Hunters International adlı yeni bir fidye yazılımı grubunun arkasındaki tehdit aktörleri, tehdit ortamında kendi çabalarını başlatmak için artık dağıtılmış olan Hive operasyonunun kaynak kodunu ve altyapısını aldı.
Bitdefender teknik çözümler direktörü Martin Zugec geçen hafta yayınlanan bir raporda, “Hive grubunun liderliği, faaliyetlerini durdurma ve kalan varlıklarını başka bir gruba, Hunters International’a devretme konusunda stratejik bir karar vermiş gibi görünüyor” dedi.
Bir zamanlar verimli bir hizmet olarak fidye yazılımı (ransomware-as-a-service, RaaS) operasyonu olan Hive, Ocak 2023’te koordineli bir yasa uygulama operasyonunun parçası olarak devre dışı bırakıldı.
Fidye yazılımı aktörlerinin bu tür ele geçirmelerin ardından faaliyetlerini yeniden gruplanması, yeniden markalaşması veya faaliyetlerini dağıtması yaygın bir durum olsa da, çekirdek geliştiricilerin ellerindeki kaynak kodunu ve diğer altyapıyı başka bir tehdit aktörüne aktarabilmesi de mümkündür.
Hunters International’ın olası bir Hive markası olduğu hakkındaki raporlar, iki tür arasında çeşitli kod benzerliklerinin belirlenmesinin ardından geçen ay ortaya çıktı. O zamandan beri bugüne kadar beş kurban olduğu iddia edildi.
Ancak arkasındaki tehdit aktörleri, Hive kaynak kodunu ve web sitesini geliştiricilerinden satın aldığını belirterek bu spekülasyonları ortadan kaldırmaya çalıştı.
Zugec, “Grubun veri sızmasına daha fazla önem verdiği görülüyor” dedi. “Özellikle rapor edilen tüm kurbanların verileri sızdırıldı, ancak hepsinin verileri şifrelenmedi”, bu da Hunters International’ı daha çok bir veri gaspı grubu haline getiriyor.
Bitdefender’ın fidye yazılımı örneğine ilişkin analizi, Hive’ın tersine mühendisliğe karşı artan direnci nedeniyle Temmuz 2022’de programlama diline geçmesiyle de doğrulanan bir gerçek olan Rust tabanlı temellerini ortaya koyuyor.
Zugec, “Genel olarak, yeni grup bu fidye yazılımı kodunu benimserken, basitleştirmeyi hedeflemiş gibi görünüyor” dedi.
“Komut satırı parametrelerinin sayısını azalttılar, şifreleme anahtarı depolama sürecini kolaylaştırdılar ve kötü amaçlı yazılımı önceki sürümlere kıyasla daha az ayrıntılı hale getirdiler.”
Fidye yazılımı, şifrelemeden çıkarılacak dosya uzantıları, dosya adları ve dizinlerden oluşan bir hariç tutma listesi eklemenin yanı sıra, veri kurtarmayı önlemek ve sürece potansiyel olarak müdahale edebilecek bir dizi işlemi sonlandırmak için komutlar çalıştırır.
Zugec, “Hive en tehlikeli fidye yazılımı gruplarından biri olsa da Hunters International’ın da aynı derecede, hatta daha zorlu olup olmayacağını henüz bilmiyoruz.” dedi.
“Bu grup, olgun bir araç seti ile başlayan yeni bir tehdit aktörü olarak ortaya çıkıyor ve yeteneklerini göstermeye istekli görünüyor, ancak yüksek vasıflı bağlı kuruluşları çekmeden önce yetkinliğini gösterme göreviyle karşı karşıya.”
