Bad Rabbit fidye yazılımı büyük bir yangın gibi yayılıyor. Zararlı fidye yazılımı olan Bad Rabbit, ele geçirdiği cihazları ve içinde verileri fidye ödenene kadar rehin tutuyor. Avrupa'daki kullanıcıları etkileyen yeni bir saldırı var, yaklaşık olarak 200 ana organizasyon siber saldırının kurbanı oldu. Peki, Bad Rabbit nedir? Korunmak için neler yapmak gerekiyor? Bad Rabbit bilgisayara nasıl bulaşıyor? Detaylar haberimizde...
FİDYE BEDELİ İSTENİYOR
Fidyeyi ödeyerek verilerini kurtarmak isteyen kurbanların derin web’te bulunan bir.onion uzantılı aderse gitmeleri gerekiyor. Bu adrese ulaşabilmek için TOR isimli tarayıcının ya da OrFox isimli mobil tarayıcının kullanılması gerekiyor.
Siber korsanlar her kurbana özel bir parola vererek, fidyeyi bu parolayı girerek yapmalarını istiyor. Verilen zamanda fidyeyi ödeyemeyenlerden ise daha yüksek meblağlar talep ediliyor. 0,05 Bitcoin günün kuruyla 275,59 dolar, yani 1.037 TL ediyor.
KURBANLAR GENELDE RUSYA'DAN
Bad Rabbit’ten en kötü şekilde etkilenenler Rusya ve Doğu Avrupa ülkeleri oldu. Almanya’dan da birçok kurumdan fidye istendiği belirtiliyor.
Rusya’nın büyük haber ajansları Interfax ve Fontanka’nın verileri siber korsanlar tarafından rehin tutulurken; Ukrayna’da durum daha vahim. Odessa Havaalanı, Kiev metro sisteminin ve Ukrayna Ulaştırma ve Haberleşme Bakanlığı verileri siber korsanlar tarafından rehin tutuluyor.
Slovakya merkezli dijital güvenlik şirketi ESET, Bad Rabbit kurbanlarının yüzde 65’inin Rusya’dan, yüzde 12,2’sinin ise Ukrayna’dan olduğunu açıkladı.
İNSANLARIN DALGINLIKLARINI GÖZETLİYORLAR
Siber güvenlik şirketleri Proofpoint ve Kaspersky Lab, Bad Rabbit kötücül yazılımının sahte bir Adobe Flash yükleme dosyasıyla yayıldığını saptadı. İlk olarak haber ve medya sitelerini hedef alan siber suçlular, bu siteleri yükleme dosyasını daha fazla kişiye ulaştırmak için kullandılar.
Bad Rabbit yayılmak için herhangi bir güvenlik açığını kullanmıyor. Sahte yükleme dosyasını indirmeyi kabul eden kullanıcılar virüsün yayılmasına davetiye çıkarıyorlar.
Dosyayı indirmeyi kabul eden kullanıcılar arka planda Bad Rabbit’in kötücül kodlarının bulunduğu 1dns.control.com adresine yönlendiriliyor.
BAD RABBİT'E KARŞI ÖNLEM İÇİN ÇALIŞIYOR
Dünyanın dört bir yanından güvenlik şirketleri, Bad Rabbit’e savaş açmış durumdalar. Cisco Talos, FireEye, ESET, McAfee, Avira ve Kaspersky Lab güvenlik uzmanları tehlikeye karşı çalışıyorlar.
Güvenlik şirketleri, Bad Rabbit’in fark edilmesinden 6 saat sonra virüsün yayılma noktası olarak kabul edilen web adresinin kapatıldığını fakat daha sonra yeniden aktif hale gelerek sistemleri eklemeye devam ettiğini bildirdi.
KURUMSAL YAPILARI HEDEFLİYOR
Yeni baş belası olan fidye yazılımının adı Bad Rabbit. Bu kötü yazılım hızlı şekilde yayılıyor. Ağırlıklı olarak Rusya, Almanya, Ukrayna ve Türkiye'deki kurumsal ağları hedef alıyor. Şimdiye kadar hedeflenen yerler içinde Kiev metrosu ödeme sistemi, Rus haber ajansları, Odessa Havalimanı ve Ukrayna'nın bir bakanlığı bulunuyor.
BAD RABBİT NE YAPIYOR?
Bu ransomware bilgisayara başarıyla bulaştıktan sonra verileri şifreliyor, yani bilgisayarı kilitliyor ve şifrenin açılması için kullanıcıdan para talep ediyor. Saldırganlar 0.05 bitcoin istiyor. Şifrenin çözülmesi için verilecek olan para yaklaşık 285 dolar. Saldırganlar tarafından ödeme için 40 saatlik süre tanınıyor.
NASIL BULAŞIYOR?
Bu bela yazılım, 24 Ekim'de Kaspersky Labs araştırmacıları tarafından tepit edildi. Orkhan Mamedov, Fedor Sinitsyn ve Anton Ivanov tarafından yayınlanan blog yazısında, Bad Rabbit'in kendini Adobe Flash güncellemesi olarak gösterdiğini ve böylece sistemlere bulaştığı belirtiliyor. Yani mağdur kullanıcı Bad Rabbit'i Adobe'un resmi güncellemesi sanıyor ve sonrasında sahte güncellemeyi yaptığında, virüs bilgisayara girmiş oluyor.
Kurban kişi tarafından indirilen dosya install_flash_player.exe olarak gözüküyor. Dosya otomatik olarak açılmıyor, tam tersi mağdur kullanıcı tarafından çalıştırılıyor. Böylece Bad Rabbit şüphe de çekmiyor. Fakat yazılımın düzgün çalışması için standart UAC sistemi aracılığıyla elde edilen üst düzey yönetici ayrıcalıkları gerekli. Adobe Flash Player görünümlü Bad Rabbit, çalıştırıldığında kötü niyetli DLL dosyasını C:Windowsinfpub.dat konumunda saklıyor. Daha sonra rundll32 komutuyla başlatılıyor.
Kaspersky araştırmacıları Bad Rabbit tehdidi altındaki web sitelerini ortaya çıkardı. Görünüşe göre çoğu da haber ve medya siteleri.
ESET'teki araştırmacılar ise Bad Rabbit'in Petya isimli (NotPetya, GoldenEye, Petrwrap veya exPetr olarak da bilinir) diğer bir tehlikeli yazılımın varyantı olduğunu keşfetti (Win32/Diskcoder.D). Açık kaynaklı sürücü şifreleme yazılımı olan Diskcryptor, Bad Rabbit tarafından virüs bulaşmış bilgisayrlarda RSA 2048 anahtarlarını kullanarak veri şifrelemesini gerçekleştiriyor.
ESET'deki araştırmacılarına göre yeni saldırı EternalBlue exploit'ini kullanmıyor, ancak iç ağ (SMB-Server Message Block) paylaşımlarını tarıyor ve ardından kötü amaçlı yazılımlara ulaşmak için kodlanmış ortak kimlik bilgisi listesini kullanıyor. Aynı zamanda virüs bulaşmış sistemlerden kimlik bilgilerini almak için Mimikatz isimli hack aracından yararlanıyor.
BAD RABBİT'E KARŞI ALINACAK GÜVENLİK ÖNLEMLERİ NEDİR?
Bilgi Teknolojileri ve İletişim Kurumu ve USOM, Bad Rabbit'e karşı kullanıcıları uyardı ve şu önerilerde bulundu:
-Güvenli olmayan kaynaklardan dosya indirilmemesi ve çalıştırılmaması
-Son kullanıcılarda 'local admin' yetkisine sahip kullanıcıların kullanılmaması
-Basit parola ve jenerik kullanıcı isimlerinin kullanılmaması
-Sistemlerin yama yönetiminin düzenli uygulanması
-Antivirüs yazılımı kullanımı (Çeşitli antivirüs yazılımlarının söz konusu zararlı yazılımı engellediği bilindiğinden, son kullanıcı makinaları ve sunucularda antivirüs yazılımlarının aktif ve tanımlarının güncel tutulması)
-WMIC (Windows Management Instrumentation Command-line) kullanımının engellenmesi
Not: Bazı sistemlerde WMI farklı amaçlarla kullanılmaktadır ve kapatılması farklı sorunlara neden olabilir.
Kaspersky de bilinmeyen kişilerden gelen e-postalardaki eklerin ve üçüncü parti platformlardan yazılım yüklenmemesini tavsiye ediyor.
YARATICILARI GAME OF THRONES HAYRANI
Bad Rabbit’in ardındaki kimliği bilinmeyen siber korsanların Game of Thrones hayranı olduğu ortaya çıktı.
Kötücül yazılımın kod dizinlerini inceleyen güvenlik uzmanları, Game of Thrones serisindeki ejderhaların isimleri Viserion, Drogon ve Rhaegal’ın isimlerini rastladılar.