Güvenlik araştırmacıları, Zeppelin fidye yazılımlarının şifreleme mekanizmasında güvenlik açıkları buldular ve mağdur şirketlerin saldırganlara ödeme yapmadan dosyaları kurtarmasına yardımcı olmak için 2020'den beri kullandıkları çalışan bir şifre oluşturmaları için sömürdüler.
Şifre çözme aracının geliştiricisi, Şubat 2020'de teknik bir rapora hazır olan, ancak tehdit aktörünü dosya şifreleme kötü amaçlı yazılımlarındaki güvenlik açıkları konusunda karanlıkta tutmak için yayınlanmasını geciktiren New Jersey merkezli bir siber güvenlik danışmanlığı şirketi olan Unit221b'dir.
Unit221b, fidye yazılımı operatörlerinin yardım kuruluşlarına, kâr amacı gütmeyen kuruluşlara ve hatta evsiz barınaklara çarptığını gördükten sonra Zeppelin'i kırmaya motive edildi.
Siber güvenlik danışmanlığı firması, Aralık 2019'da BlackBerry Cylance'dan kötü amaçlı yazılımların bir analizini okuduktan sonra Zeppelin'deki potansiyel olarak sömürülebilir kusurları gördü.
Araştırmacılar, Zeppelin'in şifreli verilere erişimi kilitleyen AES anahtarını şifrelemek için geçici bir RSA-512 anahtarı kullandığını fark ettiler.
AES anahtarı her şifreli dosyanın altbilgisinde saklandı, bu nedenle RSA-512 tuşu kırılmışsa, dosyalar saldırganı ödemeden şifre çözülebilir.
Unit221b, bu genel anahtarın, veri şifrelemesi tamamlandıktan sonra kabaca beş dakika boyunca enfekte sistemin kayıt defterinde kaldığını buldu.
Anahtarın alınması, ham dosya sisteminde kayıt defteri oymacılığı yaparak, registery.exe bellek dökümleri ve doğrudan ntuser.dat üzerinde "/user/[user_account]/" dizin.
Ortaya çıkan veriler RC4 ile gizlenir ve bu katmanı kaldırdıktan sonra Unit221b, bir kat RSA-2048 şifreleme ile bırakıldı.
Bu son engelin üstesinden gelmek için Unit221b, her biri 40 CPU'lu 20 sunucuda, anahtarın daha küçük bölümlerini hesaba katan toplam 800 Merkezi İşleme Birimi (CPU) kullandı.
Altı saat sonra anahtar kırılmıştı ve analistler Dosya altbilgisinden AES anahtarını almak için geri dönebilirler.
Unit221b’nin kurucusu Lance James, BleepingComputer'a Zeppelin fidye yazılımı kurbanının son aylarda önemli ölçüde düşmesi nedeniyle tüm ayrıntıları kamuya açıklamaya karar verdiklerini söyledi.
James, şifre çözme aracının son Zeppelin versiyonları için bile işe yaraması gerektiğini ve talep üzerine kurbanlara açık olduğunu söyledi.
Emsisoft’un tehdit analisti Brett Callow, Zeppelin saldırılarındaki düşüşü doğruladı ve fidye yazılımı zorluğunu kullanmak için son büyük operasyonun aylar önce terk eden Vice Society olduğunu belirtti.
Callow ayrıca veri kurtarma uzmanlarının 20120'nin ortalarından beri Zeppelin’in şifreleme güvenlik açığını kullandığını belirtti.
Emsisoft'un zorlama için bir kamu şifresini yayınlama olasılığına gelince, analist bize anahtarları kurtarmak için yüksek bilgi işlem gücünün maliyetinin bunu bir şirketin kullanabileceği ücretsiz bir araç için iyi bir aday yapmadığını söyledi.
Zeppelin (diğer adıyla ‘Buran’), 2019'un sonlarında vahşi doğada küçük daire ortaklıklarında faaliyet gösteren yarı özel bir proje olarak ortaya çıkan Delphi merkezli bir fidye yazılımı suşudur.
Fidye yazılımı projesi kurbanları ortalama 50.000 $ karşılığında zorladı ve sağlam bir AES-256-CBC şifrelemesine sahipti.
2021'de operasyon, uzun vadeli ortaklarına birkaç avantaj sunan bir hiatus döneminden sonra yoğun bir şekilde yenilenmiş bir versiyon başlattı.
Daha yakın zamanlarda, Ağustos 2022'de FBI, Zeppelin fidye yazılımı hakkında bir uyarı yayınladı ve operatörlerinin şimdi ihlal edilen sistemlerde birden fazla şifreleme gerçekleştirme taktikini takip ettiğini söyledi.
Bu garip taktik, fidye ödedikten sonra bile verileri geri yüklemek için birkaç şifre çözme anahtarı ve çok fazla deneme yanılma gerektiren birden fazla kurban kimliği ve dosya oluşturdu.
FBI: Zeppelin fidye yazılımı, saldırılarda cihazları birden çok kez şifreleyebilir
Avast, Mafiaware666 Ransomware varyantları için Ücretsiz Decryptor'u yayınladı
Yeni Fidye Yazılımı Dosyaları Şifreleyen, Sonra Discord Hesabınızı Çalar
Ransomware'de Hafta - 18 Kasım 2022 - Yükselen Operasyonlar
Daha önce tanımlanamayan Arcrypter fidye yazılımı dünya çapında genişliyor
Kaynak: Bleeping Computer