The Gentlemen Neden Ransomware Ekosisteminin En Hızlı Büyüyen Operasyonlarından Biri?

Operasyon Nasıl Büyüdü?

Araştırmalar The Gentlemen'ın kökenini ArmCorp adlı eski bir Qilin affiliate ekibine bağlıyor.

Operasyon daha sonra bağımsız RaaS yapısına dönüştü ve affiliate'lere ransom gelirinin yaklaşık yüzde 90'ını bırakan agresif ekonomik model oluşturdu.

Bu yaklaşım deneyimli affiliate'lerin operasyona katılması için güçlü teşvik yaratıyor.

İlk Erişim

The Gentlemen operasyonları internet-facing edge servisleriyle yakından ilişkili.

Raporlanan yöntemler arasında:

• vulnerable Fortinet/FortiGate sistemleri,
• stolen veya purchased VPN credentials,
• diğer internet-facing servisler

yer alıyor.

Dolayısıyla “firewall'ın arkasındaki ağı korumak” tek başına yeterli değildir; firewall/VPN appliance'ın kendisi attack surface'in parçasıdır.

Active Directory

Initial access sonrasında affiliate'ler credential dumping ve LDAP discovery gibi yöntemlerle ortamı haritalıyor.

Yüksek yetkili domain erişimi elde edildiğinde ransomware deployment tek workstation seviyesinden domain ölçeğine geçebiliyor.

15 Gerçek Vakada Saldırı Zinciri Nasıl İlerledi?

Sophos Counter Threat Unit, The Gentlemen ile ilişkilendirilen 15 ayrı network intrusion vakasını analiz ederek grubun affiliate'leri tarafından kullanılan tekrar eden bir post-compromise playbook ortaya koydu.

İncelenen vakalarda saldırganlar initial access sonrasında hızlı privilege escalation, lateral movement, data exfiltration, security-tool impairment ve backup disruption adımlarını izledi.

Sophos'un gözlemlediği vakalarda ilk post-compromise aktivite ile ransomware deployment arasındaki medyan süre yaklaşık iki gündü. En hızlı vakada ise ransomware deployment 24 saatten kısa sürede gerçekleşti.

Bu hız, şüpheli VPN erişimi veya privileged-account activity tespit edildiğinde investigation ve containment kararlarının uzun approval süreçlerine bırakılmasının riskini gösteriyor.

C:\PerfLogs Neden İzlenmeli?

Sophos araştırmasında birden fazla intrusion'da saldırganların araçlarını Windows'un normal C:\PerfLogs dizini altında stage ettiği görüldü.

Buraya yerleştirilen araçlar arasında:

• network discovery araçları,
• data-exfiltration utility'leri,
• backup araçları,
• EDR killer'lar,
• vulnerable driver'lar

bulunuyordu.

C:\PerfLogs meşru bir Windows dizini olduğu için güvenlik ekiplerinin yalnızca path reputation yaklaşımına güvenmesi bu davranışı kaçırabilir.

Beklenmeyen executable veya driver'ların C:\PerfLogs üzerinden çalıştırılması yüksek öncelikli hunting ve detection senaryosu olarak değerlendirilmelidir.

Exfiltration Tek Bir Araca Bağlı Değil

Sophos, analiz edilen olayların beşinde Rclone kullanımını gözlemledi.

Ancak saldırganların tek bir araca bağlı kalmadığı görüldü.

Bir intrusion sırasında saldırgan önce Rclone kullandı, daha sonra Restic backup utility'sine geçti ve ardından MinIO Client kullanarak object storage'a veri kopyalamayı denedi.

Bu davranış, yalnızca bilinen bir exfiltration aracının process adına odaklanan kontrollerin kolaylıkla aşılabileceğini gösteriyor.

Savunma ekipleri büyük outbound transferleri, yeni cloud-storage destination'larını ve alışılmadık backup/file-transfer utility kullanımını birlikte değerlendirmelidir.

EDR Killer ve BYOVD Kullanımı

Sophos CTU, The Gentlemen affiliate'lerinin EDR ve antivirus ürünlerini devre dışı bırakmak için çeşitli EDR-killer araçlarını kullandığını gözlemledi.

Bu araçların bir bölümü Bring Your Own Vulnerable Driver (BYOVD) tekniğinden yararlanarak vulnerable signed driver'lar üzerinden security process'lerini kernel seviyesinde durdurmaya çalışıyor.

Bir vakada saldırganın aynı EDR ürününü devre dışı bırakabilmek için üç farklı GentleKiller varyantını arka arkaya kullandığı görüldü.

Sophos ayrıca The Gentlemen operasyonlarında daha önce raporlanmamış Xkpsm-Killer kullanımını da gözlemledi.

Bu bulgular, EDR'nin kurulu olmasının security agent'ın kendisinin hedeflenmeyeceği anlamına gelmediğini gösteriyor.

Backup Servisleri Sistematik Olarak Hedefleniyor

Sophos'un incelediği intrusion'larda saldırganların backup ve recovery servislerini disable etmek için 200'den fazla command varyasyonu kullandığı görüldü.

Hedeflenen servisler arasında Veeam Backup, Backup Exec ve SQL Writer gibi enterprise recovery bileşenleri bulunuyordu.

Bu davranışın ransomware deployment'tan hemen önce tekrarlanması, backup servislerinin durmasının yalnızca operasyonel bir problem değil, olası ransomware precursor sinyali olarak değerlendirilmesi gerektiğini gösteriyor.

Domain Üzerinden Ransomware Dağıtımı

Sophos vakalarında ransomware farklı yöntemlerle çalıştırıldı:

• doğrudan local staging directory üzerinden,
• PsExec kullanılarak,
• UNC path üzerinden,
• domain-wide deployment için NETLOGON share'leri kullanılarak.

Bir saldırgan Domain Controller ve yüksek yetkili domain credential'larına erişim sağladığında ransomware deployment'ın tek tek endpoint'lerden bağımsız olarak merkezi biçimde gerçekleştirilebilmesi mümkündür.

Bu nedenle Active Directory compromise yalnızca bir identity problemi değil, ransomware blast-radius problemidir.

Sadece Windows Değil

The Gentlemen için raporlanan platform desteği:

• Windows
• Linux
• NAS
• BSD
• VMware ESXi

sistemlerini içeriyor.

Dolayısıyla ransomware blast radius yalnızca Windows endpoint sayısıyla ölçülmemeli.

Data Theft ve Recovery

Encryption'dan önce business-critical veriler exfiltrate edilebiliyor.

WinSCP, Rclone ve cloud-storage utility'leri gibi meşru araçlar kullanılabiliyor.

Encryption aşamasında ise VM, database, backup service ve diğer business-critical process'ler hedefleniyor.

BT Ekipleri Neyi Kontrol Etmeli?

Kaynaklar

• Sophos Counter Threat Unit — “Ungentlemanly behavior: Insights into a ransomware operation”
• BGD e-GOV CIRT — “The Gentlemen Ransomware: A Rapidly Scaling RaaS Threat Targeting Bangladesh”
• Barracuda — “The Gentlemen ransomware: Inside one of the fastest-growing extortion operations”

İlgili İçerikler

Diğer Gelişmeler