siber saldırıda ortaya çıkan yeni Spirals fidye yazılımı, ilk erişimin sağlanmasından verilerin çalınmasına sistemlerin şifrelenmesine kadar tüm süreci 24 saatten daha kısa sürede tamamladı. Symantec Threat Hunter Team tarafından analiz edilen saldırı, Güney Asya’daki BT hizmetleri şirketini hedef. Araştırma, saldırganların geleneksel fidye yazılımı operasyonlarına kıyasla çok daha hızlı hareket ederek savunma mekanizmalarını kısa sürede etkisiz hâle getirdiğini gösteriyor.
İlk Erişimin Ardından Saldırganlar Kurumsal Ağda Hızla İlerlediSymantec’in analizine göre saldırı, internete açık Internet Information Services (IIS) sunucusunun ele geçirilmesiyle başladı. Saldırganlar sisteme.NET web shell yükledikten sonra User Account Control (UAC) korumasını aşarak Remote Desktop özelliğini etkinleştirdi. Aynı süreçte oluşturulan yerel kullanıcı hesabı sayesinde erişim kalıcı hâle getirilirken SAM kayıt defteri LSASS bellek dökümleri alınarak kimlik bilgileri ele geçirilmeye çalışıldı.
Araştırmacılar, saldırganların ilk erişimi elde ettikten sonra zaman kaybetmeden yatay hareket gerçekleştirdiğini belirtiyor. WMI kullanılarak düzineden fazla sisteme geçiş yapılırken revsocks, Chisel Cloudflare Tunnel altyapıları aynı anda devreye alınarak uzaktan erişim kanalları yedekli şekilde oluşturuldu. Çok katmanlı erişim yöntemi, tek bağlantının kesilmesi durumunda saldırının devam edebilmesini sağladı.
Saldırının ikinci aşamasında PowerShell tabanlı komutlar devreye sokuldu. Zararlı yük, Microsoft Defender’ı devre dışı bırakırken tehdit tanımlarını sildi şifreleme başlamadan önce çok sayıda kurumsal hizmeti durdurdu. Araştırma, Veeam, VMware, Hyper-V, Microsoft SQL Server, Oracle PostgreSQL dâhil 23 farklı yedekleme, sanallaştırma veritabanı ürününün hedef alındığını ortaya koyuyor. yaklaşım, fidye yazılımı gruplarının son yıllarda benimsediği standart taktiklerden biri hâline geldi. Saldırganlar, yedekleme hizmetlerini devre dışı bırakarak kurumların sistemlerini hızlı şekilde geri yükleme ihtimalini azaltmayı amaçlıyor.
Symantec, saldırganların şifreleme aşamasını ilk erişimden sonraki 24 saat dolmadan başlattığını belirtiyor. PsExec aracı SYSTEM yetkisiyle çalıştırılarak zararlı yük ağdaki bilgisayarlara dağıtıldı. Zararlı dosya, Windows’un meşru Background Intelligent Transfer Service bileşenini çağrıştırmak amacıyla bitsadmin.exe adıyla gizlendi.
Rust programlama diliyle geliştirilen Spirals fidye yazılımı, AES-128 şifreleme algoritmasını saldırgana ait ECDH P-256 açık anahtarıyla koruyor. Büyük dosyalarda kullanılan aralıklı şifreleme tekniği ise işlemin çok daha kısa sürede tamamlanmasına yardımcı oluyor. Şifreleme tamamlandıktan sonra C:\ sürücüsüne bırakılan RECOVERY_SECTION.log dosyasında fidye ödeme talimatları yer alırken saldırganlar çalınan verilerin altı gün içinde kamuoyuna açıklanacağı tehdidinde bulunuyor.
Symantec, Spirals fidye yazılımını ana kadar yalnızca tek olayda gözlemlediğini belirtiyor. nedenle zararlının geniş çaplı kullanılacak yeni fidye yazılımı ailesi olduğu, yoksa hedef kuruma özel geliştirilen araç olduğu henüz kesinleşmiş değil. Buna rağmen saldırının hızı, modern fidye yazılımı operasyonlarının ne kadar kısa sürede tamamlanabildiğini ortaya koyuyor.
Türkiye’deki kurumlar açısından benzer saldırılar önemli risk oluşturuyor. Microsoft IIS,.NET, PowerShell, PsExec, Microsoft Defender, Cloudflare Tunnel, WMI Symantec tarafından ılan IoC’lerin güvenlik sistemlerine eklenmesi, olası saldırıların erken aşamada tespit edilmesine katkı sağlayabilir. Özellikle internete açık sunucuların düzenli olarak güncellenmesi, ayrıcalıklı hesapların sınırlandırılması yedekleme sistemlerinin çevrim dışı kopyalarının korunması, tür fidye yazılımı saldırılarına karşı en etkili savunmalar arasında yer alıyor.
