Fidye yazılım çeteleri nasıl işler?

Geçtiğimiz yıl kurbanlarından 180 milyon dolar koparmayı başaran dünyanın en acımasız fidye yazılım (ransomware) çetesi Conti, Rusya’nın Ukrayna’yı işgalinin ardından kendi içerisinde fikir ayrılıkları yaşadı. Öncesinde çeteye sızmayı başarmış ve anlaşmazlığı fırsata çeviren Ukraynalı bir siber güvenlik araştırmacısı ise dağılma noktasına gelen gruba ait belgeleri, kaynak kodlarını ve iç yazışmaları Twitter’da ifşa etti.

Sonun başlangıcı

Conti, Rusya’ya ait silahlı güçlerin Ukrayna’ya girmesini takip eden birkaç saat içerisinde Vladimir Putin’in işgal kararını desteklediğini açıkladı. O kadar ki, Rusya’ya yardım teklif eden grup Ukrayna’yı da önemli sistemlerini hack’lemekle tehdit etti.

Ancak grubun hesaba katmadığı bir şey vardı. Üyelerinin büyük çoğunluğu Rusya’dan olsa da bir kısmı da dünyanın dört bir yanına dağılmış haldeydi ve bunların büyük çoğunluğu işgali desteklemiyordu. Grubun yöneticileri sitede paylaştıkları Putin’e destek mesajını kaldırsalar da, artık çok geçti; ok yaydan çıkmıştı bir kere.

İfşa edilen yazışmalar çetenin acımasız uygulamalarının, üyelerinin kişiliklerinin ve fidye pazarlıklarına ait detayların yanı sıra, dünyanın en “başarılı” fidye yazılım çetesinin nasıl şirketvari bir ciddiyetle yönetildiğini de ortaya koyuyor.

^{Chainalysis üzerinden}

Sistemin çarkları

Grubun çeşitli yönetici kademelerine sahip olduğunu ve yazılımcılardan araştırmacılara tam teşekküllü bir yazılım güvenliği firması gibi çalıştığını belirten araştırma, yazılımcıların kodu nasıl teslim etmeleri gerektiğine ait detaylı dokümantasyonun bulunduğunu ve hatta grubun bir insan kaynakları departmanının dahi olduğunu gözler önüne seriyor.

Çeteye ait iç yazışmalar 2020 yılının başından başlayarak günümüze dek uzanıyor. Öne çıkan yazışmalar ise çetenin önde gelen yöneticilerinden oldukları anlaşılan ‘Mango’ ve ‘Stern’ arasında geçiyor. Mango sık sık Stern’e uzun tiradlar atıyor. Bu yazışmalarda kimi zaman çalışma arkadaşlarını çekiştiriyor kimi zamansa grubun üzerinde çalıştığı projeler hakkında Stern’ü bilgilendiriyor.

2021’in ortasındaki yazışmalara göre Conti’nin o dönemki ekibi 62 kişiden oluşuyor, ancak ekibin boyutları projelerin boyutlarına bağlı olarak büyüyüp küçülebiliyor. Zaman zaman 100 kişiyi aştığı bile oluyor. Bir noktada Stern bir 100 kişiyi daha işe almayı daha düşündüğünü itiraf ediyor. Başka bir sohbet kanalındaki iki farklı üye, aralarında grubun “orta düzey yöneticiler olmadan” işleri yürütemeyecek kadar büyüdüğünü tartışıyor.

Grubun operasyonel büyüklüğü öyle bir boyuta ulaşmış ki, tıpkı sıradan bir yazılım geliştirme firması gibi bir şirket hiyerarşisine ihtiyaç duyuluyor. Çalışanların büyük çoğunluğunu koparılan fidyelerden pay almayan maaşlı çalışanlar oluşturuyor. İster inanın ister inanmayın, en alt kademe yazılımcılara bile ayda 1500 ila 2000 dolar arası ödeme yapılıyor. 

Tabii bu sizi yanıltmasın, önemli görevleri olan çalışanlar maaşlarına ek olarak fidyelerden de bonus alıyorlar. Örneğin çetenin bordrosunda (ismi verilmeyen) bir gazeteci olduğu da söyleniyor. Bu gazeteci kurbanlar üzerinde baskı kurarak onları fidyeyi ödemeye ikna edebilirse fidyeden yüzde 5 pay alıyor. Maaş ödemeleriyse iki haftada bir gerçekleşiyor. Bu sıklıkta yapılan ödemeler grubun başta düzenli bir nakit akışına sahip olduğuna işaret ediyor.

^{Chainalysis üzerinden}

Akçeli işler

Para meseleleri çetenin sohbetlerinin mühim bir kısmını teşkil ediyor. Dosyaları kilitlenerek “tutsak alınan” işletmelere kilidi açacak anahtarı ne kadara satacaklarından tutun (milyon dolarlık meblağlardan bahsediliyor) yeni donanım ihtiyaçları, ofis ve sunucu giderlerine kadar birçok gelir ve gider kalemi bu mesajlaşmalarda tartışılıyor. Grup, giderlerini Google Sheets üzerinde tutuyor.

Çetenin bir üyesinin mesajlarında nihayet bir iMac satın alacak parayı kazandığı için ne kadar mutlu olduğu görülüyor. Ardından bu üye tatile çıkacağından bahsettiğinde ‘Mango’ “Senin yerinde olsam yurt dışına çıkmam” diyor. “Ömrümüz boyunca Rusya’da tıkılıp kalacak mıyız?” sorusunuysa “Yanına sakın bilgisayar falan alayım deme, telefonunu da formatla” şeklinde yanıtlıyor.

Yöneticiler sadece para kazanmayı değil ekibin motivasyonunu da düşünüyor. Çıkan belgeler arasında takım çalışmasını ve çalışan motivasyonunu sağlamak üzerine yöneticilere yönelik rehberler de bulunuyor. Tüm çabalara rağmen çalışan sirkülasyonu yine de yüksek seyrediyor. İşten ayrılmaların sıklığı nedeniyle insan kaynakları departmanı sürekli bir işe alım sürecinin içerisinde gözüküyor.

Pandemi öncesinde yaşanan yeni çalışanlar için St. Petersburg’da 6 yeni ofis açılması tartışmaları, pandemi döneminde yerini “Moskova saatiyle” ve uzaktan çalışmaya bırakıyor.

Operasyonel kararlar

Grup içi yazışmalar genelde Jabber (Cisco’nun Slack ve Teams alternatifi) üzerinden yapılsa da, saldırılar (Dünya Bankası ve ABD Donanması tarafından da kullanılan) açık kaynak kodlu yazılım RocketChat üzerinden koordine ediliyor. 

Her kurban ya da hedef için ayrı bir sohbet kanalı oluşturuluyor ve tüm kanallarda farklı seviyelerden iki ila dört arasında grup üyesi yer alıyor. Mesajlaşmalar genelde kurbanın ağındaki sızılmış bir bilgisayarına ait giriş bilgilerinin paylaşılmasıyla başlıyor. Genel mesaj kanalındaysa Ukrayna devlet başkanı Zelenskiy hakkında yapılan antisemitik yorumlardan, kadın ve çocuk tacizine kadar her biri birbirinden berbat tonla muhabbet dönüyor.

Grup, antivirüs yazılımlarındaki açıkları tespit etmek için uydurma isimlerle şirketler kurup bunların adına yazılım satın alıyor. Güncel güvenlik araştırmaları hakkında Youtube videoları paylaşıyor, hatta araştırmacılar kendilerinden nasıl bahsediyor diye de takip ediyor.

Haftada 5 gün, günde 3 vardiya ile 24 saat çalışan ekibin kurbanları arasında İrlanda’nın kamu sağlık sisteminin de bulunduğu biliniyor. İstenen 20 milyon dolarlık fidyeyi ödemeyen kurum için saldırının maliyetinin 600 milyon doları bulduğu düşünülüyor. Bu saldırının ardındaki isim ‘Dollar’ ise şirket içerisinde birçok tartışmaya sebep olmuş. Dollar’ın şirkette seveni pek yok. Yazışmalardan Conti gibi bir çetenin bile prensipleri olduğu anlaşılıyor. Bu prensipler arasında sağlık kurumları gibi hassas hedeflere saldırmamak bulunuyor. Mango’ya göre bu tarz saldırılar “grubun itibarını zedeliyor.” Mango, Dollar’a “burada herkes senden şikayetçi, bize hayrından çok zararın var,” diyor.

Perde ve kapanış

21 Şubat’a geldiğimizdeyse Conti yönetimi, patronun bir süreliğine ortadan kaybolacağını paylaşıyor. Sebebi net olarak belirtilmese de “dış güçlerin” dikkatini çeken patronun daha fazla dikkat çekmemek için gözlerden ırak bir yerde olacağı bildiriliyor. 

Ukrayna’nın Rusya tarafından işgalinin ardından yaşanan çözülme sürecinin sonundaysa şirketin maaş ödeyecek parası kalmadığı açıklanarak herkesten birkaç aylık zorunlu bir tatile çıkmaları isteniyor. Bu noktadan sonra şirketin operasyonları dursa da sohbet odası hâlâ açık olduğu için Rusya’nın Ukrayna’yı işgali ile ilgili muhabbetler dönmeye devam ediyor.

Sızdırılan bilgiler arasında grup üyelerinin kişisel bilgileri, sosyal medya hesaplarındaki kullanıcı isimleri, kripto cüzdanları ve e-posta adresleri de bulunuyor. Güvenlik güçlerinin bu bilgilerle neler yapacağını önümüzdeki dönemde hep birlikte göreceğiz.