n0n şantaj grubu 38 liman ve denizcilik şirketini listeledi, 19 Ekim'e süre verdi

Kendisine n0n adını veren bir siber şantaj grubu, tehdit istihbaratı firması SOCRadar'ın aktardığına göre 12 Ekim'de tek seferde 18 ülkeden 38 denizcilik ve lojistik kuruluşunu karanlık ağdaki sızıntı sitesine ekledi. Eylül ayında ortaya çıkan grup, çaldığını iddia ettiği verileri 19 Ekim'de yayımlamakla tehdit ediyor ve 2,4 milyon ile 14 milyon dolar arasında fidye talep ediyor. Bu durum konteyner terminallerini, nakliye hatlarını ve liman BT hizmet sağlayıcılarını süre dolmadan önce baskı altına alıyor.

Neler oldu?

SOCRadar'a göre yeni kayıtların neredeyse tamamı liman, nakliye ve lojistik sektöründen. Listelerin 12'si Güney Kore'den; aralarında Busan'daki terminal işletmecileri BNCT ve Pusan Newport Company de var. Grupta ayrıca beş liman BT ve EDI (elektronik veri değişimi) sağlayıcısı, nakliye hatları, acenteler, depolar ve ekspertiz firmaları yer alıyor. SAFETY4SEA'nın haberine göre adı geçen kuruluşlar arasında Ocean Network Express, CULines, T.S. Lines, Santos Brasil, TTI Algeciras ve Eurogate Tanger bulunuyor. Denizcilik siber güvenliği firması Cydome da 14 Ekim'de bir uyarı yayımlayarak ortak bir ortamla bağlantılı olarak 37 denizcilik kuruluşunu etkileyebilecek bir maruziyetten söz etti.

Tüm kayıtlar için ortak yayım tarihi 19 Ekim saat 13.27 (UTC) olarak belirlendi. SOCRadar'ın aktardığına göre EUSU Logistics'ten 60 MB veri için 14 milyon dolar, ILCS Pelindo'dan 2,4 GB veri için 2,4 milyon dolar, Eurogate Tanger'den ise 6 milyon dolar isteniyor. Bazı sayfalar, Bitcoin ile ödenecek yüzde 10'luk bir giriş ücreti karşılığında pazarlık odası da sunuyor.

Teknik detaylar

SOCRadar, n0n'u finansal motivasyonlu bir veri hırsızlığı ve şantaj grubu olarak tanımlıyor. Grubun önceki saldırıları genellikle bilgi hırsızı (infostealer) zararlılarla ele geçirilen kimlik bilgileriyle başlıyordu. Denizcilik dalgasından önce grup 17 ülkeden 21 kurbanı listelemişti.

Denizcilik listeleri ise farklı bir tablo çiziyor. İncelenen kayıtlar küçük ve belirli bir uygulamaya özgü veri setlerini tarif ediyor: Nam Dinh Vu Port'tan 23.507 EDI mesaj dosyası, Pusan Newport Company'den 1,5 GB, Eurogate Tanger'den 660 MB gibi. SOCRadar bu örüntünün 38 ayrı sızma yerine tek bir ortak platforma veya açığa işaret ettiği sonucuna vardı ve listelenen şirketlerin çoğu için bilgi hırsızı kayıtlarında kimlik bilgisi eşleşmesi bulamadığını belirtti. Firma durumu MOVEit ve Cleo toplu istismar kampanyalarına benzetse de n0n'u bunlarla ilişkilendiren bir kanıt olmadığının altını çizdi. SAFETY4SEA da mevcut kanıtların ortak bir giriş noktasını ortaya koymadığını aktardı.

Kimler etkileniyor?

İddialar henüz doğrulanmış değil: SOCRadar ve SAFETY4SEA'ya göre haberlerin yazıldığı sırada listelenen denizcilik kuruluşlarından hiçbiri ihlali kamuoyu önünde doğrulamamıştı. SOCRadar, sürastarya kayıtları ve liman masraf hesapları gibi ayrıntılı veri tanımlarının iddialara bir miktar inandırıcılık kattığını, kalıp metinlerin ve teyit eksikliğinin ise aleyhte olduğunu belirtiyor. Grubun gerçekte neye sahip olduğu 19 Ekim'deki yayınla netleşecek.

Ne yapmalı?

SOCRadar denizcilik kuruluşlarına ortak kullanılan platformları belirlemelerini ve tedarikçilere inceleme yapıp yapmadıklarını sormalarını, internete açık EDI, dosya aktarım ve terminal sistemlerini yamalayıp gözden geçirmelerini, entegrasyon kimlik bilgilerini yenilemelerini, çalışan ve tedarikçi kimlik bilgilerini bilgi hırsızı kayıtlarında kontrol etmelerini, VPN ve RDP erişiminde çok faktörlü kimlik doğrulamayı zorunlu kılmalarını ve iş ortaklarının verisi sızarsa müşteri ve düzenleyici iletişimine hazırlanmalarını öneriyor. Cydome ise tedarikçi riskinin değerlendirilmesini, tedarikçi yetkilerinin gözden geçirilmesini ve destek kanallarında paylaşılan kimlik bilgilerinin incelenmesini tavsiye etti.