduled Task/JobT1098Account ManipulationT1505.003Server Software Component: Web ShellT1543.003Create or Modify System Process: Windows ServiceT1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder - 6
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1548.002Abuse Elevation Control Mechanism: Bypass UAC - 7
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1027Obfuscated Files or InformationT1027.002Obfuscated Files or Information: Software PackingT1027.011Obfuscated Files or Information: Fileless StorageT1027.013Obfuscated Files or Information: Encrypted/Encoded FileT1070Indicator RemovalT1562.001Impair Defenses: Disable or Modify Tools - 8
Kimlik bilgisi erişimi
Parola, jeton ve oturum bilgileri ele geçirilir.
T1003OS Credential Dumping - 9
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1046Network Service DiscoveryT1083File and Directory Discovery - 10
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021.001Remote Services: Remote Desktop ProtocolT1021.002Remote Services: SMB/Windows Admin Shares - 11
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1005Data from Local SystemT1560Archive Collected Data - 12
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1071.001Application Layer Protocol: Web Protocols - 13
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1041Exfiltration Over C2 ChannelT1567.002Exfiltration Over Web Service: Exfiltration to Cloud Storage - 14
Etki
Sistemler şifrelenir ya da hizmet durdurulur.
T1486Data Encrypted for ImpactT1490Inhibit System Recovery
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
Stormous Ransomware kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid Accounts
- T1190 · Exploit Public-Facing Application
- T1199 · Trusted Relationship
- T1566 · Phishing
- T1566.001 · Phishing: Spearphishing Attachment
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
- Çalışan parolalarının ve oturum çerezlerinin infostealer kayıtlarında görünüp görünmediğini düzenli kontrol edin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
- Ağdan ayrılmış, değiştirilemez yedek tutun ve geri yüklemeyi düzenli olarak deneyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.