AceCryptor saldırıları hızla yükseliyor
2023 Yılının İlk ve İkinci Yarısında AceCryptor Saldırıları ile İlgili Zorlu Tespitler
2023 yılının ilk ve ikinci yarısı arasında AceCryptor saldırıları ile ilgili tespitler üç katına çıktı. Bu dönemde, güvenlik araştırmacıları AceCryptor ile Rescoms RAT arasında dikkate değer bir değişiklik tespit etti. Rescoms, kötü niyetli saldırganlar tarafından AceCryptor kripto hizmeti ile birleştirilerek kullanılmaya başlandı. Bu durum, öncesinde görülmemiş bir gelişmeydi.
Rescoms genellikle kötü niyetli amaçlarla kullanılan bir uzaktan erişim aracı (RAT) iken, AceCryptor ise kötü amaçlı yazılımların tespit edilmesini engellemek için kullanılan bir kripto hizmetidir.
Güvenlik araştırmacıları, dağıtılan kötü amaçlı yazılımların davranışlarına bakarak, bu kampanyaların temel amacının hedeflenen şirketlere yönelik daha fazla saldırı gerçekleştirmek için e-posta ve tarayıcı kimlik bilgilerini ele geçirmek olduğunu öne sürmektedir.
AceCryptor ile paketlenmiş Rescoms RAT örneklerinin çoğu, Orta Avrupa (Polonya, Slovakya), Balkanlar (Bulgaristan, Sırbistan) ve İspanya gibi Avrupa ülkelerini hedef alan çok sayıda spam kampanyasında ilk uzlaşma vektörü olarak kullanıldı.
2023’ün ilk yarısında AceCryptor tarafından paketlenen kötü amaçlı yazılımlardan en çok etkilenen ülkeler arasında Peru, Meksika, Mısır ve Türkiye bulunurken, en yoğun saldırı Peru’da gerçekleşti.
Rescoms’un spam kampanyaları, 2023’ün ikinci yarısında bu istatistikleri önemli ölçüde değiştirdi. Sonuç olarak, Avrupa ülkeleri daha çok etkilenmeye başladı.
2023’ün ikinci yarısında gözlemlenen AceCryptor örnekleri genellikle iki kötü amaçlı yazılım ailesi olan Rescoms ve SmokeLoader’ı içermekteydi. Ukrayna’daki artışın nedeni, SmokeLoader olarak belirlendi.
Polonya, Slovakya, Bulgaristan ve Sırbistan gibi ülkelerdeki artan aktivite ise Rescoms içeren AceCryptor kaynaklıydı. Saldırganlar, Polonya’daki işletmeleri hedef alan tüm spam kampanyalarında, kurban şirketler için benzer konulu e-postalar kullanarak detaylı bir çalışma gerçekleştirdi.
Saldırganlar, e-postaları imzalarken gerçek Polonyalı şirket isimlerini ve hatta çalışan veya şirket sahibi isimlerini ve iletişim bilgilerini kullanarak mümkün olduğunca inandırıcı görünmeye çalıştılar. Bu, kurbanın kötü amaçlı ekleri açmasını sağlamak amacıyla yapıldı.
Bu saldırıları gerçekleştiren grubun amacının kimlik bilgilerini toplamak olduğu ya da bu bilgilerin daha sonra başka tehdit aktörlerine satılıp satılmayacağı kesin değil, ancak başarılı bir saldırının, özellikle fidye yazılımı saldırıları için daha fazla kötü niyetli eyleme yol açabileceği düşünülüyor.
