İlk olarak Nisan 2022'de görülen Black Basta fidye yazılımı, hacker grubunun çifte gasp taktikleri kullandığı bir Hizmet Olarak Fidye Yazılımıdır (RaaS). Saldırganlar “püskürt ve dua et” taktiğini kullanmak yerine kurbanlarını hedef alıyor. Black Basta grubu, saldırı tekniklerine rağmen 2022 yılının ikinci yarısında 101 saldırının sorumlusu oldu. Black Basta grubu, Rusça konuşan bir hacker grubudur.Mayıs 2024'e kadar 500'den fazla kurbanABD merkezli işletmeler ana hedefleri olmak üzere. Siber suçlular, çifte şantaj taktiğiyle yalnızca verileri şifrelemekle kalmıyor, aynı zamanda onu çalıyor ve karanlık bir web sitesine sızdırmakla tehdit ediyor. Mayıs 2024'te grup odaklanmaya başladı veSağlık kuruluşlarına yönelik saldırılarını hızlandırdı.
Black Basta ne tür bir kötü amaçlı yazılımdır?
Black Basta, verileri çalan, Gölge Kopya yedeklemesini silen ve dosyaları şifreleyen bir Hizmet Olarak Fidye Yazılımıdır (RaaS). Daha sonra şifre çözücü karşılığında ve verileri sızdırmamak için ödeme talep eden bir fidye notu bırakıyorlar. Black Bast fidye yazılımı Qakbot, SystemBC, Mimikatz, CobaltStrike ve Rclone gibi yaygın araçları kullanıyor. C++ ile yazılmıştır ve hem Windows hem de Linux sistemlerini etkileyebilir.
Black Basta fidye yazılımına genel bakış
Onaylanan Ad
- Siyah Basta virüsü
Tehdit Türü
- Fidye yazılımı
- Kripto Virüsü
- Dosya dolabı
Şifrelenmiş Dosyalar Uzantısı
- .sadece öyle
Fidye Talep Eden Mesaj
- Benioku.txt
Ücretsiz bir Şifre Çözücü Var mı?
- Hayır, Black Basta fidye yazılımı için genel bir şifre çözme anahtarı yok
Algılama Adları
- Avast'ınWin32:Kötü amaçlı yazılım oluşturucu
- EmsisoftJenerik.Ransom.Basta.A.88A395AA (B)
- KasperskyHEUR:Trojan-Ransom.Win32.Generic
- MalwarebytesRansom.FileCryptor
- MicrosoftFidye: Win32/Basta.C
- SofoMal/Jenerik-S
Belirtiler
- Bilgisayarınızda depolanan dosyalar açılamıyor
- Yeni dosya uzantıları
- Masaüstünüzde bir fidye talep mesajı
- Masaüstü duvar kağıdını şifreleme uyarısına dönüştürür
Fidye yazılımı ailesi ve türü
- Black Basta bir fidye yazılımı ailesidir
- RaaS türü
Dağıtım yöntemleri
- Etkilenen e-posta ekleri (kimlik avı e-postaları)
- Torrent web siteleri (virüslü bağlantılar veya dosyalar)
- Kötü amaçlı reklamlar (kötü amaçlı reklamcılık)
Sonuçlar
- Kilitli dosyalar
- Çalınan şifreler
- Veri ihlali
- Ek kötü amaçlı yazılım yüklendi
Önleme
- Antivirüs ve kötü amaçlı yazılımdan koruma
- Güncellenmiş yazılım
- Güncellenmiş işletim sistemi (OS)
- Güvenlik duvarları
- Bilinmeyen bir kaynaktan gelen e-posta ekini açmayın
- Şüpheli web sitelerinden dosya indirmeyin
- Güvenli olduğundan emin olmadığınız sürece reklamlara tıklamayın
- Yalnızca güvenilir kaynaklardan gelen web sitelerine erişin
Black Basta bilgisayarınıza nasıl bulaştı?
Birincil Black Basta enfeksiyonu kimlik avı e-postaları yoluyla gerçekleşir. Saldırganlar yasal e-posta kampanyaları gibi davranıyor ve kullanıcıları bağlantılarına tıklamaya veya ekleri indirmeye ikna ediyor.
Spam e-posta kampanyalarıBilgisayar korsanlarının kurbanları kötü amaçlı bağlantılara veya eklere tıklamaları konusunda kandırmak için sosyal mühendislik kullandığı e-postalardır. Bundan sonra, istismar kiti makineye indirilir ve tehdit aktörleri istedikleri zaman fidye yazılımını tetikleyebilir. Bu e-postalar, bilgisayar korsanları belirli bir işletmeye erişmeyi planladığında hedeflenebilir veya toplu bir kötü amaçlı yazılım spam kampanyası gönderdiklerinde hedeflenmeyen kimlik avı olabilir.
Black Basta şifreleme ve fidye notu
Black Basta, verilerinizi çalıp şifreledikten sonra metin dosyası olarak bir fidye notu ekler ve duvar kağıdınızı şifrelemeyle ilgili bir uyarı olarak değiştirir.
Fidye notu basittir ve iletişim ayrıntılarını verir. Verileriniz çalınır ve şifrelenir. Fidyeyi ödemezseniz veriler TOR web sitesinde yayınlanacaktır. Bizimle iletişime geçebilir ve bu TOR sitesinden bir dosyanın şifresini ücretsiz olarak çözebilirsiniz (öncelikle TOR tarayıcısını indirip yüklemelisiniz) hxxps://torproject.org)hxxps://aazsbsgya565vlu2c6bzy6yfiebkcbtvvcytvolt33s77xypi7nypxyd.onion/
Black Basta nasıl çalışır?
Black Bast'ın şifreleme işlemi sırasında 8 aşaması vardır.
1. İlk Erişim
İlk aşama, saldırganların ağınıza girmenin yolunu bulmasıdır. Kimlik avı e-postası yoluyla olması muhtemeldir.
2. Yürütme
Bundan sonra Black Basta, ağ hakkındaki bilgileri keşfetmek ve ek komut dosyaları indirmek için PowerShell komut dosyalarını kullanır.
3. Savunmadan kaçınma
Bu aşamada fidye yazılımı, kötü amaçlı yazılımdan koruma yazılımını ve diğer güvenlik yazılımlarını ve araçlarını devre dışı bırakır.
4. Ayrıcalığın Arttırılması
Black Basta, ayrıcalıklı erişime sahip olmak ve görevleri ve işlemleri gerçekleştirmek için güvenlik açıklarından yararlanır. Ayrıca Kobalt Saldırısı işaretini veya diğer yükleri de iletir.
5. Kimlik Bilgisi Erişimi
Black Basta, kimlik bilgilerini atmak için Mimikatz'ı kullanıyor.
6. Yanal hareket
Bir sonraki aşama, Uzak Masaüstü Protokolü (RDP) aracılığıyla ağa bağlı diğer cihazlara erişmektir.
7. Süzme
Bu adım sırasında saldırganlar çifte şantaj taktiği için verileri çıkarır. Güvenliği ihlal edilmiş sistemlerden veri sızdırmak için Rclone'u kullanır.
8. Etki
Son aşama, verileri şifrelemek ve masaüstü duvar kağıdını değiştirmektir.
Ayrıca şunu okuyun:Secles Ransomware: Kaldırma Kılavuzu
Black Basta fidye yazılımı saldırısını önleyin
Black Basta fidye yazılımı saldırılarını önlemenin birkaç yolundan zaten bahsetmiştik. Verilerinizi ve işinizi güvende tutmak için yapmanız gerekenlerin tam listesi burada.
1. Bir siber güvenlik çözümü kullanın
İş güvenliğinizi garanti edecek bir BT ekibine sahip olabilir veya bir siber güvenlik hizmeti kiralayabilirsiniz. Her iki durumda da, ağdaki arka kapılar, yararlanma kitleri ve yazılımlar gibi güvenlik açıklarını aramalısınız.
2. Güçlü şifreler kullanın ve çok faktörlü kimlik doğrulama uygulayın
Her hesap için daima güçlü ve benzersiz şifreler kullanın ve bunları yalnızca gerekli kişilerle paylaşın. Örneğin, çalışanların işleri için bir web sitesi hesabına veya yazılımına ihtiyacı yoksa erişime de ihtiyaçları yoktur. Bu, her şirket hesabına yalnızca yetkili personelin erişeceğini garanti edebilir. Klasörlere, cihazlara veya hesaplara yalnızca yetkili kişilerin erişebilmesini sağlamak için iki faktörlü kimlik doğrulamayı veya biyometrik kilit açmayı kullanabilirsiniz.
3. Eski ve kullanılmayan kullanıcı hesaplarını silin
Kullanılmayan hesaplar, bilgisayar korsanlarının yararlanabileceği güvenlik açıklarıdır. Kullanılmayan hesapların yanı sıra geçmiş çalışanların kullandığı hesapları da devre dışı bırakın ve kapatın.
4. Yazılımı güncel tutun
Belirtildiği gibi, güncel olmayan yazılımlar zayıf bir noktadır. Bunun nedeni, yeni güncellemelerin Black Basta gibi yeni kötü amaçlı yazılım türlerine karşı koruma sağlayabilmesidir.
5. Düzenli yedeklemeler planlayın
Verilerinizin en az üç kopyasını, en az biri çevrimdışı ve site dışında olmak üzere saklayın. Bu, doğal veya insan yapımı bir felakete (fidye yazılımı gibi) maruz kalsanız bile verilerinizin her zaman güvende olmasını garanti edebilir. Düzenli yedeklemeler kesinti sürelerini önleyebilir ve hiçbir hassas veriyi asla kaybetmemenizi sağlayabilir.
6. Elinizde bir kurtarma planı bulundurun
Veri kurtarma planları, felaket durumunda ne yapılması gerektiği konusunda yol gösterici belgelerdir. İşletmenizi daha hızlı ve daha güvenli bir şekilde geri yüklemenize yardımcı olabilirler. Ayrıntılı kılavuzumuzla nasıl veri kurtarma planı oluşturacağınızı görün.
Black Basta fidye yazılımı saldırısıyla nasıl başa çıkılır?
Black Basta saldırısından kurtulmanın ilk adımı, virüs bulaşmış bilgisayarı internet bağlantısını keserek ve bağlı tüm cihazları kaldırarak yalıtmaktır. Daha sonra yerel yetkililerle iletişime geçmelisiniz. ABD'de ikamet edenler ve işletmeler için buyerel FBI saha ofisiveİnternet Suçları Şikayet Merkezi (IC3).Bir fidye yazılımı saldırısını bildirmek için, aşağıdakiler de dahil olmak üzere, bu saldırı hakkında toplayabildiğiniz her bilgiyi toplamalısınız:
- Fidye notunun ekran görüntüleri
- Black Basta oyuncularıyla iletişim (varsa)
- Şifrelenmiş bir dosya örneği
Fidye yazılımını silmemeli ve saldırıya ilişkin tüm kanıtları saklamamalısınız. Uzmanların hacker grubunun izini sürebilmesi ve onları tespit edebilmesi açısından bu, dijital adli tıp açısından önemlidir. Yetkililerin saldırıyı araştırabilmesi ve sorumluyu bulabilmesi için virüslü sisteminizdeki verileri kullanır. Siber saldırı soruşturması diğer cezai soruşturmalardan farklı değildir: Saldırganları bulmak için delillere ihtiyaç vardır.
Cihazı izole edip yetkililerle iletişime geçtikten sonra verilerinizi almak için sonraki adımları izlemelisiniz:
1. Olay Müdahale Sorumlunuzla iletişime geçin
Siber Olaylara Müdahale, bir siber güvenlik olayına müdahale etme ve yönetme sürecidir. Olay Müdahale Tutucusu, kuruluşların siber güvenlik olayları konusunda dışarıdan yardım almasına olanak tanıyan bir siber güvenlik sağlayıcısıyla yapılan bir hizmet sözleşmesidir. Kuruluşlara bir güvenlik ortağı aracılığıyla yapılandırılmış bir uzmanlık ve destek sağlayarak, siber olay durumunda hızlı ve etkili bir şekilde yanıt vermelerini sağlar. Olay müdahale hizmet sağlayıcısı, bir siber güvenlik olayı öncesinde ve sonrasında uzman desteği sunarak kuruluşlara gönül rahatlığı sunar. Olay müdahale görevlisinin spesifik niteliği ve yapısı, sağlayıcıya ve kuruluşun gereksinimlerine göre değişecektir. İyi bir olay müdahale hizmet sağlayıcısı sağlam ancak esnek olmalı ve bir kuruluşun uzun vadeli güvenlik duruşunu geliştirmek için kanıtlanmış hizmetler sağlamalıdır.
2. Fidye yazılımı bulaşmasını tanımlayın
Makinenize hangi fidye yazılımının bulaştığını dosya uzantısından kontrol edebilirsiniz (bazı fidye yazılımları dosya uzantısını ad olarak kullanır) veya fidye notunda yer alır. Bu bilgilerle genel bir şifre çözme anahtarı arayabilirsiniz. Ancak Black Basta'da henüz bu özellik yok.
3. Fidye yazılımını kaldırın ve yararlanma kitlerini ortadan kaldırın
Verilerinizi kurtarmadan önce cihazınızın fidye yazılımı içermediğinden ve saldırganların açıklardan yararlanma kitleri veya diğer güvenlik açıkları yoluyla yeni bir saldırı yapamayacağından emin olmalısınız. Fidye yazılımı temizleme hizmeti, fidye yazılımını silebilir, araştırma için bir adli tıp belgesi oluşturabilir, güvenlik açıklarını ortadan kaldırabilir ve verilerinizi kurtarabilir.
4. Verileri geri yüklemek için bir yedek kullanın
Yedeklemeler verileri kurtarmanın en etkili yoludur. Veri kullanımınıza bağlı olarak günlük veya haftalık yedeklemeler yaptığınızdan emin olun.
5. Bir fidye yazılımı kurtarma hizmetiyle iletişime geçin
Yedeklemeniz yoksa veya fidye yazılımını kaldırma ve güvenlik açıklarını ortadan kaldırma konusunda yardıma ihtiyacınız varsa, bir veri kurtarma hizmetiyle iletişime geçmelisiniz.FİDYE ÖDEMEYİN.Black Basta saldırganlarının siz ödeme yaptıktan sonra verileri iade edeceklerinin garantisi yoktur. Doğru eylem yerel yetkililerle iletişime geçmek ve fidye yazılımını kaldırmaktır. Hem kaldırma hem de veri kurtarma için bir fidye yazılımı kurtarma hizmetiyle iletişime geçebilirsiniz.SalvageData uzmanları dosyalarınızı güvenli bir şekilde geri yükleyebilir ve Black Basta fidye yazılımının ağınıza bir daha saldırmayacağını garanti edebilir. Acil kurtarma hizmeti için uzmanlarımızla 7/24 iletişime geçin veya yakınınızda bir kurtarma merkezi bulun.
