Sinirli bir fidye yazılım ortağı tarafından, Conti çetesinin teknik materyalleri sızdırıldı

Görünüşe göre Conti fidye yazılım çetesinin sinirli bir üyesi, Conti siber suç çetesinin kendisine vaat edilen ücretten daha düşük ücret ödediğini iddia ettikten sonra, çetenin saldırılar için hazırladığı eğtim materyallerini herkese açık olarak yayınladı.

RaaS olarak adlandırılan model, deneyimli bir tehdit aktörünün yada aktörlerininin saldırıları gerçekleştirecek tüm araçları ve altyapıyı hazırlayıp, fidyeden bir miktar komisyon karşılığında bağlı kuruluşlara kiraladıkları bir servis olarak geçiyor. Tehdit aktörlerinin aldıkları komisyon oranı genellikle yüzde 20-30 arasında değişmekte olup, geri kalan tüm ücret bağlı kuruluşa gidiyor.

A "pentester" for Conti has leaked "pentester manuals and software" online. These files are allegedly given to affiliates

vxug.fakedoma[.]in/tmp/

* Link modified, Twitters banned our domains* Some files password protected, we do not know the password* Images from XSS pic.twitter.com/IXNDDxMfFg

— vx-underground (@vxunderground) August 5, 2021

Görünüşe göre Conti fidye çetesi, RaaS modeli kapsamında işe aldığı bağlı kuruluşa vaat edilen ücretten daha düşük bir ücret ödemiş. Geçen hafta, siber suçluların yer aldığı XSS adlı bir forum sitesinde yayınlanan gönderiye göre, gruba ait komut ve kontrol sunucularının IP adreslerini içeren Cobalt Strike beacon konfigürasyonlarını ve fidye yazılım saldırılarının nasıl gerçekleştirileceğine ilişkin çok sayıda eğitim materyalinin bulunduğu 113 MB’lık bir arşiv dosyası paylaşıldı.

Looks like the pentester realized he made a big mistake after all the threat actors start to attacking him@vxunderground @UK_Daniel_Card pic.twitter.com/N5SkhQHQCP

— Shady (@TheCyberPharaoh) August 6, 2021

Bağlı kuruluş, saldırının bir parçası olarak kendisine yalnızca 1500 dolar ödendiği için materyali yayınladığını, ekibin geri kalanının ise milyonlar kazandığını belirtti.

Warning!

🗣Scan for unauthorized Atera Agent installations and Any Desk persistence.

💥The #Conti adversaries install legit @AteraCloud RMM agent w/ one-day burner accounts to survive Cobalt Strike detects.

I confirm as we see Atera along Cobalt installations pre-ransomware https://t.co/wY3aIZkTK2

— Vitali Kremez (@VK_Intel) August 5, 2021

Arşivi daha önce analiz etmiş olan Advanced Intel’den Vitali Kremez, eğitim materyalinin aktif Conti vakalarıyla eşleştiğini belirtti. Bunun yanında Kemez’in BleepingComputer’a verdiği demeçte, yapılan sızıntı Conti operatörlerinin faaliyetlerine bir darbe olsa da, diğer tehdit aktörlerine kendi saldırılarını gerçekleştirme becerilerini geliştirmeleri için ihtiyaç duydukları araçları da sağlıyor.

🤫 go block these 🤫162.244.80.23585.93.88.165185.141.63.12082.118.21.1

— pancak3 (@pancak3lullz) August 5, 2021

@Pancak3 adındaki diğer bir güvenlik araştırmacısı, gruptan gelebilecek saldırıları önlemek için herkesin bu IP adreslerini engellemesi gerektiğini belirtti.