{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 uus viis andmelekete korraldamiseks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Andmete lekked on kriitiline probleem k\u00fcberturbe jaoks. Praegu, kui enamik inimesi t\u00f6\u00f6tab kodus, on lekkimise oht palju suurem. Seet\u00f5ttu p\u00f6\u00f6ravad tuntud k\u00fcberturvej\u00f5ugud rohkem t\u00e4helepanu vananenud ja ebapiisavalt kaitstud kaugjuhtimise protokollidele. Huvi t\u00f5ttu on j\u00e4rjest rohkem andmete leke seotud lunavara (Ransomware) r\u00fcnnakutega. Kuidas, miks ja mil viisil \u2013 loe edasi.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nAlustame sellest, et lunavarade arendamine ja levitamine on iseenesest v\u00e4ga kasumlik kuritegevuse \u00e4ri. N\u00e4iteks, Ameerika \u00dchendriikide F\u00f6deraalse Juurdlusb\u00fcroo (FBI) hinnangul, Sodinokibi grupp<\/a><\/noindex> teenis eelmisel aastal umbes 1 miljon dollarit kuus. Ja kurjategijad, kes kasutasid Ryukit, teenisid veelgi rohkem \u2013 grupi tegevuse alguses ulatus nende sissetulek kuni 3 miljonini dollarit kuus. Seega pole \u00fcllatav, et paljud infotehnoloogia julgeolekule reageerivad direktorid (CISO) peavad lunavara oma ettev\u00f5tte \u00fcheks viiest peamisest riskist.<\/p>\n

Acronis Cyber Protection Operation Center (CPOC), mis asub Singapuris, kinnitab lunavara valdkonnas k\u00fcberturbe aktiveerimist. Mai teisel poolel blokeeriti maailmas 20% rohkem lunavara kui tavaliselt. P\u00e4rast v\u00e4ikest langust, praegu juunis, n\u00e4eme j\u00e4lle aktiivsuse kasvu. Sellel on mitmeid p\u00f5hjuseid. <\/p>\n

J\u00f5uda ohvri arvutisse
\n<\/h3>\n

\nKaitsetehnoloogiad arenevad ja kurjategijad peavad veidi oma taktikat muutma, et p\u00e4\u00e4seda konkreetse s\u00fcsteemi. Sihtotstarbelised lunavarar\u00fcnnakud levivad endiselt h\u00e4sti m\u00f5eldud ja nutikate phishing-kirjade kaudu (sotsiaalne manipuleerimine m\u00e4ngib siin suurt rolli). Kuid viimasel ajal on pahavaraarendajad p\u00f6\u00f6ranud palju t\u00e4helepanu just kaug t\u00f6\u00f6tajatele. Neid r\u00fcndamiseks saab leida halvasti kaitstud kaugjuhtimisteenuseid, nagu RDP v\u00f5i haavatavad VPN-serverid.
\nSellega nad tegelevadki. Darknetis on isegi tekkinud lunavara teenusena (ransomware-as-a-service) teenuseid, mis pakuvad k\u00f5ik vajaliku, et r\u00fcnnata valitud organisatsiooni v\u00f5i isikut. <\/p>\n

Kurjategijad otsivad igasuguseid viise, kuidas sisse tungida ettev\u00f5tte v\u00f5rku ja laiendada r\u00fcnnakute valikut. T\u00e4na on populaarsed katsetused nakatada teenusepakkujate v\u00f5rke. Kuna pilveteenused on alles populaarsust kogumas, v\u00f5imaldab tuntud teenuse nakatumine r\u00fcnnata korraga k\u00fcmneid v\u00f5i isegi sadu ohvreid. <\/p>\n

Juhul kui r\u00fcnnatakse veebihaldustasusid v\u00f5i varukoopia s\u00fcsteeme, saavad r\u00fcndajad kaitse v\u00e4lja l\u00fclitada, varukoopiad kustutada ja nende pahavara levikut kogu organisatsioonis tagada. Just sellep\u00e4rast soovitavad eksperdid k\u00f5iki teenuse sisselogimisi hoolikalt kaitsta mitme faktoriga autentimisega. N\u00e4iteks v\u00f5imaldavad k\u00f5ik Acronise pilveteenused kahekordset kaitset, kuna parooli kompromiteerimise korral v\u00f5ivad kurjategijad k\u00f5ik cyberkaitse s\u00fcsteemi eelised nullida. <\/p>\n

R\u00fcnnakute valiku laiendamine
\n<\/h3>\n

\nKui ihaldatud eesm\u00e4rk on saavutatav ja pahavara on juba ettev\u00f5tte v\u00f5rku tunginud, kasutatakse edemise tagamiseks tavaliselt tavalisi taktikaid. Kurjategijad uurivad olukorda ja p\u00fc\u00fcavad \u00fcletada sisemisi takistusi, mis on loodud ohudega v\u00f5itlemiseks. Selle r\u00fcnnakuosa v\u00f5ib toimuda k\u00e4sitsi (kuna kui nad juba v\u00f5rku p\u00e4\u00e4sesid, siis on p\u00e4\u00e4s p\u00fc\u00fcdnud!), Selleks kasutatakse tuntud t\u00f6\u00f6riistu nagu PowerShell, WMI PsExec, samuti uuem Cobalt Strike emulaator ja teised utiliidid. M\u00f5ned kuritegelikud r\u00fchmad r\u00fcndavad sihip\u00e4raselt paroolihaldureid, et tungida s\u00fcgavamale ettev\u00f5tte v\u00f5rku. Hiljuti leiti sellist pahavara nagu Ragnar t\u00e4ielikult suletud VirtualBoxi virtuaalmasina pildina, mis aitab varjata v\u00e4lise programmi kohalolekut masinas. <\/p>\n

Seega, sattudes korporatiivv\u00f5rku, p\u00fc\u00fcab pahavara kontrollida kasutaja juurdep\u00e4\u00e4sutaset ja rakendada varastatud paroole. Tooted nagu Mimikatz ja Bloodhound & Co. aitavad murda domeeniadministraatorite kontosid. Ja ainult siis, kui r\u00fcndaja arvab, et leviku v\u00f5imalused on ammendatud, laaditakse kliendis\u00fcsteemidesse otse lunavara programm. <\/p>\n

Lunavara katte all
\n<\/h3>\n

\nKuna andmete kadumise oht on t\u00f5sine, rakendavad \u00fcha rohkem ettev\u00f5tteid igal aastal nii nimetatud \u201ekatastroofi taastamise plaani\u201c. T\u00e4nu sellele ei muretse nad eriti kr\u00fcpteeritud andmete p\u00e4rast, ja lunavara r\u00fcnnaku korral ei hakka nad lunarahast koguma, vaid k\u00e4ivitavad taastamisprotsessi. Kuid ka kurjategijad ei maga. Lunavara katte all toimub massiline andmete vargus. Esimese massilise taktika rakendas 2019. aastal Maze, kuigi teised r\u00fchmad on aeg-ajalt r\u00fcnnakuid kombineerinud. N\u00fc\u00fcd tegelevad andmete vargusega paralleelselt kr\u00fcpteerimisega v\u00e4hemalt Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO ja Sekhmet.<\/p>\n

M\u00f5nikord \u00f5nnestub kurjategijatel ettev\u00f5ttest v\u00e4lja t\u00f5mmata k\u00fcmneid terabaite andmeid, mida oleks saanud avastada v\u00f5rgu j\u00e4lgimise t\u00f6\u00f6riistadega (kui need oleksid paigaldatud ja seadistatud). L\u00f5ppude l\u00f5puks toimub andmete edastamine sageli lihtsalt FTP, Putty, WinSCP v\u00f5i PowerShelli skriptide abil. DLP ja v\u00f5rgu j\u00e4lgimiss\u00fcsteemide \u00fcletamiseks v\u00f5ib andmeid kr\u00fcpteerida v\u00f5i saata parooliga arhiivina ja see on uus v\u00e4ljakutse turvateenistustele, kes peavad kontrollima v\u00e4ljaminevat liiklust selliste failide osas.<\/p>\n

Infostealerite k\u00e4itumise uurimine n\u00e4itab, et kurjategijad ei kogu k\u00f5ike j\u00e4rjest \u2014 neid huvitavad eelk\u00f5ige finantsaruanded, kliendibaasid, t\u00f6\u00f6tajate ja klientide isikuandmed, lepingud, salvestused ja \u00f5igusdokumendid. Pahavara skaneerib kettaid mis tahes teabe leidmiseks, mida v\u00f5iks teoreetiliselt kasutada \u0161anta\u017eeerimiseks.
\nKui sarnane r\u00fcnnak on edukalt l\u00e4bi viidud, avaldavad kurjategijad tavaliselt v\u00e4ikese teaseri, n\u00e4idates mitmeid dokumente kinnitamaks, et andmed on organisatsioonist lekkinud. M\u00f5ned r\u00fchmad avaldavad isegi kogu andmestiku oma veebilehel, kui lunaraha maksmise aeg on juba m\u00f6\u00f6das. Blokeerimise v\u00e4ltimiseks ja laia leviku tagamiseks avaldatakse andmeid muu hulgas ka TOR-v\u00f5rgus.<\/p>\n

Veel \u00fcks monetiseerimise viis on andmete m\u00fc\u00fck. N\u00e4iteks teatas Sodinokibi hiljuti avatud enampakkumistest, kus andmeid saab osaleja, kes teeb k\u00f5rgeima pakkumise. Selliste oksjonite alghind on 50 000\u2013100 000 dollarit, s\u00f5ltuvalt andmete kvaliteedist ja sisust. N\u00e4iteks 10 000 kande komplekt, mis sisaldas rahavooge, konfidentsiaalseid \u00e4randmeid ja skaneeritud juhilube, m\u00fc\u00fcdi alates 100 000 dollarist. 50 000 dollari eest v\u00f5is osta rohkem kui 20 000 finantsdokumentide komplekti pluss kolm andmebaasi raamatupidamisfailide ja kliendiandmetega. <\/p>\n

Lehek\u00fcljed, kus andmelekkeid avaldatakse, v\u00f5ivad olla v\u00e4ga erinevad. Need v\u00f5ivad olla lihtsalt lehed, kuhu on k\u00f5ik varastatud \u00fcles laaditud, aga v\u00f5ivad olla ka keerukamaid struktuure koos sektsioonide ja ostmise v\u00f5imalustega. Peamine on see, et k\u00f5ik need teenivad \u00fcht p\u00f5hieesm\u00e4rki \u2014 suurendada r\u00fcndajate v\u00f5imalusi saada raha. Kui see \u00e4rimudel osutub kurjategijatele edukaks, on kindel, et selliseid lehti tuleb veelgi rohkem ning tehnikaid ettev\u00f5tteandmete varastamiseks ja monetiseerimiseks laiendatakse veelgi.<\/p>\n

Nii n\u00e4evad v\u00e4lja praegused veebilehed, kus avaldatakse andmelekked:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Mida teha uute r\u00fcnnakute puhul
\n<\/h3>\n

\nPeamine v\u00e4ljakutse turvateenistuste jaoks on see, et viimase aja jooksul on \u00fcha rohkem Ransomware'iga seotud intsidente lihtsalt andmete varguse k\u00f5rvalejuhtimise meetodiks. Kurjategijad ei panusta enam ainult serverite kr\u00fcpteerimisele. Vastupidi, peamine eesm\u00e4rk on andmete lekke korraldamine, samal ajal kui te v\u00f5itlete kr\u00fcpteerijatega. <\/p>\n

Seega, pelgalt varunduss\u00fcsteemi kasutamine, isegi hea taastamisplaaniga, osutub mitmekihilistele ohtudele vastu seistes ebapiisavaks. Loomulikult ei saa ilma varukoopiateta hakkama, sest kurjategijad \u00fcritavad kindlasti midagi kr\u00fcpteerida ja lunarahaga v\u00e4lja pressida. T\u00e4htis on, et n\u00fc\u00fcd peab iga Ransomware'i r\u00fcnnakut k\u00e4sitlema kui v\u00f5imalust p\u00f5hjalikuks liikluse anal\u00fc\u00fcsiks ja v\u00f5imaliku r\u00fcnnaku uurimise k\u00e4ivitamiseks. Samuti tuleks m\u00f5elda t\u00e4iendavatele turvameetmetele, mis v\u00f5iksid: <\/p>\n