Operasyon Cronos, dünyanın en üretken fidye yazılımı çetesini LockBit'i nasıl çökertti

Şubat 2024'te LockBit'in dark web'deki sızma sitesini açan herkes alışık olmadıkları bir manzarayla karşılaştı: İngiltere Ulusal Suç Ajansı'nın (NCA), FBI'ın ve birçok ülkeden polis teşkilatlarının rozetleri. Sayfa ele geçirilmişti. dev.to'da yayımlanan ayrıntılı operasyon anlatımına göre bu el koyma, dünyanın en üretken fidye yazılımı operasyonuna yapılan çok daha derin bir sızmanın yalnızca görünür kısmıydı.

Büyük ölçekte bir suç franchise'ı

LockBit 2019 civarında ortaya çıktı ve kayıtlardaki en üretken fidye yazılımı örgütüne dönüştü. dev.to'daki yazıya atıf yapılan ABD Adalet Bakanlığı, bilançosunu 2.000'den fazla kurban ve toplanan 120 milyon doları aşan fidye olarak açıkladı.

Çete, hizmet olarak fidye yazılımı (ransomware-as-a-service) modeliyle çalışıyordu: Çekirdek bir ekip şifreleyiciyi, müzakere panelini ve sızma sitesini geliştirirken, bağımsız affiliate'lar sistemlere sızma işini yürütüyor ve payload'ı dağıtıyor, her ödemenin daha büyük payını kendilerine alıyorlardı. Operasyonun destek personeli vardı, yazılım güncellemeleri yayımlıyor, hatta kendi zararlı yazılımı için bir bug bounty programı bile işletiyordu. LockBitSupp takma adını kullanan patronu, anonimliğine o kadar güveniyordu ki kimliğini açıklayabilecek kişiye kamuya açık biçimde 10 milyon dolar teklif etti — pişman olacağı bir bahisti bu.

Operasyon Cronos

19 ve 20 Şubat 2024'te FBI, Europol ve yaklaşık on ülkedeki ortakların dahil olduğu, NCA öncülüğündeki bir operasyon çetenin kalbine vurdu. dev.to'da anlatıldığı gibi araştırmacılar LockBit'in yönetim platformunun ve sızma sitesinin kontrolünü ele geçirdi, sunuculara ve kripto para hesaplarına el koydu, kurbanların ödeme yapmak yerine dosyalarını kurtarmasını sağlayan yaklaşık bin şifre çözme anahtarı güvence altına aldı ve sisteme sızmaktan sorumlu affiliate'lar hakkında istihbarat topladı.

Polisin ardından yaptığı şey alışılmadıkçı. Yalın bir el koyma bildirimi yayımlamak yerine, sızma sitesini LockBit'in kendi görsel tarzında, çete hakkındaki açıklamalara doğru işleyen geri sayım saatleriyle birlikte yeniden inşa ettiler ve kimlik açıklaması öncesinde LockBitSupp'ı kışkırttılar. Yazı bunu bilinçli bir psikolojik baskı olarak yorumluyor: Fidye yazılımı, operatörler ile affiliate'lar arasındaki güvene dayanır ve bir anda her affiliate NCA'nın kendisi hakkında ne bildiğini merak etmek zorunda kaldı.

Gerçek olmayan silme sözü

Fidye ödemeyi düşünen herhangi bir kuruluş için öne çıkan bir bulgu var. Araştırmacılar, LockBit'in zaten ödeme yapmış kurbanların çalınmış verilerini sakladığını ortaya çıkardı. Ödemenin silme anlamına geldiği garantisi yanlıştı. Pratik sonuç açık: Fidye bir suçlunun sözünü satın alır ve o sözün uygulanması mümkün değildir.

Liderin kimliğinin açığa çıkması

Mayıs 2024'te İngiltere, ABD ve Avustralya LockBitSupp'ın Rusya vatandaşı Dmitry Khoroshev olduğunu tespit etti. Kendisine yaptırım uygulandı, ABD'de suçlandı, FBI'ın Siber En Çok Arananlar listesine eklendi ve ABD, tutuklanmasına yol açacak bilgiler için 10 milyon dolara kadar ödül teklif etti. O, kimliğini gizli tutmak için aynı tutarı teklif etmişti; araştırmacılar bunu bedavaya ifşa etti.

Çökertme işi tamamladı mı

Tam olarak hayır. LockBit yeni altyapı ve meydan okuyan mesajlarla geri dönmeye çalıştı ama itibarı bir daha tam olarak toparlanamadı. Affiliate'lar rakip gruplara kaydı ve bir zamanlar fidye yazılımı dünyasına hükmeden marka çekiciliğini yitirdi. dev.to yazısı, bunun siber suçla mücadelede başarıyı ölçmen gerçekçi yolu olduğunu savunuyor: nihai bir tutuklama değil, bir iş modelinin çökertilmesi.

Savunmacıların bundan çıkarabileceği dersler

Yazı pratik derslerle sona eriyor. Affiliate'lar tipik olarak çalınmış VPN kimlik bilgileri, yamalanmamış uç cihazlar ve açıkta kalan uzak masaüstü hizmetleri yoluyla giriyor; bu açıkları kapatmak bir kuruluşu kolay hedef listesinden çıkarır. Geri yüklenebilir yedekler, bir fidye notunu baskı altında müzakere edilen bir krizden çok kurtarılabilir bir olaya dönüştürür. Yetkililere bildirimde bulunmak önemlidir, çünkü bu tür çökertmeler kurban bildirimlerine dayanır ve bildirim, çoğu zaman şifre çözme anahtarlarının etkilenen kuruluşlara geri ulaşmasını sağlayan şeydir. Son olarak, çalındığı bilinen her veri, bir çete ödeme sonrasında ne söz verirse versin, zaten açık olarak ele alınmalıdır.

Neden önemli

Operasyon Cronos, en büyük fidye yazılımı operasyonunun bile fazlasının sunucular, bir web sitesi ve araştırmacılarla temas edince ayakta kalamayan suçlular arası güvenden ibaret olduğunu gösteriyor. Ayrıca fidye ödemenin merkezindeki temel savı da geçersiz kılıyor, çünkü ödeme yapan kurbanların verileri her durumda saklanmıştı. Teknik ekipler için uygulanabilir çıkarımlar gösterişsiz ama kanıtlanmış durumda: uç altyapıyı yamalayın, uzak erişimi koruyun, test edilmiş yedekler bulundurun ve olayları bildirin ki bu tür bir sonraki operasyon gerçekleşebilsin.