Medusa
Medusa fidye yazılımı, hızlı şifreleme yetenekleri ve benzersiz dağıtım teknikleriyle bilinen, öncelikle fidye ödemelerini zorla almak amacıyla çeşitli sektörlerdeki kuruluşları hedef alan sofistike bir siber tehdittir.
Medusa fidye yazılımının kökeni
Medusa veya MedusaBlog, en azından 2023'ün başından beri kuruluşları aktif olarak hedef alan sofistike bir fidye yazılımı grubudur. Grup, hızlı şifreleme yetenekleri ve malware adresini yaymak için kullandığı benzersiz tekniklerle ün kazanmıştır ve MedusaLocker ile ilişkili görünmektedir. "Medusa" adı, grubun mecazi olarak "dosyaları taşa çevirme" ve fidye ödenene kadar kullanılamaz hale getirme eğilimini yansıtmaktadır.
Kaynak: Unit42 ve OCD
Hedefler
Medusa'nın hedefleri
Medusa fidye yazılımının hedef aldığı ülkeler
Medusa'nın saldırılarının çoğu Amerika Birleşik Devletleri'nde yoğunlaşmıştır, ancak Birleşik Krallık, Kanada ve Avustralya gibi ülkelerde de önemli olaylar rapor edilmiştir. Bu dağılım, kapsamlı dijital altyapılara sahip gelişmiş ülkelere odaklanıldığını göstermektedir.
Kaynak: Unit42
Medusa fidye yazılımının hedef aldığı sektörler
Medusa fidye yazılımı çok çeşitli sektörleri etkilemiştir. Yüksek değerli hedefler arasında sağlık, üretim, eğitim ve profesyonel hizmetler yer alıyor ve bu da grubun kritik ve hassas bilgileri işleyen sektörlere saldırma stratejisini yansıtıyor.
Kaynak: Unit42
Medusa fidye yazılımının hedef aldığı sektörler
Medusa fidye yazılımı çok çeşitli sektörleri etkilemiştir. Yüksek değerli hedefler arasında sağlık, üretim, eğitim ve profesyonel hizmetler yer alıyor ve bu da grubun kritik ve hassas bilgileri işleyen sektörlere saldırma stratejisini yansıtıyor.
Kaynak: Unit42
Medusa fidye yazılımının kurbanları
Medusa 2023'ten bu yana 235'ten fazla kurbanı hedef almıştır.
Kaynak: ransomware.live
Saldırı Yöntemi
Medusa fidye yazılımının saldırı yöntemi
Medusa genellikle uzak masaüstü protokollerindeki (RDP) güvenlik açıklarından faydalanarak ve phishing kampanyalarını kullanarak erişim elde eder. Ayrıca, çeşitli yollarla elde edilen tehlikeye atılmış kimlik bilgilerini de kullanırlar.
Medusa bir ağa girdikten sonra, ayrıcalıkları yükseltmek ve sistem içinde daha güçlü bir yer edinmek için PsExec gibi araçlar kullanır.
Grup, PowerShell komut dosyalarını kullanarak güvenlik araçlarını devre dışı bırakır ve tespit edilmekten kaçınmak için kayıt defteri ayarlarını değiştirir. Ayrıca kötü amaçlı kodları gizlemek için dize şifreleme tekniklerini kullanırlar.
Medusa, çeşitli komut satırı araçları ve komut dosyaları kullanarak kimlik bilgilerini toplar ve ağ üzerinde yanal olarak hareket etmelerini sağlar.
Değerli hedefleri belirlemek ve ağ topolojisi hakkında bilgi toplamak için Netscan gibi araçları kullanarak kapsamlı ağ keşifleri gerçekleştirirler.
Medusa, çalınan kimlik bilgilerinden yararlanarak ağ içinde yanal olarak hareket etmek için RDP ve SMB gibi meşru araçları ve protokolleri kullanır.
Fidye yazılımı, virüs bulaşmış sistemlerden hassas verileri toplayarak dışarı sızmaya hazırlar.
Fidye yazılımı dosyaları AES256 şifreleme kullanarak şifreler ve etkilenen dosyalara ".medusa" uzantısını ekler.
Veriler saldırganlar tarafından kontrol edilen uzak sunuculara sızdırılır. Bu veriler daha sonra kurbanlara fidye ödemeleri için baskı yapmak amacıyla kullanılır.
Son aşamada, genellikle "!!!read_me_medusa!!!.txt" olarak adlandırılan ve kurbanlara dosyalarının şifresini çözmek için fidyeyi nasıl ödeyecekleri konusunda talimat veren bir fidye notu bırakılır. Grup, fidye işlemlerini güvence altına almak için RSA ve AES şifrelemesinin bir karışımını kullanıyor.
İlk Erişim
Medusa genellikle uzak masaüstü protokollerindeki (RDP) güvenlik açıklarından faydalanarak ve phishing kampanyalarını kullanarak erişim elde eder. Ayrıca, çeşitli yollarla elde edilen tehlikeye atılmış kimlik bilgilerini de kullanırlar.
Ayrıcalık Yükseltme
Medusa bir ağa girdikten sonra, ayrıcalıkları yükseltmek ve sistem içinde daha güçlü bir yer edinmek için PsExec gibi araçlar kullanır.
Savunma Kaçırma
Grup, PowerShell komut dosyalarını kullanarak güvenlik araçlarını devre dışı bırakır ve tespit edilmekten kaçınmak için kayıt defteri ayarlarını değiştirir. Ayrıca kötü amaçlı kodları gizlemek için dize şifreleme tekniklerini kullanırlar.
Kimlik Bilgileri Erişimi
Medusa, çeşitli komut satırı araçları ve komut dosyaları kullanarak kimlik bilgilerini toplar ve ağ üzerinde yanal olarak hareket etmelerini sağlar.
Keşif
Değerli hedefleri belirlemek ve ağ topolojisi hakkında bilgi toplamak için Netscan gibi araçları kullanarak kapsamlı ağ keşifleri gerçekleştirirler.
Yanal Hareket
Medusa, çalınan kimlik bilgilerinden yararlanarak ağ içinde yanal olarak hareket etmek için RDP ve SMB gibi meşru araçları ve protokolleri kullanır.
Koleksiyon
Fidye yazılımı, virüs bulaşmış sistemlerden hassas verileri toplayarak dışarı sızmaya hazırlar.
Yürütme
Fidye yazılımı dosyaları AES256 şifreleme kullanarak şifreler ve etkilenen dosyalara ".medusa" uzantısını ekler.
Sızma
Veriler saldırganlar tarafından kontrol edilen uzak sunuculara sızdırılır. Bu veriler daha sonra kurbanlara fidye ödemeleri için baskı yapmak amacıyla kullanılır.
Etki
Son aşamada, genellikle "!!!read_me_medusa!!!.txt" olarak adlandırılan ve kurbanlara dosyalarının şifresini çözmek için fidyeyi nasıl ödeyecekleri konusunda talimat veren bir fidye notu bırakılır. Grup, fidye işlemlerini güvence altına almak için RSA ve AES şifrelemesinin bir karışımını kullanıyor.
MITRE ATT&CK Haritalama
Medusa fidye yazılımı tarafından kullanılan TTP'ler
Medusa fidye yazılımı MITRE ATT&CK çerçevesiyle uyumlu çeşitli TTP'ler kullanmaktadır. Temel TTP'lerden bazıları şunlardır:
TA0001: Initial Access
T1566
Phishing
T1133
External Remote Services
T1078
Valid Accounts
TA0002: Execution
T1059
Command and Scripting Interpreter
TA0003: Persistence
T1098
Account Manipulation
T1078
Valid Accounts
TA0004: Privilege Escalation
T1078
Valid Accounts
TA0005: Defense Evasion
T1112
Modify Registry
T1027
Obfuscated Files or Information
T1070
Indicator Removal
T1562
Impair Defenses
T1078
Valid Accounts
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
T1046
Network Service Discovery
T1018
Remote System Discovery
TA0008: Lateral Movement
T1021
Remote Services
TA0009: Collection
T1115
Clipboard Data
TA0011: Command and Control
T1105
Ingress Tool Transfer
TA0010: Exfiltration
T1041
Exfiltration Over C2 Channel
TA0040: Impact
T1486
Data Encrypted for Impact
Platform Tespitleri
Medusa fidye yazılımı nasıl tespit edilir Vectra AI
Sıkça Sorulan Sorular
Medusa'nın birincil erişim yöntemi nedir?
Medusa öncelikle uzak masaüstü protokollerindeki (RDP) güvenlik açıklarından faydalanır ve ilk erişimi elde etmek için phishing kampanyalarını kullanır.
Medusa fidye yazılımı tespit edilmekten nasıl kaçıyor?
Güvenlik araçlarını devre dışı bırakmak ve tespit edilmekten kaçınmak için PowerShell komut dosyaları kullanır ve kayıt defteri ayarlarını değiştirirler.
Medusa fidye yazılımı en çok hangi sektörleri hedef alıyor?
Sağlık, imalat, eğitim ve profesyonel hizmetler en çok hedeflenen sektörler arasında yer alıyor.
Medusa fidye yazılımı hangi şifreleme yöntemlerini kullanır?
Medusa, fidye yazılımı işlemlerini güvence altına almak ve kurban dosyalarını şifrelemek için RSA ve AES256 şifrelemesinin bir kombinasyonunu kullanır.
Medusa fidye yazılımı verileri nasıl sızdırır?
Veriler, tespit edilmekten kaçınmak için genellikle güvenli kanallar üzerinden saldırganlar tarafından kontrol edilen uzak sunuculara sızdırılır.
Medusa tarafından kullanılan tipik fidye notu adı nedir?
Fidye notu genellikle "!!!read_me_medusa!!!.txt" olarak adlandırılır.
Medusa fidye yazılımı ağ keşfi için hangi araçları kullanıyor?
Medusa, ağ keşfi ve değerli hedefleri belirlemek için Netscan gibi araçlar kullanır.
Medusa fidye yazılımı yanal hareketi nasıl başarıyor?
RDP ve SMB gibi meşru araç ve protokolleri kullanarak çalıntı kimlik bilgileriyle yanlara doğru hareket ederler.
Kurumlar Medusa fidye yazılımına karşı nasıl korunabilir?
Düzenli yama uygulama, çok faktörlü kimlik doğrulama kullanma ve olağandışı faaliyetler için ağ trafiğini izleme gibi güçlü güvenlik önlemleri uygulamak Medusa'ya karşı korunmaya yardımcı olabilir.
XDR çözümleri Medusa fidye yazılımına karşı savunmada nasıl bir rol oynayabilir?
XDR çözümleri, uç noktalar, ağlar ve bulut ortamlarındaki şüpheli etkinlikleri tespit edip azaltarak kapsamlı görünürlük ve otomatik yanıt yetenekleri sağlar.