Hello Kitty Ransomware Analizi

CD Projekt vakasındaki detaylar ortaya çıktıkça saldırının boyutuna ilişkin veriler elde edebilmekteyiz. Aşağıdaki görselde belirtilen fidye notu CD Projekt Red vakasına ait. Emsisoft CTO’su tarafından yapılan değerlendirmede, saldırının HelloKitty Ransomware ile ilişkilendirildiği ifade edilmiştir.

HelloKitty Aktiviteleri

HelloKitty ile hedef alınan yapılardan biri Birleşik Krallık Sağlık Hizmeleri organizasyonudur. Ocak 2021’de gerçekleşen saldırıda iletilen fidye notu aşağıdaki gibidir:

2020 Noel’inde Brezilya’da enerji santrali olarak hizmet veren CEMIG firması ransomware saldırısının hedefi olmuştu. CEMIG’den yapılan bildirimde, 25 Aralık 2020 günü anormal ağ harekettliliği görüldüğü, bu hareketliliğin ransomware türünde bir saldırıyı işaret ettiği belirtilmiştir. “Windows / Microsoft Hyper-V” üzerinde çalışan sunucularının %10’u kadar bir yapı, saldırı sonucu şifrelenmiştir. Saldırıya ilişkin fidye notu aşağıdaki gibidir:

CEMIG firması ile fidye için kurulan işletişim aşağıdaki gibidir:

Epics4Sec İncelemesi

Ransomware saldırısı için kullanılan dosyanın analizi AynRun üstünde yapılmıştır. Yapılan incelemede, Cmd.exe kullanılarak süreçlerin çalıştırıldığı görülmektedir. Süreçlerin bitiminde hedef alınan dosyaların yeni bir uzantıyla yeniden oluşturulduğu görülmektedir.

Çalıştırılan zararlının davranış şeması aşağıdaki gibidir:

Aktiviteler değerlendirildiğinde tehditler aşağıdaki gibi özetlenebilir:

• Zararlı
  • Dosyaları Ransomware gibi yeniden isimlendirme
  • c7d6719bbfb5baaadda498bf5ef49a3ada1d795b9ae4709074b0e3976968741e.exe (PID: 3680)
  • Ransomware yapı bilgilerini içeren dosyaları çekme
  • c7d6719bbfb5baaadda498bf5ef49a3ada1d795b9ae4709074b0e3976968741e.exe (PID: 3680)
• Şüpheli
  • Ransomware yapılı dosyalar oluşturma
  • c7d6719bbfb5baaadda498bf5ef49a3ada1d795b9ae4709074b0e3976968741e.exe (PID: 3680)
  • Komut yürütme için CMD.EXE çalıştırma
  • c7d6719bbfb5baaadda498bf5ef49a3ada1d795b9ae4709074b0e3976968741e.exe (PID: 3680)
  • COM ile çalıştırılma
  • OpenWith.exe (PID: 1036)
  • Kendi silme işlemi için CMD.EXE kullanma
  • c7d6719bbfb5baaadda498bf5ef49a3ada1d795b9ae4709074b0e3976968741e.exe (PID: 3680)

MITRE Attack Listesi

• T1059 Enterprise — Command and Scripting Interpreter
• T1047 Execution — Windows Management Instrumentation
• T1135 Discovery — Network Share Discovery
• T1082 Discovery — System Information Discovery
• T1124 Discovery — System Time Discovery
• T1012 Discovery — Query Registry
• T1045 Defense Evasion — Software Packing
• T1486 Impact— Data Encrypted for Impact
• T1490 Impact — Inhibit System Recovery

IoC Listesi

Kaynak

• https://any.run/report/c7d6719bbfb5baaadda498bf5ef49a3ada1d795b9ae4709074b0e3976968741e/0b94efb0-2f00-48bd-88ae-a21b9dd3396c
• https://www.cadosecurity.com/post/punk-kitty-ransom-analysing-hellokitty-ransomware-attacks