FARGO Fidye Yazılımı İnternet Hizmetlerini Şifrelemek İçin MS-SQL Sunucularına Saldırıyor

ASEC (AhnLab Güvenlik Acil Durum Müdahale Merkezi) analiz ekibindeki siber güvenlik uzmanları, saldırılara karşı savunmasız olan Microsoft SQL sunucularının yeni bir saldırı dalgasında FARGO adlı fidye yazılımı tarafından hedef alındığı konusunda uyardı.

MS-SQL sunucusu, internet hizmetleri ve uygulamalarıyla ilgili verileri depolamak ve yönetmek için kullanılan bir sistemdir. Kesintiye uğramaları durumunda, işletmeler için ciddi sonuçlar doğurabilir.

Yeni saldırı dalgasının daha yıkıcı olduğu görülüyor, veritabanı sahiplerini avlamayı ve hızlı bir kar elde etmek için veritabanlarından kilitlemeyi amaçlıyor.

FARGO Fidye Yazılımı

GlobeImposter gibi popüler fidye yazılımı programları arasında FARGO fidye yazılımı, savunmasız olan Microsoft SQL Server veritabanlarını hedeflemesiyle de ünlüdür. Bu fidye yazılımı, .mallox dosya uzantısına sahip olması nedeniyle geçmişte Mallox olarak da biliniyordu.

Bu yılın Şubat ayında, Avast araştırmacıları, bu virüs tarafından şifrelenen bazı dosyaların bazı durumlarda ücretsiz olarak kurtarılabileceğini vurguladı ve "TargetCompany" olarak adlandırılan aynı tür olduğuna işaret etti.

ID Ransomware platformunda önemli sayıda FARGO dosya şifreleyen kötü amaçlı yazılım saldırısı bildirilmiştir, bu da fidye yazılımının hala aktif olduğu anlamına gelir.

Enfeksiyon Zinciri

MS-SQL, süreçleri aracılığıyla cmd(.)exe ve powershell(.)exe kullanarak .Net tabanlı bir dosyayı sisteme indirir.

Bu yöntemi kullanarak, belirli bir konumdan ek kötü amaçlı yazılımlar indirilecek ve yüklenecektir.

Belirli işlemlerin ve hizmetlerin kapatılabileceği %temp% dizinine yüklenen ve yürütülen kötü amaçlı yazılım tarafından bir BAT dosyası oluşturulur.

Fidye yazılımının davranışı, Windows'ta standart bir program olan AppLaunch(.)exe'ye sızmasıyla başlar. Bunu takiben kurtarma deaktivasyon komutu yürütülür ve belirli bir yoldaki kayıt defteri anahtarı silinmeye çalışılır ve bazı işlemler kapatılır.

Fidye notu

Şifreleme işlemi biter bitmez kilitli dosyalar, ünitenin kendisi tarafından eklenen “.Fargo3” uzantısı ile yeniden adlandırılır. Daha sonra, fidye notu kötü amaçlı yazılım tarafından oluşturulur.

Fidyeyi ödemek için, tehdit aktörü kurbanları, talep edilen fidyeyi ödemezlerse çalınan dosyalarını Telegram kanallarına sızdıracakları konusunda tehdit ediyor.

Hesap kimlik bilgilerinin kötü yönetildiği sistemlerde, kaba kuvvet saldırıları ve sözlük saldırıları, veritabanı sunucularını hedef alan tipik saldırı türleridir.

Bir siber suçlu, önceki yönteme alternatif olarak, hedef tarafından yamalanmamış bilinen güvenlik açıklarından da yararlanmaya çalışabilir.

Öneriler

Aşağıda önerilerden bahsettik:

• Her zaman güçlü ve benzersiz parolalar kullanın.
• Makineyi güncel tuttuğunuzdan emin olun.
• Parolaları düzenli aralıklarla değiştirin.
• Her zaman en son yamaya güncelleyin.

Vereceğim öneriler bu kadardı yazımı okuduğunuz için teşekkürler eder, Saygılar ve sevgilerle.