Güvenli Modu İstismar Eden Fidye Yazılımı AvosLocker Tehlike Saçıyor
Yeni nesil siber güvenliğin lideri Sophos, “AvosLocker Remotely Accesses Boxes, Even Running in Safe Mode” başlığıyla yayınladığı araştırma makalesinde AvosLocker isminde olan fidye yazılımına dair bulgularını paylaştı. Sophos’un araştırması, saldırganların BT sorunlarının çözümü esnasında bir çok güvenlik ve BT yönetim aracını dönem dışı bırakmalarını elde eden Windows Güvenli Mod özelliği ve AnyDesk uzaktan yönetim aracını beraber kullanarak güvenlik kontrollerini nasıl aşabildiklerine açıklık getiriyor.
AvosLocker, ilk olarak Haziran 2021’in sonlarında ortaya çıkan ve popülaritesi giderek artan hizmet odaklı yeni bir fidye yazılımı. Sophos Rapid Response ekibi şimdiye dek ABD, Orta Doğu ve Asya Pasifik bölgesinde Windows ve Linux sistemlerini hedef alan AvosLocker saldırılarına rastladı.
Sophos Vaka Müdahale Ekibi Direktörü Peter Mackenzie, bilgileri şu şekilde aktarıyor:
“AvosLocker’in arkasındakiler, AnyDesk’i hedef sistemlere Güvenli Modda çalışacak şekilde yükledikten sonrasında güvenlik çözümü bileşenlerini dönem dışı bırakmaya odaklanıyor ve fidye yazılımını aktive ediyorlar. Böylece hedefledikleri tüm sistemler üstünde kapsamlı uzaktan denetime haiz oluyorlar. Sophos olarak söz mevzusu bileşenlerden bazılarının fidye yazılımlarını yaymak amacıyla bu şekilde beraber kullanıldığına daha ilkin rastlamamıştık. Bu tür saldırılarla karşı karşıya kalan BT güvenlik ekiplerinin, saldırıdan etkilenen tüm makinelerdeki AnyDesk kurulumlarının izleri temizlenene kadar riskin devam ettiğinin bilincinde olmaları gerekiyor.”
Fidye Yazılımı Dağıtım Süreci Nasıl İşliyor?
Fidye yazılımının davranışlarını gözlemleyen Sophos araştırmacıları, saldırının hedef makinelerde “love.bat”, “update.bat” yada “lock.bat” adlı toplu komut dosyalarını yürütmek için PDQ Deploy’un kullanmasıyla başladığını buldu. Söz mevzusu komut dosyaları, makineleri fidye yazılımı dağıtımına hazırlayan ve Güvenli Modda tekrardan başlatan bir takım ardışık komut içeriyor.
Ortalama beş saniyede tamamlanan komut süreci sırayla aşağıdaki adımları gerçekleştiriyor:
- Windows güncelleme hizmetleri ve Windows Defender dönem dışı bırakılıyor
- Güvenli Modda çalışabilen ticari güvenlik yazılımı çözümlerine ilişkin bileşenler dönem dışı bırakılmaya çalışılıyor
- Meşru uzaktan yönetim aracı AnyDesk kuruluyor ve Güvenli Modda çalışacak şekilde ayarlıyor, böylece saldırganların kullanabileceği komuta denetim altyapısı oluşturuluyor
- Otomatik oturum açma bilgileriyle yeni bir hesap oluşturuluyor ve “update.exe” adlı yürütülebilir fidye yazılımını uzaktan çalıştırmak için hedefin tesir alanı denetleyicisine bağlanılıyor
AvosLocker tarafınca kullanılan tekniklerin kolay fakat oldukça zekice bulunduğunu vurgulayan Mackenzie, “Uygulanan yöntemle fidye yazılımının Güvenli Modda çalıştırılması ve saldırganların makinelere uzaktan erişiminin sürdürülmesi sağlanıyor. Sophos olarak daha ilkin Snatch ve BlackMatter’in benzer teknikler uyguladığını görmüştük. Sadece bu fidye yazılımı gruplarının hiçbiri Güvenli Moddayken makinelerin komuta ve kontrolü için AnyDesk şeklinde bir uygulama yüklemeye çalışmadı. Bu şekilde bir durumla ilk kez karşılaşıyoruz” diyor.
Sophos Intercept X ve öteki Sophos uç nokta güvenlik ürünleri, AvosLocker fidye yazılımlarının ve öteki saldırıların davranışlarını algılayarak sistemleri itimat altında tutabiliyor.
