Uluslararası Operasyon Endgame ile Gootloader, CastleRAT ve StealC Sunucuları Çökertildi
Bu hafta gerçekleştirilen uluslararası bir polis operasyonu, Gootloader, CastleRAT ve StealC zararlı yazılımlarının arkasındaki sunucuları etkisiz hale getirdi. Siber suçlular, bu üç zararlı yazılım aracını bilgisayarlara erişim sağlamak, şifre çalmak ve fidye yazılımı saldırıları düzenlemek için kullanıyordu.
Almanya Federal Kriminal Polis Ofisi (BKA) tarafından yapılan açıklamaya göre, polis ayrıca 40.000’den fazla kurbana ait yaklaşık 6.4 milyon çalınan giriş bilgisini ele geçirdi.
Gootloader’ın Yayılımı ve Etkisi
Gootloader, bir bilgisayara bulaştığında diğer zararlı yazılımları, özellikle fidye yazılımlarını indirebilen bir yükleyici olarak işlev görüyordu. Genellikle hacklenmiş web sitelerine, özellikle WordPress sitelerine yerleştirilen sahte yasal belgeler aracılığıyla yayılıyordu. Siber suçlular, bu siteleri arama sonuçlarında üst sıralara çıkarmak için SEO zehirlenmesi yöntemini kullanıyordu.
ABD Adalet Bakanlığı’nın belirttiğine göre, Gootloader 2018’den bu yana dünya genelinde en az 25.000 bilgisayarı enfekte etti. Operatörleri, bu bilgisayarları daha fazla bilgisayarı enfekte etmek için kullandı ve ardından yeni erişimleri fidye yazılımı suçlularına sattı. ABD’de Gootloader, en az 44 kurbana yönelik fidye yazılımı saldırılarında kullanıldı ve yaklaşık 28.8 milyon dolarlık zarara yol açtı.
Alman polisi, kendi açıklamasında çok daha yüksek bir sayı verdi. Müfettişlerin şu ana kadar bildiklerine göre, Gootloader 2020’de ortaya çıktığından beri dünya genelinde milyonlarca bilgisayarı enfekte etti.
Europol’ün operasyon özetine göre, bu üç araç kapsamında polis 235 sunucu ve 257 alan adını ele geçirdi. Bu operasyon, kurbanların bilgisayarlarına erişmek için siber suçluların kullandığı zararlı yazılımlara karşı yürütülen uluslararası bir polis kampanyası olan Operasyon Endgame’in bir parçasıdır.
Gootloader için polis, 14 sunucuyu ve 218 alan adını etkisiz hale getirdi ve 681 hacklenmiş web sitesinden zararlı yazılımları kaldırdı.
ABD Adalet Bakanlığı’nın duyurusuna göre, ABD kurumları ve uluslararası ortakları, mahkeme onayıyla Gootloader’ı hacklenmiş WordPress siteleri de dahil olmak üzere 100’den fazla sunucudan kaldırdı. Ayrıca, zararlı yazılımı dağıtmak ve kontrol etmek için kullanılan ABD alan adlarını da ele geçirdiler.
CastleRAT ve StealC’ye Yönelik Müdahaleler
2025’ten beri bilinen bir uzaktan erişim trojanı (RAT) olan CastleRAT, saldırganların enfekte bir bilgisayarı uzaktan kontrol etmesine olanak tanır. Polis, bu zararlı yazılıma ait 120 sunucuyu ve 39 alan adını ele geçirdi.
StealC, enfekte bilgisayarlardan şifreleri ve diğer giriş bilgilerini sızdıran bir bilgi hırsızıdır. Siber suçlular, bu bilgileri satmak veya kötüye kullanmak için kullanır. Polis, bu hafta StealC sunucularını, Haziran ayında gerçekleştirilen bir operasyonun ardından tekrar etkisiz hale getirdi.
Alman polisinin belirttiğine göre, Haziran ayındaki eylemden sonra operatörleri altyapılarını değiştirerek müfettişlerin erişiminden uzak kalmak için tekrar çevrimiçi oldular. StealC’nin bazı önemli altyapısı, hizmetlerini suçlulara pazarlayan kurşun geçirmez bir barındırma hizmeti olan Virtualine/Omegatech üzerinde çalışıyordu.
Polis, bu barındırma hizmetini Ekim ayı sonlarında gerçekleştirilen bir operasyonla kapattı.
Bu haftaki eylemde herhangi bir tutuklama açıklanmadı. Hollanda polisi, haber bültenlerine göre Gootloader’ın ana şüphelisini hedef alan daha fazla soruşturma yürüttü.
Kurbanlar ve Site Sahipleri Ne Yapabilir?
Hollanda polisi, CastleRAT tarafından çalınan verileri, insanların bir e-posta adresi girebileceği bir polis hizmeti olan Check your hack‘e yükledi. Adres verilerde varsa, polis birkaç dakika içinde zararlı yazılımı kaldırma adımlarını içeren bir e-posta gönderir. Yoksa, e-posta gelmez.
Önümüzdeki haftalarda daha fazla veri eklenecektir. Hizmet, tek adresleri kontrol eder, tüm alan adlarını değil, ancak kuruluşlar verileri özel ortaklarla paylaşan bir polis projesi olan No More Leaks’e katılabilir. Çalınan veriler ayrıca Have I Been Pwned ve Shadowserver Foundation gibi hizmetlerle de paylaşılmaktadır.
Polisten geldiğini iddia eden ve insanlardan verileri kontrol etmelerini isteyen e-postalar sahtedir. Polis asla bağlantı içeren e-postalar göndermez.
Polis, sıkça sorulan sorularında, polis verileri ele geçirse bile suçluların çalınan giriş bilgilerine hala sahip olabileceğini belirtiyor. Zararlı yazılım bir bilgisayarda kaldığı sürece, suçlular şifreleri almaya devam edebilir.
Adalet Bakanlığı’nın belirttiğine göre, Shadowserver Foundation, enfekte bilgisayarları bulmak ve sahiplerini bilgilendirmek için internet servis sağlayıcıları ve bilgisayar güvenliği olay müdahale ekipleri (CSIRT’ler) ile çalışıyor. Almanya’da, Federal Bilgi Güvenliği Ofisi (BSI), BKA’ya göre kurbanları bilgilendirmeye yardımcı oluyor.
Danimarka Ulusal Özel Suç Birimi (NSK), 681 web sitesinin temizlenmesine yardımcı oldu. Birim, Danca bir açıklamada, saldırganların sitelere suç kanalları aracılığıyla elde edilen çalınan şifrelerle girdiğine ve ardından bir arka kapı kurduğuna inanıldığını belirtti.
Görevliler, saldırganların kodunu ve erişimini kaldırdı ve site sahiplerine sitelerini güvence altına alma konusunda tavsiyeler içeren bir mesaj bıraktı.
Danimarka ve Hollanda polisleri, WordPress site sahiplerine, Hollanda tavsiye belgesinde belirtilenler de dahil olmak üzere şu adımları atmalarını öneriyor:
- Tüm yönetici şifrelerini benzersiz, en az 12 karakterli şifrelerle değiştirin.
- Çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin.
- Tanımadığınız hesapları kaldırın.
- Sitedeki tüm arka kapı kodlarını kaldırın.
- WordPress’i, temalarını ve eklentilerini güncelleyin.
- /wp-admin giriş sayfasına yalnızca kendi cihazlarınızın IP adreslerinden erişime izin verin.
Yorumlar 0
Henüz yorum yapılmamış. İlk yorumu siz yazın.