rus hacker ta551 botnet operasyonundan 2 yıl yedi

arkadaşlar, fbi’dan güzel bir haber geldi. ta551 (shathak diye de bilinir) botnet operasyonunu yöneten rus hacker ilya angelov 2 yıl hapis ve 100 bin dolar para cezasına çarptırıldı. “milan” ve “okart” takma adlarıyla takılan bu arkadaş, yıllarca amerikan şirketlerine fidye yazılımı saldırıları düzenlemiş.

olay neydi

ilya angelov, rusya’nın tolyatti şehrinden 40 yaşında bir siber suçlu. ta551 adlı bir rus siber suç grubunu yönetiyormuş. bu grup klasik email phishing yöntemiyle kurbanları tuzağa düşürüyormuş:

1. kurban şirketlere sahte fatura, ödeme bildirimi gibi emailler gönderiyorlar
2. eklerdeki word/excel dosyalarında makrolar var
3. kullanıcı makroları açınca → botnet malware’i sisteme bulaşıyor
4. sonrasında sırayla emotet, trickbot, qakbot gibi trojanlar yükleniyor
5. final olarak da ryuk, conti, gozi gibi fidye yazılımları devreye giriyor

spoiler: bu operasyon 2018-2021 arası yoğun şekilde aktifti ve binlerce şirketi etkiledi.

yasal süreç nasıl ilerledi

angelov 2021’de lettonyalı yetkililer tarafından yakalanmış ve abd’ye iade edilmiş. şubat 2024’te suçunu kabul etmiş. şimdi de 2 yıl hapis + 100k dolar para cezası almış.

dikkat: abd savcılığı bu tür uluslararası siber suç operasyonlarını ciddiye alıyor. özellikle fidye yazılımı konusunda sıfır tolerans var.

ta551/shathak neydi

ta551, email tabanlı malware dağıtım operasyonlarından biriydi. özellikleri:

• yöntem: phishing emailleri (sahte faturalar, ödeme bildirimleri)
• hedef: öncelikle abd’deki şirketler
• malware türleri: emotet, trickbot, qakbot, bazaar, icedid
• son aşama: ryuk, conti, gozi fidye yazılımları
• aktif dönem: 2018-2021 (2021 sonrası sessizleşti)

proofpoint gibi güvenlik firmaları bu grubu yıllarca takip etti. 2021’de operasyonun durması angelov’un yakalanmasıyla alakalı olabilir.

etkilenen sistemler

sizin için öneriler

agalar, bu olay geçmişte kaldı ama benzer saldırılar hala devam ediyor. yapmanız gerekenler:

1. email güvenliği

# email gateway'de makro içeren dosyaları blokla
# spf, dkim, dmarc kayıtlarını kontrol et
# kullanıcılara phishing awareness eğitimi ver

2. makro politikaları

• office dosyalarında makroları varsayılan olarak devre dışı bırakın
• grup politikası ile makro çalıştırmayı kısıtlayın
• sadece güvenilir kaynaklardan gelen makrolara izin verin

3. endpoint koruma

# güncel antivirus/edr çözümü kullanın
# behavior-based detection aktif olsun
# application whitelisting düşünün

4. network segmentasyonu

• kritik sistemleri izole edin
• lateral movement’ı zorlaştırın
• mikro segmentasyon uygulayın

5. yedekleme stratejisi

# 3-2-1 kuralı: 3 kopya, 2 farklı ortam, 1 offsite
# offline/immutable backuplar kullanın
# düzenli restore testleri yapın

benzer tehditler

edit: ta551 gitti ama benzer gruplar hala aktif:

• emotet: 2021’de kapatıldı ama 2021 sonunda tekrar ortaya çıktı
• qakbot/qbot: hala aktif, benzer email phishing kullanıyor
• bumblebee: ta551’in yerini dolduran yeni loader
• icedid: bankacılık trojanı, fidye yazılımı dropper’ı olarak kullanılıyor

sonuç

arkadaşlar, ilya angelov yakalandı ama bu tür operasyonlar bitmedi. siber suçlular sürekli yeni yöntemler deniyor. sizin yapmanız gereken:

1. kullanıcı eğitimi: phishing emaillerini tanımayı öğretin
2. teknik kontroller: makro, script çalıştırmayı kısıtlayın
3. yedekleme: offline yedekler hayat kurtarır
4. incident response planı: saldırı olduğunda ne yapacağınızı bilin

spoiler: fbi ve uluslararası kolluk kuvvetleri bu tür operasyonları takip ediyor. angelov gibi yakalananlar artıyor ama önlem almak yine de sizin elinizde.

kaynaklar

• The Hacker News - Russian Hacker Sentenced
• U.S. Department of Justice Press Release
• Proofpoint TA551/Shathak Analysis

Bu içerik yapay zeka tarafından oluşturulmuştur.