Bir BlackByte fidye yazılımı bağlı kuruluşu, tehlikeye atılan Windows cihazlarından veri çalmak için 'Exbyte' adlı yeni bir özel veri çalma aracı kullanıyor.
Veri eksfiltrasyonunun, çift uzatma saldırılarında en önemli işlevlerden biri olduğuna inanılmaktadır, BleepingComputer, şirketlerin veri sızıntısını önlemek için bir şifreleme almaktan daha yaygın olarak fidye talepleri olduğunu söyledi.
Bu nedenle, ALPHV ve Lockbit dahil fidye yazılımı işlemleri sürekli olarak veri hırsızlığı araçlarını geliştirmeye çalışmaktadır.
Aynı zamanda, Karakurt gibi diğer tehdit aktörleri, yerel kopyaları şifrelemeye bile zahmet etmiyor ve yalnızca veri açığa çıkmasına odaklanıyor.
Exbyte, tehdit aktörlerinin çalınan dosyaları doğrudan Mega Cloud depolama hizmetine yüklemek için Go tabanlı eksfiltrasyon aracını kullandıklarını söyleyen Symantec'teki güvenlik araştırmacıları tarafından keşfedildi.
Yürütme üzerine araç, sanal alan bir ortamda çalışıp çalışmadığını ve hata ayıklayıcıları ve anti-virüs işlemlerini kontrol edip etmediğini belirlemek için anti-analiz kontrolleri gerçekleştirir.
Exbyte kontrolleri şunlardır.
Ayrıca, kötü amaçlı yazılım aşağıdaki DLL dosyalarının varlığını kontrol eder:
Blackbyte fidye yazılımı ikili de aynı testleri uygular, ancak veri eklemesi dosya şifrelemeden önce gerçekleştiğinden, bunları bağımsız olarak çalıştırmalıdır.
Testler temizse, Exbyte ihlal edilen sistemdeki tüm belge dosyalarını numaralandırır ve bunları sabit kodlu hesap kimlik bilgilerini kullanarak mega'da yeni oluşturulan bir klasöre yükler.
"Daha sonra, Exbyte, enfekte olmuş bilgisayardaki .txt, .doc ve .pdf dosyaları gibi tüm belge dosyalarını numaralandırır ve tam yol ve dosya adını %AppData %\ Dummy'ye kaydeder," Raporu Synantec'in açıklaması.
"Daha sonra listelenen dosyalar, kullanılan mega hesabı için oluşturduğu kötü amaçlı yazılımların oluşturduğu bir klasöre yüklenir.
Blackbyte, 2021 yazında operasyonlar başlattı ve Şubat 2022'ye kadar çete, ABD'deki kritik altyapı da dahil olmak üzere birçok özel ve kamu kuruluşunu ihlal etmişti.
Symantec analistleri, son blackbyte saldırılarının geçen yılki Proxyshell ve Proxylogon kusur setlerini Microsoft Exchange sunucularında kullanmaya dayandığını bildiriyor.
Dahası, davetsiz misafirler yanal olarak hareket etmek için Adfind, Anydesk, Netscan ve PowerView gibi araçları kullanırlar.
Son saldırılar, fidye yazılımlarının 2.0 sürümünü kullanır ve Sophos'un Ekim raporunda analiz ettiği gibi çekirdek bildirim rutinlerini EDR korumalarını atlamak için atar.
Diğer fidye yazılımı işlemleri gibi, BlackByte de kolay veri restorasyonunu önlemek için Volume Shadow kopyalarını siler, güvenlik duvarı ayarlarını tüm uzak bağlantıları açmak için değiştirir ve sonunda şifreleme aşaması için bir "scvhost.exe" örneğine enjekte eder.
Dün yayınlanan bir Intel 471 raporuna göre, BlackByte, BlackByte'nin ilk olarak Batı kolluk kuvvetlerini kışkırtmaktan kaçınması gereken Afrika'daki kuruluşları hedef aldı.
Tommyleaks ve Schoolboys: Aynı fidye yazılımı çetesinin iki tarafı
Ransomware'de Hafta - 21 Ekim 2022 - Basınları Durdur
Ransomware'de Hafta - 7 Ekim 2022 - 20 Yıllık Bir Cümle
BlackByte Fidye Yazılımı, güvenlik ürünlerini devre dışı bırakmak için yasal sürücüyü kötüye kullanır
Ransomware'de Hafta - 30 Eylül 2022 - Gölgelerden Ortaya Çıkıyor
Kaynak: Bleeping Computer