{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 uus viis andmelekkete korraldamiseks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Andmete lekked on t\u00f5sine probleem turvateenistusele. Praegu, kui enamus inimesi t\u00f6\u00f6tab kodust, on lekete oht palju k\u00f5rgem. Just seet\u00f5ttu p\u00f6\u00f6ravad tuntud k\u00fcberkuritegevuse gruppid suurt t\u00e4helepanu vananenud ja ebapiisavalt kaitstud kaugjuurdep\u00e4\u00e4su protokollidele. Mis veelgi olulisem, \u00fcha rohkem andmeleke on t\u00e4nap\u00e4eval seotud ransomware'iga. Kuidas, miks ja millisel viisil \u2014 loe edasi.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nAlustame sellest, et lunavara arendamine ja levitamine on omaette v\u00e4ga kasumlik kuritegevus. N\u00e4iteks, Ameerika \u00dchendriikide F\u00f6deraalbureauo hinnangul, grupp Sodinokibi<\/a><\/noindex> teenis eelmise aasta jooksul umbes 1 miljon dollarit kuus. Ja kurjategijad, kes kasutasid Ryuki, teenisid veelgi rohkem \u2014 grupi tegevuse alguses ulatus nende sissetulek kuni 3 miljoni dollarini kuus. Seega pole \u00fcllatav, et paljud infotehnoloogia turvajuhtide (CISO) s\u00f5nul peavad nad lunavarasid \u00fcheks viiest peamisest \u00e4ririski.<\/p>\n

Acronis Cyber Protection Operation Center (CPOC) Singapuris kinnitab k\u00fcberkuritegevuse suurenemist ransomware valdkonnas. Mais blokeeriti kogu maailmas 20% rohkem juhtumeid kui tavaliselt. P\u00e4rast v\u00e4ikest langust juunis j\u00e4lgime taas tegevuse kasvu. Sellel on mitu p\u00f5hjust. <\/p>\n

J\u00f5uda ohvri arvutisse
\n<\/h3>\n

\nKaitsetehnoloogiad arenevad, ja kurjategijatele tuleb kohandada oma taktikat, et p\u00e4\u00e4seda ligi konkreetsele s\u00fcsteemile. Ransomware sihtimisr\u00fcnnakud levivad endiselt h\u00e4sti kavandatud v\u00e4ljapressimiskirjade kaudu (siin on tegu ka sotsiaalse insenertehnika kasutamisega). Viimasel ajal on pahavara arendajad suunanud oma t\u00e4helepanu kaugt\u00f6\u00f6tajatele. Nende r\u00fcndamiseks on v\u00f5imalik leida halvasti kaitstud kaugjuurdep\u00e4\u00e4suteenuseid, n\u00e4iteks RDP v\u00f5i haavatavad VPN-serverid.
\nNende tegevust toetavad isegi dark webis ilmunud ransomware-as-a-service teenused, mis pakuvad k\u00f5ike vajalikku, et r\u00fcnnata valitud organisatsiooni v\u00f5i isikut. <\/p>\n

\u00dckski r\u00fcndaja ei j\u00e4ta kasutamata v\u00f5imalusi, et tungida ettev\u00f5tte v\u00f5rku ja laiendada oma r\u00fcnnaku ulatust. \u00dcha populaarseks on saanud katsed nakatada teenusepakkujate v\u00f5rke. Kuna pilveteenused t\u00f5usevad praegu populaarsuses, lubab populaarse teenuse nakatamine r\u00fcnnata korraga tosinat v\u00f5i isegi sadu ohvreid. <\/p>\n

Kui h\u00e4kitakse s\u00fcsteemide turvahalduse v\u00f5i varunduse veebikonsoolid, v\u00f5ivad r\u00fcndajad kaitse deaktiveerida, varukoopiad kustutada ja v\u00f5imaldada oma pahavara levikut kogu organisatsioonis. Seet\u00f5ttu soovitavad eksperdid k\u00f5ik teenuste kasutajakontod hoolikalt kaitsta mitmeastmelise autentimisega. N\u00e4iteks k\u00f5ik Acronis'i pilveteenused v\u00f5imaldavad kaheaastmelise kaitse seadistamist, kuna parooli kompromiteerimise korral v\u00f5ivad r\u00fcndajad t\u00fchistada k\u00f5ik k\u00fcberkaitses\u00fcsteemide kasutamise eelised. <\/p>\n

R\u00fcnnaku ulatuse laienemine
\n<\/h3>\n

\nKui soovitud eesm\u00e4rk on saavutatud ja pahavara on juba ettev\u00f5tte v\u00f5rgus sees, kasutatakse edasise leviku jaoks tavaliselt tavalisi taktikaid. Kurjategijad uurivad olukorda ja p\u00fc\u00fcavad \u00fcletada neid t\u00f5kkeid, mis on ettev\u00f5ttes loodud, et vastupanu osutada. Selle r\u00fcnnaku osa v\u00f5ib toimuda k\u00e4sitsi (kuna kui nad on juba v\u00f5rku p\u00e4\u00e4senud, siis \u00abkonksu otsas on saak\u00bb!). Selleks kasutatakse juba h\u00e4sti tuntud t\u00f6\u00f6riistu, nagu PowerShell, WMI PsExec, samuti uuemat Cobalt Strike'i emulaatorit ja teisi utiliite. M\u00f5ned kuritegelikud r\u00fchmad r\u00fcndavad teadlikult paroolihaldureid, et s\u00fcgavamale ettev\u00f5tte v\u00f5rgusse tungida. Samuti on selline pahavara nagu Ragnar hiljuti avastatud t\u00e4ielikult suletud VirtualBoxi virtuaalmasinas, mis aitab varjata k\u00f5rvalise pahavara kohalolekut masinas. <\/p>\n

Seega, sisenedes ettev\u00f5tte v\u00f5rku, \u00fcritab pahavara kontrollida kasutaja ligip\u00e4\u00e4su\u00f5iguse taset ja kasutada varastatud paroole. Tooted nagu Mimikatz ja Bloodhound & Co. aitavad h\u00e4kkida domeeniadministraatorite kontosid. Ja alles siis, kui r\u00fcndaja arvab, et leviku v\u00f5imalused on ammendatud, laaditakse kliendiseadmetesse otse lunavara programm. <\/p>\n

Lunavara katteallikana
\n<\/h3>\n

\nArvestades andmete kaotuse t\u00f5sidust, rakendavad aina rohkem ettev\u00f5tteid iga aastaga nn \"katastroofi taastamisplaani\". Selle kaudu ei pea nad kuigi palju muretsema kr\u00fcpteeritud andmete p\u00e4rast, ning lunavara r\u00fcnnaku korral ei tegele nad lunaraha kogumisega, vaid k\u00e4ivitavad taastamisprotsessi. Kuid ka kurjategijad ei maga. Lunavara katte all toimub massiline andmete vargus. Esimeste seas hakkas sellist taktikat massiliselt kasutama Maze juba 2019. aastal, kuigi ka teised r\u00fchmades aeg-ajalt kombineerisid r\u00fcnnakuid. N\u00fc\u00fcd tegelevad andmete vargusega paralleelselt kr\u00fcpteerimisega v\u00e4hemalt Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO ja Sekhmet.<\/p>\n

M\u00f5nikord \u00f5nnestub k\u00fcbertellijatel ettev\u00f5ttest v\u00e4lja laadida k\u00fcmneid terabaite andmeid, mis oleksid saanud avastatud v\u00f5rgu j\u00e4lgimise vahenditega (kui need oleksid paigaldatud ja seadistatud). K\u00f5ige sagedamini toimub andmete edastamine lihtsalt FTP, Putty, WinSCP v\u00f5i PowerShelli skriptide kaudu. DLP ja v\u00f5rgu j\u00e4lgimise s\u00fcsteemide \u00fcle saamise eesm\u00e4rgil saab andmeid kr\u00fcpteerida v\u00f5i saata neid kui parooliga arhiivi, mis on uus v\u00e4ljakutse julgeolekuteenustele, kellel tuleb kontrollida v\u00e4ljaminevat liiklust, et leida selliseid faile.<\/p>\n

Infostealer'ite k\u00e4itumise uurimine n\u00e4itab, et kurjategijad ei kogu k\u00f5ike j\u00e4rjest, vaid neid huvitavad just finantsaruanded, klientide andmebaasid, t\u00f6\u00f6tajate ja klientide isikuandmed, lepingud, protokollid, \u00f5iguskaitse dokumendid. Kuri tarkvara skaneerib kettaid, et leida mis tahes teavet, mida v\u00f5iks teoreetiliselt kasutada v\u00e4ljapressimiseks.
\nKui selline r\u00fcnnak \u00f5nnestub, avaldavadugi pahatahtlikud isikud tavaliselt v\u00e4ikese tutvustuse, n\u00e4idates m\u00f5ned dokumendid, et kinnitada, et andmed on organisatsioonist lekkinud. M\u00f5ned r\u00fchmad avaldavad isegi kogu andmekomplekti oma saidil, kui lunaraha maksmise aeg on m\u00f6\u00f6das. Blokeerimise v\u00e4ltimiseks ja laiemaks levimiseks avaldatakse andmed ka TOR-v\u00f5rgus.<\/p>\n

Teine rahastamisviis on andmete m\u00fc\u00fck. N\u00e4iteks on Sodinokibi hiljuti kuulutanud v\u00e4lja avatud oksjonid, kus andmed l\u00e4hevad sellele osalejale, kes teeb k\u00f5rgeima pakkumise. Selliste oksjonite alghind on 50 000\u2013100 000 dollarit, s\u00f5ltuvalt andmete kvaliteedist ja sisust. N\u00e4iteks m\u00fc\u00fcdi 10 000 kirje \u043d\u0430\u0431\u043e\u0440, sealhulgas rahavoogude, konfidentsiaalsete \u00e4randmete ja skaneeritud juhilubade kohta, hinnaga alates 100 000 dollarist. 50 000 dollari eest v\u00f5is osta \u00fcle 20 000 finantsdokumendi ning kolm andmebaasi raamatupidamisfailide ja kliendiandmete kohta. <\/p>\n

Lehek\u00fcljed, millel avaldatakse andmeleke, v\u00f5ivad olla v\u00e4ga erinevad. Need v\u00f5ivad olla lihtsad lehek\u00fcljed, kuhu on lihtsalt koondatud k\u00f5ik varastatud sisu, aga v\u00f5ivad olla ka keerukamad struktuurid ja ostuv\u00f5imalustega sektsioonid. Kuid k\u00f5ige t\u00e4htsam on see, et k\u00f5ik need teenivad \u00fchte eesm\u00e4rki \u2014 suurendada r\u00fcndajate v\u00f5imalusi reaalse raha teenimiseks. Kui see \u00e4rimudel toob kurjategijatele h\u00e4id tulemusi, siis v\u00f5ite olla kindel, et sarnaste veebilehtede arv kasvab ning ettev\u00f5tte andmete varguse ja monetiseerimise tehnikad laienevad veelgi.<\/p>\n

Nii n\u00e4evad v\u00e4lja aktuelsed veebilehed, kus avaldatakse andmeleke:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Mida teha uute r\u00fcnnakutega
\n<\/h3>\n

\nPeamine v\u00e4ljakutse turvateenustele on tingitud sellest, et viimastel aastatel on j\u00e4rjest enam Ransomware'i seotud intsidendid osutunud lihtsalt andmete varguse k\u00f5rvalejuhtimise meetoditeks. Kurjategijad ei pane enam r\u00f5hku vaid serverite kr\u00fcptimisele. Vastupidi, peamine eesm\u00e4rk on andmeleke korraldamine, samal ajal kui te v\u00f5itlete kr\u00fcptoraha kuritegelike r\u00fcnnakutega. <\/p>\n

Seega, pelgalt varunduss\u00fcsteemi kasutamine isegi hea taastamisplaaniga osutub mitmekesiste ohtude vastu v\u00f5itlemiseks ebapiisavaks. Ilma varukoopiateta ei saa loomulikult hakkama, kuna kurjategijad p\u00fc\u00fcavad kindlasti midagi kr\u00fcpteerida ja lunarahaga n\u00f5uda. K\u00fcsimus on pigem selles, et n\u00fc\u00fcd tuleb igat Ransomware'iga seotud r\u00fcnnakut k\u00e4sitleda kui p\u00f5hjust p\u00f5hjalikuks liikluse anal\u00fc\u00fcsiks ja v\u00f5imaliku r\u00fcnnaku uurimise k\u00e4ivitamiseks. Samuti tuleks m\u00f5elda t\u00e4iendavatele turvameetmetele, mis v\u00f5iksid: <\/p>\n