MortalKombat fidye yazılımı, Türkiye dahil birkaç ülkeyi hedef aldı

Aralık 2022’den bu zamana kadar takip edilen, nispeten yeni bir tehdit aktörü tarafından dağıtılan ve araştırmacılar tarafından MortalKombat adı verilen fidye yazılımı başta ABD olmak üzere Filipinler, Birleşik Krallık ve Türkiye’deki kurum ve kuruluşları hedef aldı.

Cisco Talos’un güvenlik araştırmacıları, Aralık 2022’den bu zamana kadar yeni bir tehdit aktörünü takip ettiklerini belirtiyor. Araştırmacılar, tehdit aktörlerinin  MortalKombat adlı fidye yazılımını ve kurbanların kripto para birimlerini çalmaya yarayan Laplas Clipper’ın GO varyantı zararlı yazılımı dağıttıklarını ortaya çıkardı. Pek çok kurbanın ABD merkezli olduğu ancak Filipinler, Birleşik Krallık ve Türkiye’de de etkilenen bazı kurum yada kuruluşların olduğu belirtiliyor.

Gerçekleştirilen teknik analizlerde, fidye yazılım bulaştığı sistemlerde bir dizi popüler video oyunu ve filmi kapsayan Mortal Kombat medya serisine gönderme yapan duvar kağıtları bıraktıkları gözlemlenmiş. Bu yüzden araştırmacılar tarafından  MortalKombat olarak isimlendirilmiş.

Raporda, internete açık 3389 numaralı RDP portununa sahip kurum yada kuruluşları bulmak için tehdit aktörlerinin interneti taradığı belirtiliyor. Bu şekilde son kullanıcılarda dahil küçük yada büyük işletmeleri hedef alabildiler.

Araştırmacılar, kurbanın sistemine girebilmek için tipik saldırı yöntemlerinden biri olan kimlik avı saldırısı kullanıldığını söyledi. Eğer kurban tarafından maildeki  BAT yükleyici komut dosyası içeren zararlı ZIP dosyası açılırsa, komut dosyası başlatılmış oluyor. Daha sonra ise bir barındırma sunucusundan, kurbanın makineye bir ZIP dosyası indiriliyor. İndirdikten sonra ise otomatik olarak Laplas Clipper’ın GO varyantı yada MortalKombat fidye yazılımı çalıştırılıyor. Tüm işlemler tamamlandıktan sonra yükleyici komut dosyası hem bulaşma işaretlerini hemde zararlı dosyaları bulaştığı sistemden temizliyor.

Kaynak: Cisco Talos raporundan

Saldırganlar, kurbanlarla iletişim kurmak için genellikle anlık mesajlaşma uygulaması qTOX’u ve “hack3dlikeapro[at]proton[.]me.” adlı bir e-posta adresini kullanıyor.

Bunların yanında yapılan teknik analizlerde, koddaki benzerliklerde dahil olmak üzere fidye yazılımının 2010’dan bu yana çeşitli biçimlerde var olduğunu söyledikleri Xorist ailesine ait olduğunu gösterdiği belirtiliyor. Xorist değişkenlerinin kolayca özelleştirilebilmesinden dolayı tehdit aktörlerinin farklı ad, şifreleme dosya uzantıları ve özel fidye notlarına sahip yeni değişkenler oluşturmasına olanak tanıyor.

Kaynak: Cisco Talos raporundan

Araştırmacılar, MortalKombat’ın yanı sıra daha önce Kasım 2022’deki saldırıda tespit ettikleri Laplas Clipper zararlı yazılımını da keşfettiler.

Önceki Yazı

Ransomware Takip: 1 – 12 Şubat verileri

Sonraki Yazı

Hollanda ve Almanya, gerçekleştirdiği operasyon çerçevesinde şifreli haberleşme uygulaması Exclu’u kapattı

İlgili İçerikler

Dragos: Endüstriyel altyapılara yönelik fidye yazılım saldırıları 2022 yılında iki kat arttı

Endüstriyel altyapılara yönelik siber güvenlik hizmeti veren Dragos, yayınladığı 2022 yıl sonu raporuna göre endüstriyel altyapılara (ICS/OT) yönelik gerçekleştirilen fidye yazılım saldırılarında bir önceki yıla göre 2 kat artış yaşanmış. Gerçekleştirilen saldırıların yüzde 70'nin üretim/imalat endüstrisine yönelik olduğu belirtildi.
Detaylar