Yanluowang Ransomware Grubu Kimdir?
Yanluowang, adını Çin mitolojisinde yeraltı dünyasının hükümdarı ve ölülerin yargıcı olarak bilinen Yanluo Wang figüründen alan bir fidye yazılımı grubudur. Çince bir ad taşısa da, grubun daha sonra kamuoyuna sızan iç yazışmaları, üyelerinin büyük ölçüde Rusça konuştuğunu ortaya koymuştur. Bu nedenle ismin, grubun kökenine ilişkin bilinçli bir yanıltma olarak seçildiği değerlendirilmektedir.
DrDisk Lab'ın sızıntı sitesi izleme verisinde grubun ilk kaydı 2 Temmuz 2022, son kaydı ise 10 Ağustos 2022 tarihlidir. Araştırmacı kayıtları da aynı tarih aralığını göstermektedir. Ancak Yanluowang fidye yazılımının, sızıntı sitesi bu kayıtlara girmeden önce de güvenlik araştırmacılarınca tespit edilip belgelendiği bilinmektedir. Dolayısıyla elimizdeki pencere grubun doğuşunu değil, sızıntı sitesi üzerinden yürüttüğü kamuya açık gasp evresini temsil eder.
Grubun geniş çaplı, açık reklamı yapılan bir hizmet olarak fidye yazılımı (RaaS) programı yürüttüğüne dair güçlü bir kamuya açık kanıt bulunmamaktadır. Sızan yazışmalar daha çok sınırlı sayıda üyeden oluşan, kapalı yapıda bir ekip izlenimi vermiştir; bu nedenle grubun kapalı ekip modeline yakın çalıştığı değerlendirilmektedir. Verimizde bilinen bir üst grup ya da kardeş yapı kaydı bulunmamaktadır.
Grubun teknik geçmişinde dikkat çeken bir ayrıntı daha var: Kaspersky, Yanluowang'ın şifreleme algoritmasında bir zaaf tespit ederek bu sürüm için kamuya açık bir şifre çözücü yayımlamıştı. Bu durum grubun hatasız olmadığını gösterse de, sonraki sürümlerde zaafın giderilmiş olabileceği ve her olayın kendi koşullarında uzmanlarca değerlendirilmesi gerektiği unutulmamalıdır.
Saldırı Hacmi ve Seyri
İzleme verimize göre Yanluowang, kısa ve yoğun bir dönemde toplam 6 ilan yayımlamıştır. Tüm faaliyet 2022 yılına sığmaktadır.
| Gösterge | Değer |
|---|---|
| Toplam ilan | 6 |
| Aktif yıl | 2022 |
| İzleme verisindeki ilk kayıt | 2 Temmuz 2022 |
| İzleme verisindeki son kayıt | 10 Ağustos 2022 |
Aylık dağılım, grubun sızıntı sitesi evresinin ne kadar kısa sürdüğünü açıkça gösteriyor:
| Ay | İlan sayısı |
|---|---|
| Temmuz 2022 | 5 |
| Ağustos 2022 | 1 |
Temmuz ayındaki beş ilanın tamamı aynı gün, 2 Temmuz'da kayda geçmiştir. Bu tablo, saldırıların o gün gerçekleştiği anlamına gelmez; büyük olasılıkla grubun daha önceki aylarda biriktirdiği kurbanları sızıntı sitesine toplu biçimde yüklediğini ya da sitenin izleme kapsamına bu tarihte girdiğini gösterir. Ağustos ayındaki tek ilan ise grubun en çok ses getiren paylaşımı olan Cisco ilanıdır.
Bu ilandan sonra verimizde yeni bir kayıt bulunmamaktadır. Kamuoyunda yaygın olarak bilindiği üzere, 2022'nin ilerleyen dönemlerinde grubun iç sohbet kayıtları ve kaynak koduyla ilgili bilgiler bir sızıntıyla açığa çıkmış, ardından sızıntı sitesindeki faaliyet sona ermiştir. Bu, bir fidye yazılımı grubunun operasyonel güvenliğinin çökmesinin faaliyetlerini nasıl hızla bitirebileceğine dair dikkat çekici bir örnektir.
Hedef Profili
İzleme verimizde Yanluowang kurbanları için sektör ve ülke sınıflandırması bulunmadığından, sayısal bir sektör ya da ülke dağılımı sunmak mümkün değildir. Bununla birlikte sızıntı sitesindeki ilan başlıkları, grubun hedef seçimi ve iletişim tarzı hakkında fikir veriyor:
| İlan başlığı (sızıntı sitesinden) | Kayıt tarihi |
|---|---|
| Hot news straight from Cisco | 10 Ağustos 2022 |
| Shorr.com leakage | 2 Temmuz 2022 |
| Greetings to havi.com and tmsw.com | 2 Temmuz 2022 |
| Big data dump from various organizations | 2 Temmuz 2022 |
| Walmart was encrypted | 2 Temmuz 2022 |
| Cincinnati bell didn't pay the ransom | 2 Temmuz 2022 |
Bu başlıklardan üç sonuç çıkarılabilir:
- İlanlarda adı geçen kuruluşların önemli bir kısmı, Kuzey Amerika merkezli, tanınmış büyük şirketlerdir; grubun yüksek profilli kurumsal hedefleri tercih ettiği görülmektedir.
- Başlıklar yalnızca bilgi vermek için değil, kurbanı kamuoyu önünde küçük düşürmek için yazılmıştır; "fidyeyi ödemedi" ya da "şifrelendi" gibi ifadeler doğrudan baskı aracıdır.
- "Çeşitli kuruluşlardan büyük veri dökümü" başlığı, bazı kurbanların tek tek adı verilmeden toplu olarak ifşa edildiğine işaret eder.
Sızıntı sitesi ilanlarının, grubun kendi iddiaları olduğu ve bağımsız olarak doğrulanmadığı unutulmamalıdır. Örneğin Cisco, olayı kamuoyuyla paylaşırken saldırganların bazı verilere eriştiğini ancak ağında fidye yazılımı çalıştırılmadığını açıklamıştır.
Saldırı Yöntemi
İlk erişim: Kimlik, en zayıf halka
Yanluowang ile ilişkilendirilen en iyi belgelenmiş vaka Cisco ihlalidir. Cisco Talos'un kamuya açık analizine göre saldırgan, bir çalışanın kişisel Google hesabını ele geçirmiş; bu hesapta tarayıcı senkronizasyonu yoluyla saklanan kurumsal parolalara ulaşmıştır. Çok faktörlü kimlik doğrulamayı (MFA) aşmak için ise iki teknik birlikte kullanılmıştır: güvenilir bir kuruluş adına yapılan sesli oltalama aramaları ve kullanıcının sonunda onaylaması umuduyla art arda gönderilen MFA bildirimleri ("MFA yorgunluğu"). Talos, bu ilk erişimi Yanluowang'ın yanı sıra Lapsus$ ve UNC2447 olarak izlenen yapılarla bağlantılı bir ilk erişim aracısına atfetmiştir.
Verimizde Yanluowang'a özgü bir güvenlik açığı (CVE) istismarı kaydı bulunmaması da bu tabloyla uyumludur. Grubun bilinen operasyonlarında belirleyici olan, yazılım açıklarından çok kimlik bilgilerinin ve insan faktörünün istismarıdır. Bu, yama yönetiminin tek başına yeterli olmadığını, kimlik güvenliğinin en az onun kadar kritik olduğunu gösteriyor.
Keşif ve kimlik bilgisi toplama
Ağa giren saldırganların ilk işi ortamı tanımaktır. Grubun araç profili, Active Directory yapısını ve ağdaki cihazları haritalamak için yaygın keşif araçlarına başvurduğunu gösteriyor. Ardından kimlik bilgisi toplama aşaması gelir: tarayıcılarda kayıtlı parolaların çekilmesi, bellekten oturum bilgilerinin elde edilmesi ve özellikle dikkat çekici biçimde, parola yöneticisi kasalarının ana anahtarlarının hedeflenmesi. Bu son nokta önemlidir; parola yöneticisi kullanmak tek başına güvenlik sağlamaz, kasanın açık olduğu cihaz ele geçirilirse kasadaki tüm kimlik bilgileri risk altına girer.
Grubun, Windows'un kendi yönetim araçlarını kullanarak Active Directory veritabanının bir kopyasını çıkarmaya yöneldiği de profilde yer alıyor. Bu, saldırganın etki alanındaki tüm hesapların parola özetlerine erişmesi, yani ağın "anahtarlığını" bütünüyle ele geçirmesi anlamına gelir.
Yayılma ve kalıcılık
Yeterli yetkiyi elde eden saldırganlar, meşru uzaktan yürütme araçları ve yaygın saldırı simülasyonu çerçeveleriyle sunucudan sunucuya yayılır. Kalıcılık için ise ticari uzaktan destek yazılımlarının kurulması tercih edilir. Bu yaklaşımın avantajı, bu yazılımların pek çok kurumda zaten meşru olarak kullanılması ve güvenlik ürünlerinde alarm üretmeme ihtimalinin yüksek olmasıdır. Ağ trafiğini gizlemek için tünelleme araçları kullanılmakta, iz bırakmamak için de Windows olay günlüklerinin silindiği görülmektedir. Günlüklerin silinmesi, olay sonrası incelemeyi ciddi biçimde zorlaştırır.
Veri sızdırma ve şifreleme
Fidye notundaki ifadeler, grubun şifreleme öncesinde büyük hacimli veri sızdırdığını ve yedekleri hedef aldığını açıkça ortaya koyuyor. Profildeki bulut depolama istemcilerine ilişkin kayıtlar, sızdırılan verinin bulut depolama hizmetlerine aktarılmış olabileceğini düşündürmektedir. Son aşamada sistemler şifrelenir ve yedekler silinerek kurbanın kendi imkanlarıyla geri dönüş yapması engellenmeye çalışılır. Bu sıralama (önce veri, sonra yedek, en son şifreleme) günümüz fidye yazılımı operasyonlarının tipik "çift gasp" kurgusudur.
Gasp Modeli
Sızıntı sitesi
Yanluowang, kurbanlarını sızıntı sitesinde ilan ederek baskı kuran bir çift gasp modeli işletmiştir. Yukarıdaki başlıklardan görüldüğü gibi, site yalnızca veri yayımlama aracı değil, aynı zamanda alay ve aşağılama içeren bir propaganda kanalı olarak kullanılmıştır. Cisco ilanı, grubun dikkat çekmek ve itibar kazanmak için büyük bir markanın adını öne çıkarma stratejisinin belirgin bir örneğidir.
Verimizde grubun müzakere süreçlerine, fidye taleplerine ya da ödeme davranışına ilişkin bir kayıt bulunmamaktadır.
Fidye notunun dili
Grubun fidye notu İngilizcedir ve kurbanı hedefli biçimde yalnızlaştırmaya yöneliktir. Not, tüm sistemlerin şifrelendiğini, yedeklerin silindiğini ve 2 terabayt gizli verinin indirildiğini iddia eder. Ardından kurbana "yapmaması gerekenler" sıralanır:
- Anlaşma tamamlanmadan polis, FBI ya da diğer resmi makamlarla iletişime geçmemesi istenir.
- Görüşmeleri yürütmesi için bir veri kurtarma ya da olay müdahale firmasıyla çalışmaması istenir; bunun süreci yavaşlatacağı iddia edilir.
- Dosyaları kendi başına çözmeye çalışmaması ve dosya uzantılarını değiştirmemesi istenir.
Kamuya açık araştırmalarda, grubun bu kurallara uyulmaması durumunda kuruma yönelik hizmet engelleme (DDoS) saldırıları düzenlemek, çalışanları ve iş ortaklarını aramakla tehdit ettiği de aktarılmıştır. Bu kurgunun amacı açıktır: kurbanı uzmanlardan ve resmi makamlardan uzak tutmak, karar sürecini paniğe dayalı hale getirmek ve pazarlık gücünü tamamen saldırgan tarafına geçirmek.
Bu tehditler hiçbir yasal yükümlülüğü ortadan kaldırmaz. Türkiye'de kişisel veri ihlallerinin, öğrenilmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurumu'na (KVKK) bildirilmesi gerekir; siber olayların USOM'a bildirilmesi de önem taşır. Fidye ödemesi, verinin geri verileceğini ya da yayımlanmayacağını garanti etmez ve suç ekonomisini besler; bu nedenle önerilen bir yol değildir.
Diğer Gruplarla İlişki
İzleme verimizde Yanluowang ile ortak kurban ilan eden tek bir grup bulunmaktadır:
| Grup | Ortak kuruluş sayısı | Mükerrer kayıt |
|---|---|---|
| shaoleaks | 1 | 0 |
Benzer hedef profiline sahip grup kaydı ise bulunmamaktadır.
Tek bir ortak kurban, iki grup arasında organik bir bağ kurmak için yeterli değildir. Bu tür örtüşmeler; aynı kuruluşun farklı saldırganlarca ayrı ayrı hedef alınmasından, daha önce sızdırılmış verinin başka bir platformda yeniden yayımlanmasından ya da ilk erişimin birden fazla gruba satılmasından kaynaklanabilir.
Yanluowang'ın asıl ilişki ağı, Cisco vakasında görüldüğü gibi ilk erişim aracıları üzerinden şekillenmiştir. Talos'un ilk erişimi Lapsus$ ve UNC2447 ile bağlantılı bir aracıya atfetmesi, fidye yazılımı ekosisteminde erişim satışının ve iş birliğinin ne denli yaygın olduğunu göstermektedir. Grubun iç yazışmalarının sızmasının ardından faaliyetlerin sona ermesiyle birlikte, üyelerin ya da iş ortaklarının başka operasyonlara geçmiş olabileceği değerlendirilmektedir; ancak verimiz belirli bir yeniden markalamayı ya da göçü doğrulayacak bir bağlantı içermemektedir.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
Verimizde kurbanlara ilişkin ülke sınıflandırması bulunmadığından Türkiye'ye yönelik doğrudan bir etki tespit edilememektedir. Yanluowang artık aktif görünmese de, grubun izlediği yol bugün de pek çok grup tarafından kullanılmaktadır ve Türkiye'deki kuruluşlar için doğrudan geçerli dersler içermektedir.
Genel düzeyde öne çıkan korunma başlıkları şunlardır:
- Kimlik güvenliğini önceliklendirin: Bildirim onayına dayalı MFA yerine, oltalamaya dayanıklı doğrulama yöntemlerini değerlendirin ve art arda gelen onay isteklerine karşı çalışanları bilinçlendirin.
- Kişisel ve kurumsal hesapları ayırın: Kurumsal parolaların kişisel tarayıcı profillerinde ve kişisel hesaplarda senkronize edilmesini politika düzeyinde engelleyin.
- Sesli oltalamaya karşı farkındalık oluşturun: BT destek ekibi ya da güvenilir bir kurum adına yapılan aramalarda doğrulama prosedürü tanımlayın.
- Uzaktan erişim yazılımlarını envanterleyin: Kurumda hangi uzaktan destek araçlarının onaylı olduğunu belirleyin, onaysız kurulumları izleyin.
- Active Directory'yi kritik varlık olarak koruyun: Yönetici hesaplarının sayısını azaltın, ayrıcalıklı erişimi ayrı ve izlenen hesaplarla sınırlayın.
- Günlükleri merkezi ve değiştirilemez biçimde saklayın: Saldırganın yerel günlükleri silmesi, merkezi kayıtlar varsa olay incelemesini engelleyemez.
- Yedekleri ağdan yalıtın: Çevrim dışı ya da değiştirilemez yedekler tutun ve geri dönüş süreçlerini düzenli olarak test edin.
- Olay müdahale planını önceden hazırlayın: KVKK ve USOM bildirim adımlarını, iletişim sorumlularını ve dış destek seçeneklerini önceden belirleyin.
Saldırıya uğrayan kuruluşların, sistemlere müdahale etmeden önce profesyonel olay müdahalesi desteği alması önerilir; DrDisk Lab bu süreçte ücretsiz ön analiz sunmaktadır.
Sonuç
Yanluowang, izleme verimize göre yalnızca altı ilanla, yaklaşık bir buçuk aylık bir sızıntı sitesi evresi geçirmiş, kısa ömürlü ama yüksek profilli bir fidye yazılımı grubudur. Grubu akılda kalıcı kılan şey hacmi değil, hedeflediği markalar ve özellikle Cisco vakasında ortaya çıkan yöntemdir: kişisel hesaplardan sızan parolalar, sesli oltalama ve MFA yorgunluğu. Grubun fidye notu, kurbanı resmi makamlardan ve uzmanlardan uzak tutmaya dayalı bir baskı stratejisini açıkça ortaya koyuyor. Bu stratejiye verilecek doğru yanıt da tam tersidir: yasal bildirimleri zamanında yapmak, profesyonel destek almak ve kimlik güvenliğini savunmanın merkezine koymak.
