🥇Ransomware – uus viis andmeleakete organiseerimiseks

Andmete lekked on tõsine probleem turvateenistusele. Praegu, kui enamus inimesi töötab kodust, on lekete oht palju kõrgem. Just seetõttu pööravad tuntud küberkuritegevuse gruppid suurt tähelepanu vananenud ja ebapiisavalt kaitstud kaugjuurdepääsu protokollidele. Mis veelgi olulisem, üha rohkem andmeleke on tänapäeval seotud ransomware'iga. Kuidas, miks ja millisel viisil — loe edasi.

Alustame sellest, et lunavara arendamine ja levitamine on omaette väga kasumlik kuritegevus. Näiteks, Ameerika Ühendriikide Föderaalbureauo hinnangul, grupp Sodinokibi teenis eelmise aasta jooksul umbes 1 miljon dollarit kuus. Ja kurjategijad, kes kasutasid Ryuki, teenisid veelgi rohkem — grupi tegevuse alguses ulatus nende sissetulek kuni 3 miljoni dollarini kuus. Seega pole üllatav, et paljud infotehnoloogia turvajuhtide (CISO) sõnul peavad nad lunavarasid üheks viiest peamisest äririski.

Acronis Cyber Protection Operation Center (CPOC) Singapuris kinnitab küberkuritegevuse suurenemist ransomware valdkonnas. Mais blokeeriti kogu maailmas 20% rohkem juhtumeid kui tavaliselt. Pärast väikest langust juunis jälgime taas tegevuse kasvu. Sellel on mitu põhjust.

Jõuda ohvri arvutisse

Kaitsetehnoloogiad arenevad, ja kurjategijatele tuleb kohandada oma taktikat, et pääseda ligi konkreetsele süsteemile. Ransomware sihtimisrünnakud levivad endiselt hästi kavandatud väljapressimiskirjade kaudu (siin on tegu ka sotsiaalse insenertehnika kasutamisega). Viimasel ajal on pahavara arendajad suunanud oma tähelepanu kaugtöötajatele. Nende ründamiseks on võimalik leida halvasti kaitstud kaugjuurdepääsuteenuseid, näiteks RDP või haavatavad VPN-serverid.
Nende tegevust toetavad isegi dark webis ilmunud ransomware-as-a-service teenused, mis pakuvad kõike vajalikku, et rünnata valitud organisatsiooni või isikut.

Ükski ründaja ei jäta kasutamata võimalusi, et tungida ettevõtte võrku ja laiendada oma rünnaku ulatust. Üha populaarseks on saanud katsed nakatada teenusepakkujate võrke. Kuna pilveteenused tõusevad praegu populaarsuses, lubab populaarse teenuse nakatamine rünnata korraga tosinat või isegi sadu ohvreid.

Kui häkitakse süsteemide turvahalduse või varunduse veebikonsoolid, võivad ründajad kaitse deaktiveerida, varukoopiad kustutada ja võimaldada oma pahavara levikut kogu organisatsioonis. Seetõttu soovitavad eksperdid kõik teenuste kasutajakontod hoolikalt kaitsta mitmeastmelise autentimisega. Näiteks kõik Acronis'i pilveteenused võimaldavad kaheaastmelise kaitse seadistamist, kuna parooli kompromiteerimise korral võivad ründajad tühistada kõik küberkaitsesüsteemide kasutamise eelised.

Rünnaku ulatuse laienemine

Kui soovitud eesmärk on saavutatud ja pahavara on juba ettevõtte võrgus sees, kasutatakse edasise leviku jaoks tavaliselt tavalisi taktikaid. Kurjategijad uurivad olukorda ja püüavad ületada neid tõkkeid, mis on ettevõttes loodud, et vastupanu osutada. Selle rünnaku osa võib toimuda käsitsi (kuna kui nad on juba võrku pääsenud, siis «konksu otsas on saak»!). Selleks kasutatakse juba hästi tuntud tööriistu, nagu PowerShell, WMI PsExec, samuti uuemat Cobalt Strike'i emulaatorit ja teisi utiliite. Mõned kuritegelikud rühmad ründavad teadlikult paroolihaldureid, et sügavamale ettevõtte võrgusse tungida. Samuti on selline pahavara nagu Ragnar hiljuti avastatud täielikult suletud VirtualBoxi virtuaalmasinas, mis aitab varjata kõrvalise pahavara kohalolekut masinas.

Seega, sisenedes ettevõtte võrku, üritab pahavara kontrollida kasutaja ligipääsuõiguse taset ja kasutada varastatud paroole. Tooted nagu Mimikatz ja Bloodhound & Co. aitavad häkkida domeeniadministraatorite kontosid. Ja alles siis, kui ründaja arvab, et leviku võimalused on ammendatud, laaditakse kliendiseadmetesse otse lunavara programm.

Lunavara katteallikana

Arvestades andmete kaotuse tõsidust, rakendavad aina rohkem ettevõtteid iga aastaga nn "katastroofi taastamisplaani". Selle kaudu ei pea nad kuigi palju muretsema krüpteeritud andmete pärast, ning lunavara rünnaku korral ei tegele nad lunaraha kogumisega, vaid käivitavad taastamisprotsessi. Kuid ka kurjategijad ei maga. Lunavara katte all toimub massiline andmete vargus. Esimeste seas hakkas sellist taktikat massiliselt kasutama Maze juba 2019. aastal, kuigi ka teised rühmades aeg-ajalt kombineerisid rünnakuid. Nüüd tegelevad andmete vargusega paralleelselt krüpteerimisega vähemalt Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO ja Sekhmet.

Mõnikord õnnestub kübertellijatel ettevõttest välja laadida kümneid terabaite andmeid, mis oleksid saanud avastatud võrgu jälgimise vahenditega (kui need oleksid paigaldatud ja seadistatud). Kõige sagedamini toimub andmete edastamine lihtsalt FTP, Putty, WinSCP või PowerShelli skriptide kaudu. DLP ja võrgu jälgimise süsteemide üle saamise eesmärgil saab andmeid krüpteerida või saata neid kui parooliga arhiivi, mis on uus väljakutse julgeolekuteenustele, kellel tuleb kontrollida väljaminevat liiklust, et leida selliseid faile.

Infostealer'ite käitumise uurimine näitab, et kurjategijad ei kogu kõike järjest, vaid neid huvitavad just finantsaruanded, klientide andmebaasid, töötajate ja klientide isikuandmed, lepingud, protokollid, õiguskaitse dokumendid. Kuri tarkvara skaneerib kettaid, et leida mis tahes teavet, mida võiks teoreetiliselt kasutada väljapressimiseks.
Kui selline rünnak õnnestub, avaldavadugi pahatahtlikud isikud tavaliselt väikese tutvustuse, näidates mõned dokumendid, et kinnitada, et andmed on organisatsioonist lekkinud. Mõned rühmad avaldavad isegi kogu andmekomplekti oma saidil, kui lunaraha maksmise aeg on möödas. Blokeerimise vältimiseks ja laiemaks levimiseks avaldatakse andmed ka TOR-võrgus.

Teine rahastamisviis on andmete müük. Näiteks on Sodinokibi hiljuti kuulutanud välja avatud oksjonid, kus andmed lähevad sellele osalejale, kes teeb kõrgeima pakkumise. Selliste oksjonite alghind on 50 000–100 000 dollarit, sõltuvalt andmete kvaliteedist ja sisust. Näiteks müüdi 10 000 kirje набор, sealhulgas rahavoogude, konfidentsiaalsete ärandmete ja skaneeritud juhilubade kohta, hinnaga alates 100 000 dollarist. 50 000 dollari eest võis osta üle 20 000 finantsdokumendi ning kolm andmebaasi raamatupidamisfailide ja kliendiandmete kohta.

Leheküljed, millel avaldatakse andmeleke, võivad olla väga erinevad. Need võivad olla lihtsad leheküljed, kuhu on lihtsalt koondatud kõik varastatud sisu, aga võivad olla ka keerukamad struktuurid ja ostuvõimalustega sektsioonid. Kuid kõige tähtsam on see, et kõik need teenivad ühte eesmärki — suurendada ründajate võimalusi reaalse raha teenimiseks. Kui see ärimudel toob kurjategijatele häid tulemusi, siis võite olla kindel, et sarnaste veebilehtede arv kasvab ning ettevõtte andmete varguse ja monetiseerimise tehnikad laienevad veelgi.

Nii näevad välja aktuelsed veebilehed, kus avaldatakse andmeleke:

Mida teha uute rünnakutega

Peamine väljakutse turvateenustele on tingitud sellest, et viimastel aastatel on järjest enam Ransomware'i seotud intsidendid osutunud lihtsalt andmete varguse kõrvalejuhtimise meetoditeks. Kurjategijad ei pane enam rõhku vaid serverite krüptimisele. Vastupidi, peamine eesmärk on andmeleke korraldamine, samal ajal kui te võitlete krüptoraha kuritegelike rünnakutega.

Seega, pelgalt varundussüsteemi kasutamine isegi hea taastamisplaaniga osutub mitmekesiste ohtude vastu võitlemiseks ebapiisavaks. Ilma varukoopiateta ei saa loomulikult hakkama, kuna kurjategijad püüavad kindlasti midagi krüpteerida ja lunarahaga nõuda. Küsimus on pigem selles, et nüüd tuleb igat Ransomware'iga seotud rünnakut käsitleda kui põhjust põhjalikuks liikluse analüüsiks ja võimaliku rünnaku uurimise käivitamiseks. Samuti tuleks mõelda täiendavatele turvameetmetele, mis võiksid:

Kiiresti tuvastada rünnakud ja analüüsida ebatüüpilist tegevust võrgus, kasutades tehisintellekti
Koheselt taastada süsteemid nullpäeva Ransomware rünnakute korral, et saaksite jälgida võrgutegevust
Blokeerida klassikalise pahavara levitamist ja uusi ründeviise ettevõtte võrgus
Analüüsida tarkvara ja süsteeme (sh kaugjuurdepääs) olemasolevate haavatavuste ja eksploitide suhtes
Takistada määramatute andmete edastamist ettevõtte piiridest välja

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.