Almanya'nın federal siber güvenlik ajansı, Alman kamu yönetimine yılların en yıkıcı saldırılarından birinin nasıl içeri girdiğini doğruladı: sahte bir CAPTCHA, kopyalanmış bir terminal komutu ve dikkati dağılmış tek bir çalışan.
BSI (Federal Bilgi Güvenliği Ofisi), bir güvenlik uyarısı ve ardından Mastodon'da yaptığı paylaşımla, Berlin'deki iki Senato birimine Ağustos'ta yapılan saldırıda 'TerminalFix' adını verdiği kampanyayı ilk erişim vektörü olarak tanımladı — Rhysida fidye yazılımı çetesinin, personel kayıtları, disiplin dosyaları ve kritik altyapı ayrıntıları dahil yaklaşık 1,44 milyon dosyayı çaldığı ve daha sonra yayımladığı ihlal. Analiz, Şubat ayında ilişkili 'ClickFix' ailesine karşı uyarmış olan Microsoft'un araştırmasına dayanıyor.
TerminalFix, Windows'un kendi araçlarını istismar eden bir sosyal mühendislik zinciri. Kurban, kimlik avı e-postası ya da hedefin düzenli ziyaret ettiği sitelere tuzak yerleştirme anlamına gelen 'water-holing' yoluyla manipüle edilmiş veya kötü amaçlı bir siteye çekiliyor. Sayfa sahte bir Cloudflare CAPTCHA'sı gösterirken JavaScript arka planda panoya bir PowerShell komutu kopyalıyor. Ekrandaki talimatlar kurbandan Windows+X'e, ardından 'I' tuşuna basarak Windows Terminal'i açmasını ve komutu yapıştırmasını istiyor.
Komut, kurban ön planda 'insan olduğunu kanıtlamaya' devam ederken kötü amaçlı yazılımın ilk aşamasını arka planda indiriyor. Kötü amaçlı yazılım, dui70.dll adlı kötü niyetli bir DLL'yi çalıştırmak için imzalı ve zararsız Windows ikilisi LockScreenContentServer.exe'yi sideload ediyor; bu kod, sunuculardan, içinde steganografiyle gizlenmiş başka programlar bulunan PNG görsellerini çekiyor. Son yük, kayıt defteri anahtarları üzerinden kendini kalıcı olarak kuruyor, 60 dakikada bir hâlâ çalışıp çalışmadığını kontrol ediyor ve bir SOCKS proxy kuruyor: saldırganlara kurbanın ağında, trafiği izleyip yanal hareket edebilecekleri bir tünel sağlıyor.
Berlin'deki devamı, kısmen ortam bunu kolaylaştırdığı için yıkıcı oldu: düz metin olarak saklanan parola listeleri Rhysida'ya imar ile ulaşım ve hareketlilik Senato birimlerinde hızlı bir yol açtı. Eyalet yaklaşık iki milyon euroluk fidye talebini reddetti ve çete 4 Eylül'de çalınan verileri karanlık ağda yayımladı.
BSI şimdi 'toplum için yükseltilmiş bir tehdit seviyesi' uyarısı yapıyor. Suçluların verileri yayımlama tehdidinde bulunduğu vakaların yüzde 92'sinde tehdidi gerçekleştirdiğine dikkat çekiyor — ve Rhysida'nın sağlık ile eğitim sektörüne odaklandığını, kamu yönetiminin en sık hedeflenen beş tip arasında yer aldığını belirtiyor.
Ajansın tüm kuruluşlara verdiği asıl mesaj, giriş vektörünün sıradan olduğu: Kampanya için yalnızca yanlış sayfayı ziyaret edip ekrandaki üç adımı izleyen tek bir çalışan yeterli. Bu yüzden güvenlik uzmanları, çalışanlara beklenmedik CAPTCHA'lara — özellikle klavye kısayolu isteyenlere — derin bir şüpheyle yaklaşmalarını söylüyor.
