Giriş
Payouts King fidye yazılımı, QEMU emülatörünü ters yönlü SSH arka kapı olarak kullanarak ele geçirilmiş sistemlerde gizli sanal makineler (VM) çalıştırmakta ve uç nokta güvenliğini aşmaktadır. Bu durum, hem bireyler hem de kuruluşlar için ciddi bir güvenlik tehdidi oluşturmaktadır.
Saldırı Nasıl Çalışıyor?
Payouts King fidye yazılımı, QEMU açık kaynaklı bir CPU emülatörü ve sistem sanallaştırma aracı olarak kullanılmaktadır. Saldırganlar, QEMU içindeki VM’lerde kötü amaçlı dosyaları çalıştırmakta, gizli uzaktan erişim tünelleri oluşturarak hedef sistemlerin içinde güvenlik çözümlerinden kaçmaktadır. Güvenlik çözümleri, VM’lerin içinde tarama yapamadıkları için bu durum saldırganlar açısından önemli bir avantaj sağlamaktadır.
Araştırmacılar, STAC4713 ve STAC3725 olarak tanımlanan kampanyalarda QEMU’nun kullanıldığını tespit etmişlerdir. Özellikle STAC4713 kampanyası, Payouts King fidye yazılımı operasyonu ile ilişkilendirilmektedir. CVE-2025-5777 zafiyetinin istismar edildiği STAC3725 kampanyası ise, CitrixBleed 2 güvenlik açığını hedef almaktadır.
Etkilenen Sistemler
Payouts King fidye yazılımı, özellikle aşağıdaki sistemlere yönelik saldırılar gerçekleştirmektedir:
- QEMU emülatörünü kullanan sistemler
- NetScaler ADC ve Gateway cihazları
- SonicWall VPN’leri
- Cisco SSL VPN’leri
Saldırılar sırasında, Rclone, BusyBox ve diğer kötü amaçlı yazılımlar gibi araçlar içeren Alpine Linux 3.22.0 versiyonu ile gizli VM’ler oluşturulmaktadır.
Çözüm ve Korunma
Sophos’un önerileri doğrultusunda, kuruluşların aşağıdaki önlemleri almaları büyük önem taşımaktadır:
- Yetkisiz QEMU kurulumlarını kontrol edin.
- SYSTEM yetkileri ile çalışan şüpheli planlanmış görevleri inceleyin.
- Alışılmadık SSH port yönlendirmelerini ve çıkış yapan SSH tünellerini takip edin.
Ayrıca, CVE-2025-26399 gibi zafiyetlerin güncellenmesi ve güvenlik duvarlarının güçlendirilmesi kritik öneme sahiptir.
Sonuç
Kurumlar, güncel güvenlik yamalarını uygulamalı, güvenlik araçlarını sürekli izlemeli ve potansiyel tehditleri zamanında tespit ederek gereken müdahaleleri yapmalıdır. Şüpheli trafik ya da beklenmeyen SSH bağlantıları tespit edildiğinde, hemen portları kapatıp sistemleri kontrol etmelidirler. Bu tür siber tehditlere karşı etkili bir savunma mekanizması oluşturulması gerekmektedir.
