Siber Güvenlik Dünyasında Yeni Tehlike: ShinyHunters Grubu ShinySp1d3r RaaS Platformunu Piyasaya Sürüyor
ShinyHunters grubuna bağlı aktörler ShinySp1d3r adıyla yeni bir fidye yazılımı hizmeti geliştirdi. Geliştirme sürecinde olan platform güvenlik araştırmacılarına ilk örnekleriyle ulaştı. Ortaya çıkan bilgiler siber saldırı yöntemlerinin yeniden şekillendiğini gösteriyor.
ShinySp1d3r Fidye Yazılımı Yeni Nesil Özelliklerle Gelişiyor
ShinyHunters ekibi kendi şifreleyicisini sıfırdan yazdı. Grup daha önce ALPHV/BlackCat, Qilin, RansomHub ile DragonForce gibi çetelerin araçlarını kullanıyordu. Yeni şifreleyici Windows sistemlerde farklı yöntemlerle dosya erişimini kesiyor. EtwEventWrite işlevini devre dışı bırakan yapı olay kaydının tutulmasını engelliyor. Kod dosyaları kilitleyen işlemleri sonlandırıyor. Geliştiriciler Restart Manager tabanlı güçlendirilmiş bir sonlandırma komutu üzerinde çalışıyor.
Çözüm serbest disk alanına rastgele veri yazarak silinen dosyaların kurtarılmasını zorlaştırıyor. Yerel ağ üzerinde paylaşılan klasörleri arayan yapı yeni cihazlarda da şifreleme başlatıyor. Bu işlem SCM, WMI veya GPO başlangıç betiği yoluyla yürütülüyor. Kod kendini analiz eden araçları zorlayan korumalara sahip. Gölge kopyalar silindiği için sistem geri yükleme girişimleri yapılamıyor.
Geliştirilen şifreleyici ChaCha20 algoritmasını kullanıyor. Her dosya için ayrı bir anahtar üretiliyor. RSA-2048 yapısı bu anahtarı koruyor. Kod her dosyaya matematiksel bir formüle göre belirlenen eşsiz bir uzantı ekliyor. Dosya başlıkları SPDR ile başlıyor, ENDS ifadesiyle bitiyor. Başlık bölümünde dosya adıyla birlikte şifreli anahtar ve işlem sırasında oluşturulan bilgiler yer alıyor.
Her klasöre R3ADME_1Vks5fYe.txt adıyla fidye notu bırakılıyor. Not olayın ayrıntılarını, iletişim yöntemlerini ve müzakere adımlarını içeriyor. Saldırganlar üç gün içinde yanıt verilmediği durumda sızıntı sitesinde ifşaya geçeceğini söylüyor. Kod masaüstü arka planını değiştirerek kullanıcıyı fidye notunu okumaya yönlendiriyor.
ShinyHunters grubu platformu Scattered LAPSUS$ Hunters adıyla yönetmeyi planlıyor. Grup ShinySp1d3r markasının üç çetenin ittifakını temsil ettiğini belirtiyor. Aktörler sağlık sektörüne saldırı düzenlenmeyeceğini söylüyor. Diğer birçok çetenin benzer açıklamalar yapmasına karşın bu tür sözlerin geçmişte sık sık ihlal edildiği biliniyor. Yapı Rusya ile diğer BDT ülkelerine saldırı bırakmıyor çünkü grubun destekçileri bu bölgelerde bulunuyor.
Geliştiriciler Windows yapısının yanında Linux ve ESXi sürümlerini tamamlamaya yakın olduklarını söylüyor. Ayrıca saf Assembly dilinde yazılmış hızlı bir sürüm üzerinde çalıştıklarını aktarıyor. Bu nedenle platformun ilerleyen dönemde daha agresif yeteneklere ulaşacağı tahmin ediliyor.
