Bir bilgisayar korsanlığı ekibi finansal teşvikler cihazlarda sıfır gün güvenlik açığından yararlandı SMA 100 Serisi VPN olarak bilinen yeni bir fidye yazılımı geliştirmeyi amaçlayan SonicWall'un FiveHands hedef ağlarda Kuzey Amerika ve Avrupa'da yerleşik.
Tehdit analistlerinin yaptığı bilgisayar korsanlığı ekibi Mandiant adlandırdılar "UNC2447", yararlandı güvenlik açığı CVE-2021-20016 yamaları yayınlamadan önce ağları kırmak ve FiveHands fidye yazılımı yüklerini dağıtmak için Şubat sonu.
Fidye yazılımı yüklerini geliştirmeden önce, UNC2447'nin de Cobalt Strike implantları sebat kazanmak ve bir tane kurmak SombRAT arka kapısının varyantı, kötü amaçlı yazılım ilk olarak bir grup paralı bilgisayar korsanının koordine ettiği CostaRicto kampanyasında tespit edildi.
Sıfır gün güvenlik açığından, Ocak ayında SonicWall'ın dahili sistemlerini hedef alan saldırılarda da yararlanıldı.
UNC2447 saldırılarında geliştirilen "FiveHands" fidye yazılımı ilk olarak Ekim 2020. Birkaç tane var fidye yazılımı "HelloKitty" ile benzerlikler. İlki, sistemlerini şifrelemek için kullanıldı CD Projekt Red, video oyunu geliştirme stüdyosu, saldırganlar daha sonra Cyberpunk 2077, Witcher 3, Gwent ve Witcher 3'ün yayınlanmamış bir sürümünün kaynak kodunu çaldıklarını iddia ettiler.
Bu fidye yazılımı şirketi, Brezilyalı elektrik şirketi de dahil olmak üzere dünya çapındaki diğer büyük şirketleri hedef aldı. "CEMIG" (Minas Gerais Enerji Şirketi).
Mandiant, Saldırılarda FiveHands kullanımının artmaya başladığı Ocak 2021'den itibaren HelloKitty etkinliğinin yavaşladığını fark etti. Ek olarak şirket, HelloKitty'nin Mayıs 2020'den Aralık 2020'ye kadar ve FiveHands'ın yaklaşık Ocak 2021'den itibaren kullanılmış olabileceğini tahmin ediyor.
Mandiant, iki fidye yazılımını yalnızca paylaşılabilirliği, işlevselliği ve kodlama benzerlikleri nedeniyle değil, aynı zamanda HelloKitty favicon'u kullanarak bu ayın başlarında bir FiveHands fidye yazılımı Tor sohbetini fark ettiği için ilişkilendirdi.
içinde rapor Yayınlanan 29 NisanMandiant, UNC2447'nin kurbanlarına ilk önce FiveHands fidye yazılımı ile şantaj yaparak ve ardından kurbanların verilerini bilgisayar korsanlığı forumlarında satışa sunma tehdidinde bulunarak izinsiz girişlerden kar elde ettiğini bildirdi. Ayrıca, bilgisayar korsanlığı ekibinin Avrupa ve Kuzey Amerika'daki kuruluşları hedef aldığını ve tespit edilmekten kaçınmak için gelişmiş yeteneklere sahip olduğunu gösterdiğini belirtti.
Ek olarak, UNC2447 ortaklarının da Ragnar Dolabı önceki saldırılarda fidye yazılımı.
O benim MartMandiant analistleri şunu keşfetti: SonicWall ürünlerinde üç sıfır gün güvenlik açığı daha.
Bu güvenlik açıklarından başka bir bilgisayar korsanlığı grubu tarafından istismar edildi - "UNC2682" Kurulum amacıyla arka kapı kullanılan sistemlerde Arkasında ağ kabuklarıama aynı zamanda kurbanların ağlarına doğru yanlara doğru hareket etmek ve e-postalara ve dosyalara erişim sağlamak.
Bilgi kaynağı: bleepingcomputer.com