ABD Adalet Bakanlığı Gootloader'ın bilançosunu açıkladı: 25 bin cihaz, en az 44 ransomware kurbanı, 28,8 milyon dolar zarar
Operation Endgame'in son ayağına ilişkin yeni ayrıntılar geldi. Adalet Bakanlığı'na göre 2018'den beri var olan Gootloader dünya genelinde 25 bin cihaza bulaştı; ABD'de 44'ten fazla ransomware kurbanının ilk bulaşması bu zararlıyla oldu.
ABD Adalet Bakanlığı, bu hafta altyapısı çökertilen Gootloader zararlısına ilişkin yeni ayrıntılar paylaştı. The Record'un 13 Kasım'da aktardığına göre yetkililer, 2018'den beri faaliyette olan Gootloader'ın dünya genelinde 25 bin cihaza bulaştığını ve ABD'de 44'ten fazla ransomware kurbanının ilk bulaşmasının bu zararlı üzerinden gerçekleştiğini, toplam zararın 28,8 milyon dolar olduğunu açıkladı.
Bu, StealC altyapısına yönelik operasyon haberimizin devamı. Perşembe günkü uluslararası operasyonda StealC'nin 100'den fazla sunucusu kapatılmış; Gootloader ve CastleRAT'ı da kapsayan daha geniş müdahalede toplam 235 sunucu ve 257 domain devre dışı bırakılmıştı.
Yeni açıklananlar
- Adalet Bakanlığı, Gootloader'ı ele geçirilmiş web siteleri dahil 100'den fazla sunucudan kaldırdığını ve zararlının dağıtımı ile kontrolünde kullanılan birkaç domain'e el koyduğunu bildirdi.
- FBI yetkilisine göre saldırganlar, ele geçirilmiş web sitelerinden oluşan ağı binlerce bilgisayara Gootloader bulaştırmak için kullandı; bu erişim sonradan ransomware dağıtımına zemin hazırladı.
- Bu hafta açılan mahkeme belgelerine göre kurbanlar Gootloader'ı genellikle farkında olmadan indirdi ve cihazları bir botnet'e eklendi.
- ABD Savunma Bakanlığı yetkilisi, zararlının bakanlığı ve savunma sanayii tabanını da hedef aldığını söyledi.
- Shadowserver Foundation, internet servis sağlayıcıları ve ulusal CSIRT'lerle birlikte bulaşmış sistemleri belirleyip kurbanları bilgilendiriyor. El konulan domain'lerde artık el koyma bildirimi görünüyor.
Neden önemli?
Rakamlar, bir loader'ın ransomware ekonomisindeki yerini somutlaştırıyor: Gootloader şifrelemeyi kendisi yapmıyor, başkalarına initial access sağlıyor. Operasyonun kurban bildirimi ve temizleme ayağı olması da dikkat çekici; altyapının kapanması, daha önce bulaşmış cihazlardaki izlerin kendiliğinden kaybolduğu anlamına gelmiyor.
Müdahale, daha önce DanaBot, IcedID, SystemBC, Pikabot, SmokeLoader, Bumblebee ve Trickbot altyapılarını hedef alan Operation Endgame'in parçası.
Ne yapılmalı?
- CSIRT ya da servis sağlayıcınızdan gelen bulaşma bildirimlerini ciddiye alın. Shadowserver raporlarına abone değilseniz kurumunuzun IP aralıkları için abonelik açmayı değerlendirin.
- Bildirim aldıysanız cihazı yalnızca temizlemekle yetinmeyin. Loader bulaşması, o cihazdan kimlik bilgisi çalınmış ve erişimin el değiştirmiş olabileceği anlamına gelir; ilgili hesapların parolalarını ve oturum token'larını yenileyin, sonraki hareketleri inceleyin.
- Arama sonuçlarından indirilen belge ve şablonlara dikkat edin. Mahkeme belgelerindeki ifadeyle kurbanlar zararlıyı farkında olmadan indirdi; kullanıcıların internetten indirdiği arşiv ve betik dosyalarının çalıştırılmasını EDR ve uygulama denetimi politikalarıyla sınırlayın.
- Web sitenizi kontrol edin. Dağıtım ağı ele geçirilmiş sitelerden oluşuyordu; CMS ve eklentilerin patch durumunu, sitede sizin eklemediğiniz sayfa ya da betik olup olmadığını gözden geçirin.
