Cisco, 10.08.2022 Çarşamba günü, Yanluowang Ransomware grubunun dosyalarının yayınlayacağını iddia etmesinden ve çalınan bilgilerin ekran görüntülerini dark web’de yayınlamasından kısa bir süre sonra çalışanı üzerinden hack vakası gerçekleştirildiğini onayladı. Olayda birçok ransomware grubunun ismi geçmesine rağmen (UNC2447, Lapsus$, Yanluowang) dosya ekran görüntülerini paylaşan grup Yanluowang ransomware grubudur.

Cisco Talos, ayrıntılı blog yazısında “Cisco VPN’ e ilk erişim, bir Cisco çalışanının kişisel Google hesabının başarılı bir şekilde ele geçirilmesiyle sağlandı” dedi. Yayınlanan blog yazısına göre “Kullanıcı, Google Chrome aracılığıyla şifre senkronizasyonunu etkinleştirmiş ve Cisco kimlik bilgilerini tarayıcısında saklayarak bu bilgilerin Google hesaplarıyla senkronize edilmesini sağlamıştır.” Bu söylemden anlaşıldığı üzere kişinin şahsi Google hesabı ele geçirilmiştir.

Cisco Talos ‘un ayrıntılı yazısına bu linkten ulaşabilirsiniz: https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html

Hacklenme işlemi nasıl, hangi tekniklerle gerçekleşti?

Cisco ikili kimlik doğrulaması kullanmasına rağmen saldırganlar MFA atlatma tekniklerini kullanarak çalışanın kişisel verisini ele geçirmede başarılı olmuştur.

Bu hesap bilgileri kullanılarak VPN ile uzaktan erişimini sağlamıştır ve herhangi bir değerli veri içermediğine inanılsa da iddia edilene göre 2.8 GB boyutunda bir veriye erişilmiştir.

 Saldırganların ağ içindeki sistemlere erişim amacıyla aşağıda listelenen çeşitli uzaktan erişim araçları kullandığı söyleniyor.

• LogMeIn
• TeamViewer
• Cobalt Strike
• PowerSploit
• Mimikatz
• Impacket

Saldırının tespit tarihi 24 Mayıs 2022 olarak gözükmesine rağmen ekran görüntülerinin çıkmasından sonra bu olayın Cisco tarafında onaylanması belirli standartlar kapsamına uygun olup olmadığı yönündeki tartışmaları sürdürmekte.