LockBit 5.0 Actua'yı listeye aldı: dağınık sızıntılar ve kolay takedownların sonu
LockBit yıllardır ransomware'in en tanınır markasıydı: 2024'teki koordineli uluslararası takedown'dan kurtuldu ve artık 5.0 okuyan versiyon numaralandırması altında yeniden inşa edildi. En son listelemesi, şantaj playbook'unun ne kadar az yavaşladığını gösteriyor. ZATAZ'ın aktardığı bulgulara göre ekip, Fransız bir geçici iş ve personel grubu olan Actua'nın ele geçirildiğini iddia ediyor ve çalınan dosyaları eylül başı itibarıyla yayınlamaya başlayacağını söylüyor.
Tehdit edilen ganimet acıtacak kadar spesifik. LockBit'in darkweb kaydı, 100.000'den fazla işe alınan kişiye ait pasaportlar, diplomalar, CV'ler ve sigorta belgeleri içeren bir dosya seti tarif ediyor. Actua butik bir hedef değil: grup 37 acente işletiyor, 1.800'den fazla iş ortağıyla çalışıyor ve ayda yaklaşık 3.000 geçici işçi yerleştiriyor. İnsan kaynakları firması, tasarımı gereği, ransomware ekiplerinin sallamayı sevdiği kimlik evraklarının tam da deposudur.İddia ile herkesin doğrulayabileceği arasındaki fark
Temkinliliğin karşılığını aldığı yer burası. ZATAZ, LockBit'in şimdiye dek yayınladığı hiçbir şeyin ne hacmi ne de sızma vektörü bağımsız doğrulamaya izin vermediğine dikkat çekiyor. 100.000 kişi rakamı doğrudan saldırganlardan geliyor ve adı geçen her kişinin her dosya kategorisinde görüneceği sonucunu taşımıyor. İddia, sızanların nasıl girdiği, ilk kez ne zaman erişim kazandığı ya da ne kadar kaldığı hakkında hiçbir şey söylemiyor. ZATAZ'ın gözlemlediği gibi, suçluların bir bölge ofisindeki tek bir bilgisayardan fazlasına dokunmamış olması tamamen mümkün. Manşet sayısı ile kanıtlanabilir gerçeklik arasındaki bu boşluk, bu olaya özgü bir merak değil. Leak-site listelemeleri pazarlama belgeleridir. Kurban sayıları şişirilir, dosya kategorileri birbirine karışır ve en korkutucu ifade, altta yatan arşiv uysun uymasın ilgiyi kazanır. Tarih, iddia edilen megabaytların dump'lar gerçekten indikten sonra dramatik biçimde küçüldüğü örnekler bolca sunar. Dosyalar yüzeye çıkıp biri onları sayana dek, Actua iddiası hakkında dürüst tarif şudur: doğrulanmamış, şekli makul, ölçeği kanıtlanmamış. Actua ise yorum taleplerine yanıt vermedi. Bir listelemenin ilk günlerinde sessizlik olağandır, özellikle Fransız veri koruma bildirim yükümlülükleri hallolurken. Ama adayları ve geçici işçileri rahatsız bir konumda bırakıyor: tehdit kamuya açık, kanıtlar değil ve eylül yakın.Bir anda on depolama konumu
Gerçekten yeni olan unsur taktiksel. Tek bir dump URL'i vaat etmek yerine, LockBit 5.0 sızıntıyı aynı anda on farklı depolama konumuna dağıtma niyetini ilan ediyor. ZATAZ bunu doğru olarak bir dağıtma stratejisi olarak okuyor: erişilebilirlik noktalarını çoğaltmak, herhangi birini kaldırmanın az şey başarmasını ve hızlı takedown'un yargı bölgeleri ve sağlayıcılar arasında bir whack-a-mole egzersizine dönüşmesini sağlıyor. Bağlam hamleyi okunur kılıyor. Şubat 2024'te Cronos Operasyonu LockBit altyapısını düzinelerce sunucuda ele geçirdi, leak-site sayfalarını kolluk bayraklarıyla değiştirdi ve markayı genelde küçük düşürdü (KrebsOnSecurity). Operasyon, LockBit yayıncılığını bulunabilir ve alınabilir altyapıda yoğunlaştırdığı için işe yaradı. Dağıtılmış sızıntılar bu dersin doğrudan cevabı: yük, kimse nerede olduğunu bilmeden on yerde duruyorsa, birini ele geçirmek neredeyse hiçbir şeyi değiştirmiyor.Dağıtmanın takip açısından anlamı
Leak-site erişilebilirliğini takip edenler için bu, kurban sayısından daha önemli. Eski model bir boğum varsayıyordu: şantaj blogunu ya da CDN'ini düşür, baskı kampanyası tıkanır. Dağıtma boğumu kaldırıyor. Tek bir endpointin uptimeı anlamlı bir sinyal olmayı bırakıyor, çünkü kampanya kısmi kesintileri tasarımla hayatta kalıyor. İzleme, tek bir onion adresinden değişken bir yansıma, bucket ve paste-tarzı host setine genişlemeli; bunların bazıları hiç onion service olmayabilir. Bu, tekrarlanan el konmalardan sonra resmi-link listeleri ve yedekli yansımaların hayatta kalma teçhizatına dönüştüğü darknet market tarihinden uzun süredir tanıdık bir örüntüyü yansıtıyor. Bu silah yarışının mekaniklerini yansımalar neden offline görünüyor konulu yazımızda ele aldık ve aynı dinamikler burada da geçerli: yedeklilik tek-nokta kaldırmayı yener, ama ölü linklerin, sahte kopyaların ve ölü endpointlerin biriktiği yüzeyleri de çoğaltır. Dağıtılmış bir sızıntı, on konumun bazılarının günler içinde sahte, bozuk ya da tuzaklı olacağını garanti eder.Önümüzdeki haftaları okumak
Pratik çıkarım üçe ayrılıyor:- Takip edilen kişiler için makul duruş panik olmadan tedbirdir: 100.000 rakamını doğrulanmamış sayın, gerçek yayını gözleyin ve gerçek belgeler ortaya çıkıp çıkmamasından bağımsız olarak phishing dalgalarının manşetleri sömüreceğini varsayın.
- Savunucular için ders, eylül başının saldırganın koyduğu bir son tarih olduğudur ve bu türde son tarihler sürekli kayar; geri sayımlar doğruluk için değil, aciliyet yaratmak için var.
- Analiste ve izleyiciler için on eşzamanlı drop noktası, erişilebilirlik takibinin dağıtım-farkında olması gerektiği anlamına gelir: kampanyaları tek bir sitenin çözülüp çözülmediğine göre değil, kaç canlı konum kaldığına göre puanlayın.