Huntress, saldırganların sisteme girdikten sonra kalıcılık sağlama, savunmaları devre dışı bırakma ve sistemleri değiştirme taktiklerini gerçek bir saldırıyla ortaya koydu.
Ne oldu?
Huntress araştırmacıları, gerçek bir saldırıyı analiz ederek tehdit aktörlerinin ağa sızdıktan sonraki adımlarını detaylandırdı. Saldırganların öncelikle kalıcılık mekanizmaları kurduğunu, güvenlik yazılımlarını devre dışı bıraktığını ve sistem yapılandırmalarını değiştirdiğini gözlemledi. Örneğin, kayıt defteri anahtarlarına zararlı komutlar ekleyerek her açılışta yeniden çalışmayı sağladılar; ayrıca Windows Defender gibi korumaları kapatmak için PowerShell komutları kullandılar.
Neden önemli?
Çoğu savunma ekibi, saldırıyı fark ettiğinde yalnızca zararlı yazılımı silmeye odaklanır. Ancak Huntress, asıl giriş noktasının (örneğin açık bir RDP portu veya zayıf bir kimlik bilgisi) bulunup kapatılmaması durumunda saldırganların aynı yoldan tekrar girebileceğini vurguluyor. Bu analiz, olay müdahalesinde kök neden analizinin ne kadar kritik olduğunu gösteriyor; aksi halde kalıcılık mekanizmaları sayesinde saldırı sürebiliyor.
Kim veya ne etkileniyor?
Özellikle küçük ve orta ölçekli işletmeler (KOBİ) ile yeterli güvenlik personeli olmayan kuruluşlar risk altında. Saldırganlar genellikle düşük asılı meyve olarak görülen bu tür hedefleri seçiyor. Ayrıca, yönetilen hizmet sağlayıcıları (MSP) üzerinden müşteri ağlarına sızmak da yaygın bir yöntem; bu durumda hem MSP hem de müşterileri etkileniyor.
Ne yapılmalı?
Saldırı tespit edildiğinde yalnızca zararlı yazılımı kaldırmakla yetinmeyin; sistem loglarını inceleyerek ilk giriş vektörünü belirleyin. Tüm uzaktan erişim noktalarını (RDP, VPN) gözden geçirin, çok faktörlü kimlik doğrulamayı zorunlu kılın. Kalıcılık mekanizmalarını temizlemek için kayıt defteri ve zamanlanmış görevleri kontrol edin. Güvenlik yazılımlarının devre dışı bırakılmadığından emin olun ve düzenli olarak yedek alın. Emin değilseniz profesyonel bir olay müdahale ekibinden destek isteyin.