DarkSide adlı yeni bir fidye yazılımı bu ayın başlarında kuruluşlara saldırmaya başladı. Özel saldırıları şimdiden milyonlarca dolar kazandı.
10 Ağustos 2020 itibariyle, yeni fidye yazılımı şirketi birçok şirkete yönelik hedefli saldırılar başlattı.
Bilgisayar korsanları tarafından yayınlanan bir "basın açıklamasında", diğer fidye yazılımı şirketleriyle işbirliği yaparak milyonlarca dolar kazanan eski işbirlikçileri olduklarını iddia ediyorlar.
Uygun bir "ürün" bulamadıkları için ihtiyaçlar kendi işini kurmaya karar verdi.
"Pazarda yeni bir ürünüz, ancak bu deneyimimiz olmadığı ve hiçbir yerden geldiğimiz anlamına gelmez. Diğer ünlülerle çalışarak milyonlarca dolar kazandık kriptograflar. DarkSide'ı yarattık çünkü mükemmel olanı bulamadık ürün bizim için. Artık bizde var. "
DarkSide, "öldürmek istemedikleri için yalnızca fidyeyi ödeyebilecek şirketleri hedeflediklerini belirtir." iş siz ”.
Tehditler ayrıca aşağıdaki organizma türlerini hedeflemediklerini belirtti.
- Tıp (hastaneler).
- Eğitim (okullar, üniversiteler).
- Kâr amacı gütmeyen kuruluşlar.
- Hükümet sektörü.
Bu ifadeye uyup uymayacaklarını bilmek için henüz çok erken.
DarkSide fidye gereksinimleri 200.000 ila 2.000.000 $ arasında değişmektedir. Bu sayılar şunlara bağlı olarak az ya da çok değişebilir. kurban.
En az biri kurbanlar BleepingComputer tarafından bulunan XNUMX milyon dolarlık bir fidye ödedi.
DarkSide kurbanları şifrelemeden önce verileri çalıyor
DarkSide operatörleri bir güvenlik kodunu ihlal ettiğinde manuel olarak çalışan diğer fidye yazılımı saldırıları gibi ağ, bir yönetici hesabına ve Windows etki alanı denetleyicisine erişene kadar ağ üzerinde yanlara doğru yayılır.
Bu çalınan veriler daha sonra bir veri sızıntısı sitesinde yayınlanır. denetim ve şantaj girişiminin bir parçası olarak kullanıldı.
DarkSide, bir kurban ödeme yapmazsa, tüm verileri web sitelerinde en az altı ay boyunca yayınlayacağını belirtiyor. Bu şantaj stratejisi, kurbanı korkutup ödeme yapması için tasarlanmıştır. fidye.
Bir kurban fidyeyi öderse, DarkSide çalınan verileri bilgisayardan kaldıracağını beyan eder. web sitesi onun.
Fidyeyi ödemiş olan kurbanların verileri siteden çoktan kaldırıldı.
Özel fidye yazılımı saldırıları
Saldırılar sırasında DarkSide bunun için çalıştırılabilir özel bir fidye yazılımı oluşturacaktır. εταιρεία saldıran.
Advanced Intel Vitali Kremez'e göre, daha sonra birkaç veritabanlarıbilgisayarı şifrelemeye hazırlamak için ofis uygulamaları ve posta istemcileri.
Bir bilgisayarı şifrelerken, DarkSide belirli işlemleri sonlandırmaktan kaçınır.
TeamViewer özellikle bilgisayarlara uzaktan erişim için kullanılır.
Şu anda dosyaları ücretsiz olarak kurtarmanın bir yolu yok gibi görünüyor.
REvil ile olası bağlantı
DarkSide analizi sırasında, fidye yazılımı REvil ile bazı benzerlikleri olduğu keşfedildi.
En belirgin benzerlik, aşağıdaki REVIL fidye yazılımı notunda gösterilenle hemen hemen aynı şablonu kullanan fidye notlarıdır.
DarkSide davranış analizinde, ilk çalıştırıldığında PowerShell kodlu bir script çalıştırdığı gözlemlendi.
Devre dışı bırakıldığında, bu PowerShell komutunun şifrelemeden önce makinedeki Gölge Birim Kopyalarını silmek için kullanıldığını görebiliriz.
Yukarıdaki komutu yürütmek için PowerShell kullanmak, REvil tarafından kullanılan yöntemle aynıdır.
Son olarak, MalwareHunterTeam, DarkSide'ın BDT ülkelerindeki kurbanlara bulaşmaktan kasıtlı olarak kaçındığını buldu. Bunu yapacak kod, REvil'de ve ayrıca GandCrab'da kullanılana benzer.