Rus hacktivistler Ukrayna'daki birden fazla organizasyonu 'Somnia' adı verilen yeni bir fidye yazılımı suşu ile enfekte etti, sistemlerini şifreliyor ve operasyonel sorunlara neden oldu.
Ukrayna'nın bilgisayar acil müdahale ekibi (CERT-UA), portalında bir duyuru yoluyla salgını doğruladı ve 'Rusya'dan aşkla' (frwl) (frwl), 'Z-Team' olarak da bilinen saldırılara atfetti. UAC-0118.
Grup daha önce Telegram'da Somnia fidye yazılımlarını oluşturduğunu açıkladı ve hatta Ukrayna'daki tank üreticilerine karşı saldırı kanıtı yayınladı.
Ancak, bugüne kadar Ukrayna, hack grubunun başarılı bir şifreleme saldırısını doğrulamadı.
CERT-UA'ya göre, hackleme grubu, Ukrayna organizasyonu çalışanlarını bir yükleyiciyi indirmek için kandırmak için 'Gelişmiş IP tarayıcı' yazılımını taklit eden sahte siteler kullanıyor.
Gerçekte, yükleyici sistemi, kurbanın telgraf oturum verilerini hesaplarının kontrolünü ele geçirmek için çalan Vidar Stealer ile bulaşır.
Daha sonra, CERT-UA, tehdit aktörlerinin VPN bağlantı verilerini (kimlik doğrulama ve sertifikalar) çalmak için kurbanın telgraf hesabını belirtilmemiş bir şekilde kötüye kullandığını söylüyor.
VPN hesabı iki faktörlü kimlik doğrulama ile korunmazsa, bilgisayar korsanları bunu mağdurun işvereninin kurumsal ağına yetkisiz erişim elde etmek için kullanır.
Daha sonra, davetsiz misafirler çeşitli gözetim ve uzaktan erişim faaliyetleri gerçekleştirmek için bir kobalt grev işaretini kullanır, verileri dışarı atarlar ve Netscan, Rclone, Anydesk ve Ngrok kullanırlar.
CERT-UA, 2022 baharından bu yana, ilk erişim brokerlerinin yardımıyla FRWL'nin Ukrayna organizasyonlarına ait bilgisayarlara birkaç saldırı gerçekleştirdiğini bildirdi.
Ajans ayrıca, bu saldırılarda kullanılan Somnia fidye yazılımı suşunun en son örneklerinin AES algoritmasına dayandığını, Somnia ise başlangıçta simetrik 3DES'i kullandığını belirtiyor.
Somnia fidye yazılımı tarafından hedeflenen dosya türleri (uzantılar), bu türün neden olmayı amaçladığı yıkımı yansıtan belgeler, görüntüler, veritabanları, arşivler, video dosyaları ve daha fazlası dahil olmak üzere aşağıda gösterilmiştir.
Fidye yazılımı, dosyaları şifrelerken şifrelenmiş dosyanın adlarına .somnia uzantısını ekler.
Somnia, kurbanlardan çalışan bir şifreleme karşılığında fidye ödemelerini istemiyor, çünkü operatörleri hedefin operasyonlarını reddetmekle daha fazla ilgileniyor.
Bu nedenle, bu kötü amaçlı yazılım geleneksel bir fidye yazılımı saldırısı yerine bir veri silecek olarak kabul edilmelidir.
Ukrayna'daki fidye yazılımı saldırılarına bağlı Rus askeri hacker
Küba Ransomware Affiliate Hedefler Ukrayna Hükümet Ajansları
Oldgremlin hacker'ları Rus orgs'a saldırmak için linux fidye yazılımı kullanıyor
Revil Fidye Yazılımı İade: Yeni Kötü Yazılım Örneği Çetenin geri döndüğünü onaylar
Microsoft: Ukrayna, Polonya'daki Yeni Prestige Fidye Yazılımı Orgs Hedefleri
Kaynak: Bleeping Computer