Rakesh Krishnan'ın Ransom-ISAC için yaptığı ve sızdırılan bir müzakere sohbeti ve ödemenin bıraktığı blockchain izini temel alan yeni bir vaka çalışmasına göre, bir ABD hükümet kuruluşu çalınan dosyaların sızdırılmasını önlemek için yaklaşık 1 milyon dolar ödedi.
İşin tuhaf tarafı, parayı alan grup kendisine Kairos adını veriyor ancak bu bir fidye yazılımı çetesi olmayabilir. Krishnan, tek bir makineyi kilitlediğine dair hiçbir iz bulamadı: ne bir şifreleyici, ne bir dolap, ne de bir şifre çözme anahtarı talebi. Tehdit daha basitti. Dosyaları çalın, ardından kurbanı bunları yayınlamaması konusunda suçlayın.
Krishnan kurbanın adını vermiyor ama sohbet Union County, Ohio'yu gösteriyor. Hırsızlık kanıtı dosyaları Union.xlsx, 1 union co psi şablonu.doc gibi adları ve union.rar adlı son arşivi taşır. Kurban kendisinin sınırlı kaynaklara sahip küçük bir ilçe olduğunu söylüyor. Saldırgan özellikle üzerinde "savcılık" yazan bir dosyaya eğiliyor ve bu dosyanın sızdırılmasının suçluların suçlamalardan kaçmasına yardımcı olacağı uyarısında bulunuyor.
İpuçları gerçek bir vakaya uyuyor. Mayıs 2025'te Union County, Ohio, ağında fidye yazılımı tespit ettiğini ve daha sonra 45.487 sakine ve personele verilerinin alındığını bildirdiğini ve bunun yaklaşık 70.000 ilçenin çoğunu etkilediğini söyledi. Çalınan kayıtlar Sosyal Güvenlik ve mali ayrıntılardan parmak izleri ve pasaport numaralarına kadar uzanıyordu.
Ne ilçe ne de Kairos bağlantıyı doğrulamadı. Ama eğer tutarsa, bir eyalet hükümeti kamuya açıklanmayan yaklaşık 1 milyon dolar ödemiş olacak. Hacker News, yorum almak için Union County Komiserler Ofisi ile temasa geçti. Bu hikaye herhangi bir yanıtla güncellenecektir.
Uzmanların Görüşleri
Müzakereler yaklaşık bir ay sürdü. Kairos 3 milyon dolardan açıldı ve 2 terabayttan fazla veri, yani yaklaşık 1,6 milyon dosya tuttuğunu iddia etti. İlçe 100.000 dolardan başladı, 255.000 dolara, ardından 430.000 dolara çıktı. Kairos 2 milyon dolara düştü, ardından kesin bir rakam belirledi: 1 milyon dolar, cumaya kadar ödeyin ya da dosyalar kamuya açıklansın.
Zincirdeki ödeme: Kairos bağlantılı cüzdana yaklaşık 9,44 BTC düşüyor.
Gelecekte Ne Bekleniyor?
Her zamanki araçları kullandı: geri sayım sayacı, sıkı teslim tarihleri ve en hassas klasörleri ilk önce boşaltma tehdidi. İlçe, 13 Haziran 2025'te ilk teklifinin on katını ödedi.
Ödeme kabaca 9,44 Bitcoin değerindeydi ve o sırada yaklaşık 1 milyon dolar değerindeydi. Krishnan paranın izini oradan sürdü. Birkaç saat içinde ikiye bölündü ve bir cüzdan zinciri aracılığıyla Bybit, OKX ve BELQI adlı bir Rus hizmetine bağlı kripto para borsalarına bağlı para yatırma adreslerine doğru itildi.
Bu tür bir takip, araştırmacıların önderlik ettiği ellerdir, isimler değil. Ve para sağlam hiçbir şey satın almadı. Kairos bir "silme kanıtı" dosyası gönderdi ancak dosya adlarının listesi, orijinallerin silindiğini değil, yalnızca saldırganın dosyalara bir kez sahip olduğunu gösteriyor. Çalınan verilerin kaybolması için ödeme yapmak bir inanç eylemidir ve makbuz hırsız tarafından yazılır.
Union County, başına gelenleri herkesin aradığı fidye yazılımı olarak adlandırdı, ancak Kairos vakasında hiçbir şey kilitli değildi. Gerçek değişim budur: Halen fidye yazılımı olarak adlandırılanların çoğu artık şifrelemeyi atlıyor ve çalınan verilerin kendisini baskı noktası olarak kullanıyor.
Önemli Gelişmeler
Sophos, 2025'te fidye yazılımı saldırılarının yalnızca yarısının hala herhangi bir şifreleme içerdiğini ve bu altı yılın en düşük oranı olduğunu bildirdi. Bazı ekipler bunu tamamen bıraktı. Conti'nin bir kolu olan Silent Ransom Group, hiçbir şifreleme aracı olmadan ABD hukuk ve finans firmalarına karşı saf veri hırsızlığı yaparak yıllarını harcadı.
Kairos sohbeti de tanıdık bir müzakere modeline uyuyor. Black Basta'nın dahili sohbetleri Şubat 2025'te sızdırıldığında, mesajların analizi, 1,5 milyon dolarlık bir talepten 100.000 dolarlık bir karşılığa ve 1 milyon dolarlık bir ödemeye kadar uzanan bir anlaşmayı ortaya çıkardı; bu neredeyse aynı yay. Bu sohbetler ve 2022'de önlerinde yer alan Conti sızıntıları, araştırmacıların artık bu pazarlıkların gerçekte nasıl sonuçlanacağını yeniden yapılandırmasını sağlıyor.
Sonuç ve Değerlendirme
Kairos'un kendisi sessizliğe büründü. Sızıntı yapılan site kapandı ve bilinen son kurbanı Haziran 2026'da ortaya çıktı. Ancak operasyona bağlı bir cüzdan, Mayıs 2026'ya kadar hâlâ para taşıyordu; bu, karanlık bir sızıntı sitesinin ölü bir ekiple aynı olmadığını hatırlatıyordu.
Küçük bir hükümet ağını yöneten herkes için dersler sıkıcı ve tanıdıktır, asıl mesele de budur. Kairos, bunun yalnızca bir şifreyi tahmin ederek giriş yaptığını iddia ettiği için çok faktörlü kimlik doğrulamayı açın.
Detaylar ve Etkileri
Tekrarlanan başarısız oturum açma işlemlerine, büyük miktarda giden veri aktarımlarına ve Kairos'un dosyaları taşımak için kullandığı temp.sh adresleri gibi yakıcı dosya paylaşım bağlantılarına dikkat edin. Yasal, İK ve vatandaş kayıtlarını ağın geri kalanından uzakta tutun. İhtiyaç duymadan önce bir kamu açıklama planınızı hazırlayın bir. Ve çalınan verileri silmeye yönelik herhangi bir sözün hiçbir değeri yokmuş gibi davranın.
