57 yaşındaki Daniel Rhyne, merkezi New Jersey’de bulunan bir sanayi şirketini hedef alan başarısız bir şantaj girişimindeki rolünü kabul etmesinin ardından 32 ay hapis cezasına çarptırıldı. Rhyne, daha önce temel altyapı mühendisi olarak sahip olduğu yetkilerden yararlanarak şirketin ağına uzaktan erişti ve fidye saldırılarına benzer bir saldırı gerçekleştirdi.
Ağ nasıl devre dışı bırakıldı?
Rhyne, 8-25 Kasım tarihleri arasında yönetici hesabını kullanarak ağa yetkisiz biçimde girdi. Mahkeme belgelerine göre, yönetici hesabının parolasını TheFr0zenCrew! olarak değiştiren zamanlanmış görevler oluşturdu ve alan yöneticilerine ait 13 hesabı sildi; ayrıca alandaki 301 kullanıcı hesabının parolalarını da aynı ifadeyle değiştirdi.
Başka görevler de iki yerel yönetici hesabının parolalarını PsPasswd olarak değiştirdi ve bunun sonucunda 254 sunucuya erişim engellendi. İki ek yönetici hesabının parolaları da değiştirildi ve 3.284 iş istasyonu daha izole edildi. Rhyne, Aralık 2023’te birkaç gün boyunca şirketin ağındaki rastgele sunucuları ve iş istasyonlarını durdurdu.
Fidye talebi ve tekrarlanan devre dışı bırakma tehdidi
25 Kasım’da çalışma arkadaşlarına «Your Network Has Been Penetrated» başlıklı bir mesaj gönderdi. Mesajda, veri kurtarmayı imkânsız kılmak için sunucu yedeklerinin silindiğini belirtti ve şirketten 20 bitcoin, yani o dönemde yaklaşık 750.000 dolar ödemesini istedi. Ayrıca fidye ödenmediği takdirde on gün boyunca her gün rastgele 40 sunucuyu durdurmakla tehdit etti.
Ceza şikâyeti, ağ yöneticilerinin Doğu Yakası saatiyle yaklaşık 16.00’da bir alan yönetici hesabının ve yüzlerce kullanıcı hesabının parolalarının sıfırlanmasına ilişkin bildirimler almaya başladığını ortaya koyuyor. Ardından diğer tüm alan yöneticisi hesaplarının silindiğini fark ettiler; bu da şirket ağları üzerindeki yönetim yetkilerini kaybetmelerine neden oldu.
Güvenlik ekipleri için bunun önemi nedir?
Olay, geleneksel dosya şifrelemesi olmadan bile geniş yetkilere sahip bir iç hesabın yaratabileceği zararın boyutunu pratikte gösteriyor. Saldırı; parolaların değiştirilmesine, hesapların silinmesine, cihazların devre dışı bırakılmasına ve yedeklerin hedef alınmasına odaklandı. Bunlar, kurumsal bir ortamı felç etmeye ve müdahale ekiplerinin kontrolü hızla yeniden ele geçirmesini engellemeye yeterli işlemlerdi.
Soruşturmacılar, Rhyne’ın planı uygulamadan önce alan kullanıcılarının parolalarını değiştirme, hesapları silme ve Windows günlüklerini temizleme yöntemlerini araştırdığını; ayrıca yerel yöneticilerin parolalarını yerel ve uzaktan değiştirmeye ve komut satırını kullanarak bilgisayarları kapatmaya yönelik komutları aradığını tespit etti. Şirketin savunma ayrıntıları ve faaliyeti tespit etme mekanizmaları kaynak materyalde belirtilmiyor; bu nedenle kontrollerinin ne kadar etkili olduğu veya yetkisiz erişimin neden sürdüğü sonucuna varılamaz.
Ceza, Rhyne’ın Ağustos 2024’te tutuklanmasının ve federal mahkemedeki ilk duruşmasının ardından serbest bırakılmasının sonrasında geldi. Kaynak ayrıca, North Carolina’dan sözleşmeli bir veri analistine ilişkin ayrı bir kararı da aktardı. Analist, işvereni Brightly Software’dan 2,5 milyon dolar şantajla almaktan mahkûm edilmesinin ardından mart ayında iki yıl hapis cezasına çarptırıldı.