{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 en ny m\u00e5de at organisere datal\u00e6kager p\u00e5","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Databrud er et alvorligt problem for sikkerhedstjenesterne. Og nu, hvor mange arbejder hjemmefra, er risikoen for databrud betydeligt h\u00f8jere. Derfor er kendte cyberkriminelle grupper begyndt at l\u00e6gge mere v\u00e6gt p\u00e5 for\u00e6ldede og utilstr\u00e6kkeligt beskyttede fjernadgangsprotokoller. Og interessant nok er der i dag flere databrud relateret til ransomware. Hvordan, hvorfor og p\u00e5 hvilken m\u00e5de \u2013 l\u00e6s videre.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nLad os starte med, at udviklingen og distributionen af ransomware i sig selv er en meget lukrativ kriminel forretning. For eksempel, if\u00f8lge vurderinger fra det amerikanske FBI, gruppen Sodinokibi<\/a><\/noindex> tjente omkring 1 million dollars om m\u00e5neden i l\u00f8bet af det forgangne \u00e5r. Og de kriminelle, der brugte Ryuk, tjente endnu mere \u2013 i begyndelsen af gruppens aktiviteter var deres indt\u00e6gter op til 3 millioner dollars om m\u00e5neden. S\u00e5 det er ikke overraskende, at mange it-sikkerhedsdirekt\u00f8rer (CISO) peger p\u00e5 ransomware-programmer som en af de fem st\u00f8rste risici for virksomheder.<\/p>\n

Acronis Cyber Protection Operation Center (CPOC) i Singapore bekr\u00e6fter aktiviteten af cyberkriminalitet inden for ransomware. I anden halvdel af maj blev der globalt blokeret 20% flere ransomware-programmer end normalt. Efter et lille fald observerer vi igen en stigning i aktiviteten i juni. Der er flere grunde til dette. <\/p>\n

At komme ind p\u00e5 offerets computer
\n<\/h3>\n

\nBeskyttelsesteknologier udvikler sig, og angriberne m\u00e5 \u00e6ndre deres taktik for at f\u00e5 adgang til specifikke systemer. M\u00e5lrettede ransomware-angreb spreder sig stadig via velgennemt\u00e6nkte phishing-e-mails (her spiller social engineering en rolle). Men i den seneste tid har udviklere af skadelig software fokuseret meget p\u00e5 fjernarbejdere. For at angribe dem kan man finde d\u00e5rligt beskyttede fjernadgangstjenester, s\u00e5som RDP, eller VPN-servere med s\u00e5rbarheder.
\nDet er lige pr\u00e6cis, hvad de g\u00f8r. Der er endda dukket tjenester op p\u00e5 dark web, der tilbyder ransomware-as-a-service, som giver alt, hvad der er n\u00f8dvendigt for at angripe en udvalgt organisation eller person. <\/p>\n

Angrebere leder efter alle mulige m\u00e5der at tr\u00e6nge ind i virksomhedens netv\u00e6rk og udvide deres angrebsomr\u00e5de. Et popul\u00e6rt fokus er blevet fors\u00f8g p\u00e5 at inficere netv\u00e6rkene hos tjenesteudbydere. Da cloud-tjenester i dag kun er ved at vinde popularitet, tillader inficering af en popul\u00e6r tjeneste at angribe dusinvis eller endda hundredvis af ofre p\u00e5 \u00e9n gang. <\/p>\n

I tilf\u00e6lde af hack af webkonsoller, der styrer sikkerhedssystemer eller backup-l\u00f8sninger, kan angriberne slukke for beskyttelsen, slette sikkerhedskopier samt muligg\u00f8re udrulning af deres malware p\u00e5 tv\u00e6rs af organisationen. Derfor anbefaler eksperter at beskytte alle servicekonti grundigt ved hj\u00e6lp af multifaktorautentificering. For eksempel tillader alle Acronis cloud-tjenester at indstille dobbelt beskyttelse, fordi i tilf\u00e6lde af kompromittering af en adgangskode kan angribere annulere alle fordelene ved at bruge et omfattende cybersikkerhedssystem. <\/p>\n

Udvidelse af angrebsomr\u00e5det
\n<\/h3>\n

\nN\u00e5r det \u00f8nskede m\u00e5l er n\u00e5et, og malware allerede er inde i virksomhedens netv\u00e6rk, anvendes der typisk ret almindelige taktikker til yderligere spredning. Angribere unders\u00f8ger situationen og fors\u00f8ger at overvinde de barrierer, der er oprettet inden for virksomheden for at modst\u00e5 trusler. Denne del af angrebet kan finde sted manuelt (for hvis de allerede er kommet ind i netv\u00e6rket, s\u00e5 er der jo \u00abbid\u00bb p\u00e5 krogen!). Der bruges kendte v\u00e6rkt\u00f8jer som PowerShell, WMI, PsExec samt den nyere emulator Cobalt Strike og andre v\u00e6rkt\u00f8jer. Nogle kriminelle grupper angriber m\u00e5lrettet password-managere for at tr\u00e6nge dybere ind i virksomhedens netv\u00e6rk. Et s\u00e5dant malware som Ragnar er for nylig blevet set i en fuldst\u00e6ndig lukket virtuel maskine oprettet med VirtualBox, som hj\u00e6lper med at skjule tilstedev\u00e6relsen af u\u00f8nsket software p\u00e5 maskinen. <\/p>\n

N\u00e5r malware f\u00e5r adgang til et virksomhednetv\u00e6rk, fors\u00f8ger det at tjekke brugerens adgangsniveau og anvende stj\u00e5lne adgangskoder. V\u00e6rkt\u00f8jer som Mimikatz og Bloodhound & Co. hj\u00e6lper med at hacke dom\u00e6neadministratorernes konti. F\u00f8rst n\u00e5r angriberen mener, at mulighederne for spredning er opbrugt, uploades ransomware-programmet direkte til klient-systemerne. <\/p>\n

Ransomware som d\u00e6kke
\n<\/h3>\n

\nI betragtning af alvoren af truslen om datatab implementerer flere og flere virksomheder hvert \u00e5r den s\u00e5kaldte \"Disaster recovery plan\". Takket v\u00e6re dette beh\u00f8ver de ikke at bekymre sig meget om krypterede data, og i tilf\u00e6lde af et ransomware-angreb begynder de ikke at indsamle l\u00f8sepenge, men starter genoprettelsesprocessen. Men cyberkriminelle hviler ikke. Under d\u00e6kke af ransomware finder der en massiv datatyveri sted. Den f\u00f8rste gruppe, der bredt anvendte denne taktik, var Maze tilbage i 2019, selvom andre grupper periodisk kombinerede angreb. Nu er der mindst Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO og Sekhmet, der ogs\u00e5 besk\u00e6ftiger sig med datatyveri parallelt med kryptering.<\/p>\n

Nogle gange lykkes det angriberne at udtr\u00e6kke flere titusinder af terabyte data fra en virksomhed, som kunne v\u00e6re blevet opdaget af netv\u00e6rksmonitorering (hvis den var blevet installeret og konfigureret). Ofte sker dataoverf\u00f8rslen blot ved hj\u00e6lp af FTP, Putty, WinSCP eller PowerShell-scripts. For at overvinde DLP og netv\u00e6rksmonitoreringssystemer kan data krypteres eller sendes som et zip-arkiv med adgangskode, og dette udg\u00f8r en ny udfordring for sikkerhedstjenesterne, der skal kontrollere udg\u00e5ende trafik for s\u00e5danne filer.<\/p>\n

Unders\u00f8gelse af adf\u00e6rden hos infostealers viser, at angriberne ikke samler alt muligt \u2014 de er is\u00e6r interesserede i finansielle rapporter, kundedatabaser, personlige oplysninger om medarbejdere og kunder, kontrakter, optegnelser, juridiske dokumenter. Malware scanner drev for at finde enhver information, der teoretisk kunne bruges til afpresning.
\nHvis en s\u00e5dan angreb er lykkedes, offentligg\u00f8r angriberne normalt en lille teaser, der viser nogle dokumenter som bevis for, at dataene er l\u00e6kket fra organisationen. Nogle grupper offentligg\u00f8r endda hele datas\u00e6ttet p\u00e5 deres hjemmeside, hvis deadline for l\u00f8sesummen er overskredet. For at undg\u00e5 blokering og sikre bred d\u00e6kning offentligg\u00f8res dataene ogs\u00e5 p\u00e5 TOR-netv\u00e6rket.<\/p>\n

En anden m\u00e5de at tjene penge p\u00e5 er salg af data. For eksempel har Sodinokibi for nylig annonceret \u00e5bne auktioner, hvor data gives til den deltager, der byder h\u00f8jst. Startprisen p\u00e5 s\u00e5danne auktioner ligger mellem $50-100K afh\u00e6ngigt af kvalitet og indhold af dataene. For eksempel blev et s\u00e6t af 10.000 poster om kontantstr\u00f8mme, fortrolige forretningsdata og scannede k\u00f8rekort solgt for priser fra $100.000. For $50.000 kunne man k\u00f8be over 20.000 finansielle dokumenter plus tre databaser med regnskabsfiler og kundeoplysninger. <\/p>\n

Websites, der offentligg\u00f8r l\u00e6kager, kan variere meget. Det kan v\u00e6re en simpel side, hvor alt det stj\u00e5lne blot er lagt op, eller der kan v\u00e6re mere komplekse strukturer med sektioner og mulighed for k\u00f8b. Men det vigtigste er, at de alle tjener \u00e9t form\u00e5l \u2014 at \u00f8ge angribernes chancer for at f\u00e5 rigtige penge. Hvis denne forretningsmodel viser sig at v\u00e6re effektiv for angriberne, kan man v\u00e6re sikker p\u00e5, at der vil komme endnu flere af s\u00e5danne websites, og teknikker til tyveri og monetisering af virksomheders data vil blive yderligere udvidet.<\/p>\n

Her er nogle aktuelt popul\u00e6re websites, hvor datal\u00e6kager offentligg\u00f8res:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Hvad skal man g\u00f8re ved nye angreb
\n<\/h3>\n

\nDen st\u00f8rste udfordring for sikkerhedstjenesterne i denne situation er, at der for nylig er blevet rapporteret flere og flere tilf\u00e6lde af ransomware, som blot viser sig at v\u00e6re en afledningsman\u00f8vre for datatyveri. Angriberne satser ikke l\u00e6ngere kun p\u00e5 kryptering af servere. I stedet er det prim\u00e6re m\u00e5l at organisere l\u00e6kagen, mens du k\u00e6mper med ransomware. <\/p>\n

S\u00e5ledes viser det sig, at brugen af et enkelt backup-system, selv med en god genoprettelsesplan, ikke er tilstr\u00e6kkeligt til at modst\u00e5 lagdelte trusler. Selvf\u00f8lgelig kan man ikke undv\u00e6re backup, da kriminelle helt sikkert vil fors\u00f8ge at kryptere noget og kr\u00e6ve l\u00f8sepenge. Det handler snarere om, at hver ransomware-angreb nu b\u00f8r betragtes som en mulighed for en dybdeg\u00e5ende trafik-analyse og iv\u00e6rks\u00e6ttelse af en unders\u00f8gelse af den mulige angreb. Man b\u00f8r ogs\u00e5 overveje yderligere sikkerhedsforanstaltninger, der kunne: <\/p>\n