Avrupa polisi StealC altyapısını bu yıl ikinci kez çökertti; 6,4 milyon çalıntı kimlik bilgisi bulundu
Almanya ve Hollanda öncülüğündeki operasyonda StealC infostealer'ının yeniden kurulan altyapısına ait 100'ü aşkın sunucu kapatıldı. Europol'e göre geniş çaplı eylemde StealC, Gootloader ve CastleRAT'a ait 235 sunucu ve 257 alan adı etkisiz hale getirildi.
Avrupa kolluk kuvvetleri, parola ve oturum bilgisi çalan StealC zararlısının altyapısına bu yıl ikinci kez darbe vurdu. The Record'un aktardığına göre bu hafta yürütülen operasyonda StealC'ye ait 100'den fazla sunucu kapatıldı. Alman makamları perşembe günü yaptığı açıklamada, yeniden kurulan ağın Ekim ayında FBI tarafından el konulan Virtualine adlı bulletproof hosting sağlayıcısına kadar izlendiğini bildirdi. Soruşturmaya Frankfurt polisi ve Hollanda Ulusal Yüksek Teknoloji Suçları Birimi destek verdi.
Europol, aynı hafta daha geniş bir uluslararası eylemde kolluk ve özel sektör ortaklarının StealC, Gootloader ve CastleRAT tarafından kullanılan toplam 235 sunucu ve 257 alan adını etkisiz hale getirdiğini açıkladı. Almanya, Hollanda, İngiltere ve ABD dahil dokuz ülkenin polisi operasyona katıldı.
Ne bulundu?
Soruşturmacılar, bu zararlıların topladığı yaklaşık 6,4 milyon çalıntı oturum açma bilgisinin kopyalarına ulaştı; bilgiler 40.000'den fazla mağdura ait. Bu kez gözaltı, kripto para el koyma ya da suçlama duyurulmadı. Yetkililer ve Microsoft Haziran'daki ilk operasyonda yüzlerce sunucu ve alan adını kapatmış, 41 milyon euroluk kripto varlığa erişimi kısıtlamıştı.
Almanya Federal Kriminal Polis Dairesi (BKA) siber suç birimi başkanı Carsten Meywirth, operasyonun uzun vadeli ve hızlı müdahale stratejisinin parçası olduğunu söyledi. Meywirth'e göre polis eyleminden sonra altyapısını yeniden kuran her grup, izlenecek yeni iz bırakıyor.
Neden önemli?
Infostealer'lar, ransomware ve hesap ele geçirme saldırılarında initial access için en çok kullanılan araçlar arasında. Çalınan oturum çerezleri ve parolalar MFA'yı da atlatmaya yarayabildiği için tek bir enfekte cihaz kurumsal ağa giriş kapısı olabiliyor. Altyapının Haziran'dan sonra yeniden kurulması ve bulletproof hosting üzerinden yaşatılması, bu tür operasyonların kalıcı çözüm değil, maliyeti artıran bir baskı olduğunu gösteriyor.
Ne yapılmalı?
- Bireyler, yetkililerin önerdiği Hollanda polisinin Check your hack sayfası ve Have I Been Pwned üzerinden e-posta adreslerinin etkilenip etkilenmediğini kontrol edebilir; etkilenen hesaplarda parola değiştirilmeli ve tüm oturumlar kapatılmalı.
- Kurumlar, tarayıcıda parola saklama politikasını gözden geçirmeli; kurumsal hesaplar için parola yöneticisi ve phishing'e dayanıklı MFA kullanılmalı.
- EDR kayıtlarında tarayıcı parola ve çerez dosyalarına olağan dışı süreçlerin erişimi ile bilinmeyen adreslere giden kısa ömürlü bağlantılar izlenmeli.
- Infostealer bulaşması tespit edilen cihazda yalnızca zararlıyı temizlemek yetmez; o cihazda kullanılan tüm hesapların parolaları ve oturum token'ları yenilenmeli.
