Bitdefender: 3AM fidye saldırısındaki komutları büyük olasılıkla bir dil modeli yazdı

Güvenlik şirketi Bitdefender, 3 Kasım’da yayımladığı incelemede İngiltere’deki bir okul ağına (school estate) yapılan bir fidye yazılımı saldırısını anlattı. Bitdefender’a göre saldırıyı, fidye yazılımını hizmet olarak kiralayan 3AM (ThreeAM) grubunun bir ortağı (affiliate) yaptı ve bu atıf doğrulandı. Şirkete göre bu, incelediği türünün ilk vakası. Saldırının bazı bölümleri klavye başında bir insanın, bazı bölümleri ise her komutun çıktısını bir dil modeline okutup modelin döndürdüğü yeni komutu çalıştıran bir ajan döngüsünün (agentic loop) izlerini taşıyor.

Yapay zekâ izleri

Bitdefender’a göre komutların içeriği, onları bir dil modelinin ürettiğini güçlü biçimde destekliyor. Örneğin saldırgan, yedekleme yazılımı Veeam’in web arayüzüne belgelerdekiyle uyuşmayan bir port ve oturum açma yöntemiyle bağlanmaya çalıştı. Şirkete göre bu, kılavuzdan değil bellekten yazılan komutlarda görülen tipik bir hata. Komutlarda doğrulama dosyaları, kendini etiketleyen çıktılar ve aynı betiğin numaralandırılmış sürümleri de vardı.

Şirkete göre yeniden denemeler de bir döngü gibi davranıyor. 13 Eylül’de saldırgan bir PowerShell komutunu çalıştırdı, 41 saniye sonra aynı komutu değiştirmeden yeniden çalıştırdı, 49 saniye sonra tek bir çağrıyı değiştirdi ve 47 saniye sonra PowerShell’i bırakıp eski WMI komut satırı aracı wmic’e geçti. Bitdefender’a göre baştan yazılmış komut da küçük değişiklikler kadar hızlı geldi. Dokuz yeniden denemede değişikliğin büyüklüğünden bağımsız olarak bekleme süresi 40 ile 101 saniye arasındaydı, yeni bir göreve geçiş ise dakikalar sürdü. Şirket bunu, bir sonraki adımı bir insanın seçtiği, yeniden denemeleri ise bir modelin yaptığı bir düzene benzetiyor.

Bitdefender, saldırganın çalıştığı bilgisayara erişemediği için hangi modelin kullanıldığını, modelin yerel mi uzakta mı çalıştığını ve bir insanın talimatları ve sonuçları model ile sistem arasında elle kopyalayıp yapıştırıp yapıştırmadığını bilmediğini belirtiyor. Şirkete göre saldırının uygulamalı aşamasında hiç insan olmadığı iddiası ise verilerle desteklenmiyor. Bitdefender, karma (hybrid) yorumu kesin bir bulgu olarak değil, savunma ekiplerinin hesaba katması gereken bir çalışma modeli olarak sunuyor.

Saldırının seyri

Bitdefender’a göre saldırganın sisteme ilk nasıl girdiği belirlenemedi. Hedef ağdaki makine listesinde 47 sistem vardı ve ortam başlangıçta birbirine bağlı olmayan birkaç Active Directory alanından oluşuyordu. Bitdefender’ın verdiği zaman çizelgesine göre:

• 10 ve 11 Eylül: Saldırgan, herkese açık bir aracın değiştirilmiş bir kopyasıyla üç yedekleme sunucusundaki Veeam veritabanlarında saklanan kimlik bilgilerini okuyup çözdü. Bir terminal sunucusundan Chrome’un kayıtlı parolaları tuttuğu dosyayı da kopyaladı.
• 12 ve 13 Eylül: Saldırgan diğer sistemlere bağlantıları denedi, Mimikatz’ı indirdi ve alan yöneticisi yetkisine sahip olduğunu kontrol etti.
• 14 ve 15 Eylül: Saldırgan kimlik bilgilerini içeren kayıt defteri bölümlerini kaydetti ve farklı adlarla Mimikatz çalıştırdı. Okul hesapları arasında göze batmasın diye “library” ve “svc_bkpmon” adlı iki sahte alan yöneticisi hesabı açtı. Bir finans paylaşımındaki 40 dosyayı kayıt defteri değerlerine aktardı, güvenlik ajanı kurulu olmayan bir iç bilgisayara kopyaladı ve bu bilgisayardaki komuta noktasına gönderdi.
• 19 Eylül: Saldırgan Sophos ve Bitdefender güvenlik yazılımlarını kaldırmaya çalıştı, ancak kurcalamaya karşı koruma bunu engelledi. Ardından yaklaşık 40 bilgisayara bir yükleyici dağıttı ve 3AM şifreleyicisi UTC saatiyle 05.07 ile 05.33 arasında çalışarak sistem yedeklerini de sildi.

Bitdefender’a göre güvenlik ajanı kurulu olmayan iç bilgisayardan yaklaşık 50 bilgisayara ulaşıldı ve ertesi sabah yaklaşık 37’si şifrelenmiş durumdaydı. Gözlenen bütün saldırgan işlemleri bu bilgisayardan geldi. Şirkete göre saldırgan, bir alan denetleyicisinden (domain controller) alanlar arasındaki güven ilişkilerini listeledi ve oturum açma betiklerinin tutulduğu SYSVOL klasöründe başka okulların adlarını ve ağlarını aradı. Yedekleme sunucularından kimlik bilgilerini çaldıktan sonra library hesabını en az üç alanda oluşturdu ve bu hesapla önceden birbirine bağlı olmayan alanlar arasında güven ilişkileri kurdu.

Değerlendirme ve öneriler

Bitdefender’a göre şifreleyici dışında saldırıda yeni ya da yaratıcı bir şey yok. Saldırgan PowerShell, WMI, reg, netsh ve rundll32 gibi Windows’un kendi araçlarını ve Impacket benzeri araçlar, Mimikatz ve herkese açık bir Veeam betiği gibi bilinen araçları kullandı. Şirkete göre değişen, saldırıda neyin işe yaradığı değil, geride kalan izlerin görünümü. Ajan döngüleri aynı işi tekrar tekrar denediği için gürültülü ve bu tekrar onları ele veriyor. Bitdefender bu karma yaklaşımın saldırganlar için ekonomik olarak mantıklı olduğunu ve 2027’de bu tür saldırıların yaygınlaşmasını beklediğini belirtiyor.

Bitdefender’ın önerileri arasında şunlar var:

• Ayrı alanların yönetici hesapları birbirinden ayrı tutulmalı, alanlar arası güven ilişkileri ve alan yöneticisi hesapları değişiklik denetimine bağlanmalı ve denetim dışı her yeni kayıtta uyarı üretilmeli.
• Yedekleme sistemi de bir hedef olarak görülmeli. Yedekleme hesapları alan bazında sınırlandırılmalı, yedekleme sunucuları ayrılmalı ve hiçbir alan hesabının silemeyeceği değiştirilemez yedekler tutulmalı.
• WMI, uzak kayıt defteri, zamanlanmış görev oluşturma ve ADMIN$ erişimi bilinen yönetim bilgisayarlarıyla sınırlandırılmalı.
• Betik yorumlayıcılarına ve kabuklara ihtiyaç duymayan bilgisayarlarda bunlar engellenmeli.
• Her bilgisayara bir uç nokta güvenlik ajanı kurulmalı.