Kraliyet fidye yazılımı operasyonundaki en son ve en büyük…

Giriş

Geçtiğimiz aylarda, fidye yazılımı tehdit aktörleri tarafından saldırıya uğrayan birden fazla kuruluşu destekledik. Bu blogda, Royal ransomware grubu tarafından kullanılan en son Taktikler, Teknikler ve Prosedürlerden (TTP'ler) bazılarını paylaşmak istiyoruz. Umarım bu, benzer vakalarda çalışan kuruluşlara ve diğer olay müdahale ekiplerine yardımcı olur.

Kraliyet fidye yazılımı

Royal son birkaç aydır çok aktif. Sızıntı sitelerinin ( soğan bağlantısı ) analizi, sadece Kasım/Aralık 2022'de neredeyse 60 kurban yayınladıklarını gösteriyor. Olay müdahale vakalarımıza dayanarak, tüm kurbanlarının sızıntı sitelerinde yayınlanmadığını biliyoruz, bu nedenle gerçek sayı daha da yüksek. Grup ve fidye yazılımları hakkında daha fazla bilgi edinmek istiyorsanız bu Microsoft gönderisine göz atın.

TTP'ye genel bakış

Royal fidye yazılımı için gözlemlenen TTP'lere genel bakış aşağıdadır:

Öne Çıkanlar

İlk erişimde kötü amaçlı yazılım yürütme
Qbot'un kötü amaçlı ekin algılanmasından kaçınmak ve bir ana bilgisayarda çalışmasını sağlamak için hangi hileleri kullandığını görmek ilginç olmaya devam ediyor. Bizim durumumuz için aşağıdaki enfeksiyon zincirini görüyoruz:

proxylife'a bir not(https://twitter.com/pr0xylif)eBu kötü amaçlı yazılımı takip eden ve yapılandırma ve yürütme akışıyla ilgili ayrıntıları paylaşan Twitter'da.

UAC Bypass
Royal grubu, kötü amaçlı komut dosyalarını çalıştırmak için varsayılan zamanlanmış bir görevle çok ilginç bir UAC bypass kullandı, bu bilinen bir teknikti, ancak bizim için ilk kez vahşi doğada fark edildi. İşin ilginç yanı, neler olup bittiğini kaçırmak çok kolay, bu baypas yürütüldüğünde bu olay PowerShell'de günlüğe kaydedilir:

Bu teknik hakkında daha fazla bilgi edinmek için Elastic'in bu bloguna göz atın.

Avcılık/Tespit ipuçları

Windows olay günlüklerine dayalı olarak fidye yazılımı gruplarıyla ilgili etkinlik izlerini bulmanın en kolay yollarından biri şunları aramaktır:

• Uygulama Olay Günlüğünde Zamanlanmış Görevler;
• PowerShell etkinliği, varsayılan olarak Windows 7+ uç noktaları, PowerShell etkinliklerini oldukça iyi günlüğe kaydeder;
• Cobalt Strike tarafından genellikle kalıcılık için kullanılan pencere hizmeti kurulumları.

• Royal birden fazla ilk erişim kötü amaçlı yazılım ailesinden yararlanıyor, IcedId daha önce onların ilk erişim için Qbot kullandıklarını gördüğümüzü bildirmişti;
• Hedeflere ulaşmak için PowerShell'e büyük ölçüde güvenmek ve saldırı aşamaları boyunca kullanmak;
• PowerSploit ve AdFind , fidye yazılımı gruplarının keşif ve ayrıcalık artırma etkinlikleri gerçekleştirmesi için popüler seçenekler olmaya devam ediyor;
• Gizlilik yaklaşımından daha hızlı olan Royal fidye yazılımı operatörleri, güvenlik ürünleri tarafından tetiklenen uyarıları çok fazla umursamadan, ilk erişimden tam etki alanı uzlaşmasına çok hızlı bir şekilde geçer;
• Birden fazla arka kapıya ve Qbot ve Cobalt Strike işaretleri aracılığıyla kalıcı erişime güvenmek;
• Dropbox ve MegaSync uygulamasının kurulup kullanıldığını gördüğümüz birden fazla veri sızdırma hedefi;
• Kalıcılık ve fidye yazılımı dağıtımı için kullanılan zamanlanmış görevler.

Siber saldırıyla karşı karşıya kalan kuruluşları desteklemek konusunda uzmanlaşmış bir olay müdahale şirketiyiz. Müşterilerimizin yenilmez kalmasına yardımcı oluyoruz!

Incident Response desteği [email protected] adresine ulaşın veya şu adrese gidin:https://www.invictus-ir.com/247

Sorularınız veya önerileriniz için [email protected] adresinden bize ulaşın