Güvenlik Araştırmacıları, Türk Origine Sahip CosmicBeetle Grubunun Scarab Fidye Yazılımını Savunmasız Sunuculara Dağıttığını Tespit Etti
CosmicBeetle grubu, güvenlik araştırmacıları tarafından yapılan analiz sonucunda, Türkiye kökenli olduklarına inanılan grup tarafından paylaşılan Spacecolon araç setinin Scarab fidye yazılımını savunmasız sunuculara dağıttığını ortaya çıkardı. Spacecolon truva atı, hassas bilgileri çalmak veya Scarab fidye yazılımını dağıtmak için sağlam bir uzaktan erişim yeteneğine sahiptir. CosmicBeetle grubu, muhtemelen ZeroLogon güvenlik açığına sahip olan web sunucusunu veya RDP kimlik bilgilerine saldırı düzenlemek için bu araç setini kullanmaktadır.
Ayrıca, CosmicBeetle’ın yeni bir fidye yazılımı dağıtacağı düşünülmektedir ve bu durum ScRansom adını taşımaktadır. Grubun, savunmasız web sunucuları veya RDP kimlik bilgilerini kaba kuvvet uygulayarak kurban organizasyonlara sızma potansiyeline sahip olduğu düşünülmektedir.
Spacecolon’un faaliyetleri en az Mayıs 2020’ye kadar uzanmaktadır ve birçok ülkeye yayılmıştır. Avrupa Birliği ülkeleri olan İspanya, Fransa, Belçika, Polonya ve Macaristan’da yaygın olarak görülmekle birlikte, Türkiye ve Meksika’da da yüksek bir yaygınlık tespit edilmiştir. Şu anda, CosmicBeetle grubu, yeni fidye yazılımı ScRansom’un dağıtımına hazırlanmaktadır. Spacecolon, sunucuları ele geçirdikten sonra fidye yazılımı yükleme yeteneğinin yanı sıra saldırganların güvenlik ürünlerini devre dışı bırakmasına, hassas bilgileri çalmasına ve daha fazla erişim sağlamasına olanak tanıyan çeşitli üçüncü taraf araçlar içermektedir.
CosmicBeetle grubu, muhtemelen ZeroLogon güvenlik açığına sahip olan web sunucularını veya kaba kuvvet uygulayabildiği RDP kimlik bilgilerine sahip olanları hedeflemektedir. Ayrıca, Spacecolon operatörlerine arka kapı erişimi sağlayabilme yeteneğine de sahiptir. CosmicBeetle, kötü amaçlı yazılımlarını gizlemek için büyük bir çaba göstermemekte ve ele geçirilen sistemlerde birçok iz bırakmaktadır.
CosmicBeetle grubu, savunmasız bir web sunucusunu ele geçirdikten sonra ScHackTool adlı ana bileşenlerini kullanmaktadır. Saldırılar, aracın kullanıcı ara yüzüne ve operatörlerin aktif katılımına dayanmaktadır. Grup, isteğe bağlı olarak hedefe sızdıkları makineye ek araçlar indirmek ve çalıştırmak için olanak sağlamaktadır. Eğer CosmicBeetle grubu hedefin değerli olduğunu düşünürse, ScInstaller’ı dağıtabilir ve daha fazla uzaktan erişim sağlamak için ScService’i yükleyebilir.
CosmicBeetle grubu tarafından dağıtılan son zararlı yazılım, Scarab fidye yazılımının bir türüdür. Bu varyant, müdahale edilen içeriği saldırgan tarafından kontrol edilen bir adresle değiştiren ve kripto para cüzdanı adresi olabileceğine inanılan ClipBanker adı verilen bir kötü amaçlı yazılım türünü içermektedir.
İlgili Başlıklar:
– Türk Origine Sahip CosmicBeetle Grubu, Scarab Fidye Yazılımını Savunmasız Sunuculara Dağıttı
– CosmicBeetle Grubu, Yeni Bir Fidye Yazılımı Geliştiriyor