Cisco Talos’un güvenlik araştırmacıları, Aralık 2022’den bu zamana kadar yeni bir tehdit aktörünü takip ettiklerini belirtiyor. Araştırmacılar, tehdit aktörlerinin MortalKombat adlı fidye yazılımını ve kurbanların kripto para birimlerini çalmaya yarayan Laplas Clipper’ın GO varyantı zararlı yazılımı dağıttıklarını ortaya çıkardı. Pek çok kurbanın ABD merkezli olduğu ancak Filipinler, Birleşik Krallık ve Türkiye’de de etkilenen bazı kurum yada kuruluşların olduğu belirtiliyor.
Gerçekleştirilen teknik analizlerde, fidye yazılım bulaştığı sistemlerde bir dizi popüler video oyunu ve filmi kapsayan Mortal Kombat medya serisine gönderme yapan duvar kağıtları bıraktıkları gözlemlenmiş. Bu yüzden araştırmacılar tarafından MortalKombat olarak isimlendirilmiş.
Raporda, internete açık 3389 numaralı RDP portununa sahip kurum yada kuruluşları bulmak için tehdit aktörlerinin interneti taradığı belirtiliyor. Bu şekilde son kullanıcılarda dahil küçük yada büyük işletmeleri hedef alabildiler.
Araştırmacılar, kurbanın sistemine girebilmek için tipik saldırı yöntemlerinden biri olan kimlik avı saldırısı kullanıldığını söyledi. Eğer kurban tarafından maildeki BAT yükleyici komut dosyası içeren zararlı ZIP dosyası açılırsa, komut dosyası başlatılmış oluyor. Daha sonra ise bir barındırma sunucusundan, kurbanın makineye bir ZIP dosyası indiriliyor. İndirdikten sonra ise otomatik olarak Laplas Clipper’ın GO varyantı yada MortalKombat fidye yazılımı çalıştırılıyor. Tüm işlemler tamamlandıktan sonra yükleyici komut dosyası hem bulaşma işaretlerini hemde zararlı dosyaları bulaştığı sistemden temizliyor.
Saldırganlar, kurbanlarla iletişim kurmak için genellikle anlık mesajlaşma uygulaması qTOX’u ve “hack3dlikeapro[at]proton[.]me.” adlı bir e-posta adresini kullanıyor.
Bunların yanında yapılan teknik analizlerde, koddaki benzerliklerde dahil olmak üzere fidye yazılımının 2010’dan bu yana çeşitli biçimlerde var olduğunu söyledikleri Xorist ailesine ait olduğunu gösterdiği belirtiliyor. Xorist değişkenlerinin kolayca özelleştirilebilmesinden dolayı tehdit aktörlerinin farklı ad, şifreleme dosya uzantıları ve özel fidye notlarına sahip yeni değişkenler oluşturmasına olanak tanıyor.
Araştırmacılar, MortalKombat’ın yanı sıra daha önce Kasım 2022’deki saldırıda tespit ettikleri Laplas Clipper zararlı yazılımını da keşfettiler.
