Hizmet olarak fidye yazılımı: Endüstrileşmiş siber suçların yeni yüzü

Hizmet olarak fidye yazılımı modeli, daha yeteneksiz suçluların başarabileceklerinin hızla artırılmasını ve sanayileşmesini kolaylaştırdı. Eskiden bu suçlular, kendi oluşturdukları ya da satın aldıkları kötü amaçlı yazılımları kullanarak küçük ölçekli saldırılar gerçekleştiriyordu ancak artık RaaS operatörlerinden, elbette ücreti karşılığında, ihtiyaçları olan her şeyi temin edebiliyorlar: erişimden ağlara ve fidye yazılımı yüklerine kadar. Birçok RaaS programı bunlara ek olarak şifre çözme müzakeresi, ödeme baskısı ve kripto para birimi işlem hizmetlerinin yanı sıra sızıntı sitesi barındırma ve fidye notları ile bütünleştirme gibi şantaj destek teklifleri de sunuyor.

Bu da saldırganın yetenek seviyesi ne olursa olsun başarılı fidye yazılımı ve şantaj saldırılarının etkilerinin değişmemesi demek.

RaaS operatörlerinin, iştiraklerine değer sağlamasının bir yolu da ele geçirilen ağlara erişim sunmaktır. Erişim aracıları, ele geçirip ileride kar etmek için saklayacakları savunmasız sistemler bulmak için interneti tarar.

Saldırganların, başarılı olmak için kimlik bilgilerine ihtiyacı vardır. Ele geçirilen kimlik bilgileri, bu saldırılar için o kadar önemlidir ki siber suçlular ağ erişimi sattıklarında çoğu zaman bu fiyat karşılığında bir yönetici hesabı da garanti edilir.

Suçluların, elde ettikleri erişimle ne yapacakları, gruplara ve iş yükleri ya da motivasyonlarına göre oldukça büyük bir çeşitlilik gösterebilir. Bu nedenle de ilk erişimle klavye kontrolü arasında, dakikalar ya da günler hatta daha uzun bir süre geçebilir ancak şartlar elverişli olduğu anda zarar, oldukça hızlı bir şekilde verilecektir. Hatta ilk erişimle tam fidye arasındaki sürenin (erişim aracısından RaaS iştirakine iletim dahil) bir saatten az sürdüğü de gözlemlenmiştir.

Saldırganlar bir ağa erişim sağladıklarında, fidyelerini aldıktan sonra dahi ayrılmak istemezler. Hatta fidyeyi ödemek, etkilenen ağdaki riski azaltmak yerine sadece sistemden uzaklaştırılana dek farklı kötü amaçlı yazılımlar ve fidye yazılımı yükleriyle para istemeye devam etmesi muhtemel olan siber suçlulara kaynak sağlamakla sonuçlanabilir.

Siber suç ekonomisinde geçişler meydana geldikçe farklı saldırganlar arasında gerçekleşen iletim; birden fazla etkinlik grubunun, bir fidye yazılımı saldırısında kullanılan araçlardan farklı, çeşitli yöntemler kullanarak aynı ortamda kalabildiği anlamına gelir. Örneğin bir bankacılık truva atı tarafından elde edilen ilk erişim, bir Cobalt Strike dağıtımına yol açar ancak erişimi satın alan RaaS iştiraki, kampanyasını yürütmek için TeamViewer gibi bir uzaktan erişim aracı kullanmayı seçebilir.

Kötü amaçlı yazılım yerleştirmelerine karşı Cobalt Strike gibi yasal araçları ve ayarları kullanmak, tespit edilmekten kaçınmak ve bir ağda daha uzun süre yerleşik kalmak isteyen fidye yazılımı saldırganları arasında popüler bir tekniktir.

Bir diğer popüler saldırgan tekniği de yerelde ya da Active Directory'de, daha sonra sanal özel ağ (VPN) ya da Uzak Masaüstü gibi uzaktan erişim araçlarına eklenebilecek yeni arka kapı kullanıcı hesapları oluşturmaktır. Fidye yazılımı saldırganlarının Uzak Masaüstü'nü etkinleştirmek, protokolün güvenliğini azaltmak ve Uzak Masaüstü Kullanıcıları grubuna yeni kullanıcılar eklemek için sistemlerdeki ayarları düzenledikleri de gözlemlenmiştir.

RaaS'ın, bu tehdidi bu kadar endişe verici kılan özelliklerinden biri, bilinçli ve hesaplı kararlar verebilen ve hedeflerine ulaşabilmek için, ağda buldukları şeylere göre saldırı modellerini değiştirebilen insan saldırganlara dayanmasıdır.

Microsoft, bu saldırı kategorisini engellenmesi gereken bir dizi kötü amaçlı yazılım yükü olarak değil, bir fidye yazılımı yüküyle sonuçlanan bir faaliyet zinciri olarak tanımlamak için insan tarafından kullanılan fidye yazılımı terimini ortaya attı.

İlk erişim kampanyalarının çoğu otomatik keşfe dayansa da saldırı, klavyeyi ele geçirme aşamasına geçtiğinde saldırganlar, ortamdaki güvenlik ürünlerini yenmeye çalışmak için kendi bilgi ve becerilerini kullanacaktır.

Fidye yazılımı saldırganları kolay kazanç elde etme motivasyonuyla hareket ettiğinden, güvenliği güçlendirerek onların maliyetini artırmak, siber suç ekonomisini sekteye uğratmakta önemli bir adımdır. Bu insani karar verme süreci, güvenlik ürünleri belirli saldırı aşamalarını tespit etse bile saldırganların kendilerinin tamamen tahliye edilmediği anlamına gelir. Bir güvenlik kontrolü tarafından engellenmezlerse devam etmeye çalışırlar. Birçok durumda, bir araç veya yük, bir antivirüs ürünü tarafından algılanır ve engellenirse saldırganlar sadece farklı bir araç kullanmaya başlar veya yüklerini değiştirir.

Saldırganlar ayrıca güvenlik operasyonları merkezinin (SOC) yanıt sürelerinin ve algılama araçlarının yetenek ve sınırlamalarının da farkındadır. Saldırı, yedekleri veya gölge kopyaları silme aşamasına geldiğinde, fidye yazılımı dağıtımının üzerinden sadece birkaç dakika geçmiş olacaktır. Bu sırada saldırganlar verilerin dışarı sızdırılması gibi zararlı eylemleri muhtemelen çoktan gerçekleştirmiş olur. Bu bilgi, fidye yazılımlara yanıt veren SOC'ler için kilit öneme sahiptir: Cobalt Strike gibi algılayıcıları fidye yazılımı dağıtım aşamasından önce araştırmak ve hızlı düzeltme eylemleri ve olay yanıtı (IR) prosedürlerini uygulamak, insan olan bir düşmanı kontrol altına almakta kritik öneme sahiptir.