{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"A Ransomware - \u00faj m\u00f3dszer az adatlop\u00e1sok lebonyol\u00edt\u00e1s\u00e1ra","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Az adatsziv\u00e1rg\u00e1sok a biztons\u00e1gi szolg\u00e1lat sz\u00e1m\u00e1ra f\u00e1j\u00f3 k\u00e9rd\u00e9s. Jelenleg, amikor a legt\u00f6bben otthon dolgoznak, a sziv\u00e1rg\u00e1sok kock\u00e1zata sokkal magasabb\u00e1 v\u00e1lt. \u00c9ppen ez\u00e9rt a h\u00edres kiberb\u0171n\u00f6z\u0151 csoportok fokozott figyelmet ford\u00edtanak az elavult \u00e9s a nem megfelel\u0151en v\u00e9dett t\u00e1voli hozz\u00e1f\u00e9r\u00e9si protokollokra. \u00c9rdekes m\u00f3don ma egyre t\u00f6bb adatsziv\u00e1rg\u00e1s kapcsol\u00f3dik a zsarol\u00f3programokhoz. Hogyan, mi\u00e9rt \u00e9s milyen m\u00f3don \u2013 olvasson tov\u00e1bb.<\/p>\n

\"A
\n<\/a><\/noindex>
\nKezdj\u00fck azzal, hogy a zsarol\u00f3programok fejleszt\u00e9se \u00e9s terjeszt\u00e9se \u00f6n\u00e1ll\u00f3an is rendk\u00edv\u00fcl j\u00f6vedelmez\u0151 b\u0171n\u00f6z\u0151i \u00fczlet\u00e1g. P\u00e9ld\u00e1ul az amerikai FBI becsl\u00e9se szerint, a Sodinokibi csoport<\/a><\/noindex> a m\u00falt \u00e9v sor\u00e1n k\u00f6r\u00fclbel\u00fcl havi 1 milli\u00f3 doll\u00e1rt keresett. A Ryukot alkalmaz\u00f3 b\u0171n\u00f6z\u0151k m\u00e9g t\u00f6bbet kerestek \u2013 csoportjuk tev\u00e9kenys\u00e9g\u00e9nek kezdetekor a bev\u00e9teleik havi 3 milli\u00f3 doll\u00e1rig terjedtek. \u00cdgy nem meglep\u0151, hogy sok informatikai biztons\u00e1gi igazgat\u00f3 (CISO) a zsarol\u00f3programokat a legnagyobb \u00f6t \u00fczleti kock\u00e1zat k\u00f6z\u00f6tt eml\u00edti.<\/p>\n

Az Acronis Cyber Protection Operation Center (CPOC) biztons\u00e1gi k\u00f6zpontja, amely Szingap\u00farban tal\u00e1lhat\u00f3, meger\u0151s\u00edti a zsarol\u00f3programokkal kapcsolatos kiberb\u0171n\u00f6z\u00e9s fokoz\u00f3d\u00e1s\u00e1t. M\u00e1jus m\u00e1sodik fel\u00e9ben vil\u00e1gszerte 20%-kal t\u00f6bb zsarol\u00f3programot blokkoltak, mint \u00e1ltal\u00e1ban. A kis visszaes\u00e9s ut\u00e1n most, j\u00faniusban ism\u00e9t n\u00f6vekv\u0151 aktivit\u00e1st tapasztalunk. Ennek t\u00f6bb oka is van. <\/p>\n

Bejutni az \u00e1ldozat sz\u00e1m\u00edt\u00f3g\u00e9p\u00e9re
\n<\/h3>\n

\nA v\u00e9delmi technol\u00f3gi\u00e1k fejl\u0151dnek, \u00e9s a b\u0171n\u00f6z\u0151knek m\u00f3dos\u00edtaniuk kell a taktik\u00e1jukat, hogy bejuthassanak egy adott rendszerbe. A c\u00e9lzott zsarol\u00f3programos t\u00e1mad\u00e1sok tov\u00e1bbra is alaposan megtervezett adathal\u00e1sz e-maileken kereszt\u00fcl terjednek (itt nem mentes a szoci\u00e1lis m\u00e9rn\u00f6ks\u00e9g). Az ut\u00f3bbi id\u0151ben azonban a k\u00e1rt\u00e9kony szoftverek fejleszt\u0151i sok figyelmet ford\u00edtanak a t\u00e1voli dolgoz\u00f3kra. Ahhoz, hogy t\u00e1madni tudj\u00e1k \u0151ket, gyenge v\u00e9delm\u0171 t\u00e1voli hozz\u00e1f\u00e9r\u00e9si szolg\u00e1ltat\u00e1sokat, p\u00e9ld\u00e1ul RDP-t vagy sebezhet\u0151 VPN-szervereket lehet tal\u00e1lni.
\nEzekkel foglalkoznak is. A s\u00f6t\u00e9t h\u00e1l\u00f3n m\u00e1r megjelentek zsarol\u00f3program-szolg\u00e1ltat\u00e1sok, amelyek mindent biztos\u00edtanak, ami a kiv\u00e1lasztott szervezet vagy szem\u00e9ly megt\u00e1mad\u00e1s\u00e1hoz sz\u00fcks\u00e9ges. <\/p>\n

A t\u00e1mad\u00f3k minden lehets\u00e9ges m\u00f3dot keresnek a v\u00e1llalati h\u00e1l\u00f3zatba val\u00f3 behatol\u00e1sra \u00e9s a t\u00e1mad\u00e1si spektrum b\u0151v\u00edt\u00e9s\u00e9re. Napjainkban n\u00e9pszer\u0171 ir\u00e1nyzatt\u00e1 v\u00e1lt a szolg\u00e1ltat\u00f3h\u00e1l\u00f3zatok megfert\u0151z\u00e9se. Mivel a felh\u0151szolg\u00e1ltat\u00e1sok ma m\u00e9g csak n\u00e9pszer\u0171s\u00e9gnek \u00f6rvendenek, egy n\u00e9pszer\u0171 szolg\u00e1ltat\u00e1s megfert\u0151z\u00e9se lehet\u0151v\u00e9 teszi, hogy egyszerre t\u00f6bb tucat vagy ak\u00e1r t\u00f6bb sz\u00e1z \u00e1ldozatot t\u00e1madjanak meg. <\/p>\n

Webes biztons\u00e1gi rendszerek vagy biztons\u00e1gi ment\u00e9sek vez\u00e9rl\u0151pultj\u00e1nak felt\u00f6r\u00e9se eset\u00e9n a t\u00e1mad\u00f3k letilthatj\u00e1k a v\u00e9delmet, t\u00f6r\u00f6lhetik a biztons\u00e1gi m\u00e1solatokat, \u00e9s ezzel lehet\u0151v\u00e9 teszik a rosszindulat\u00fa programjuk ki\u00e9p\u00edt\u00e9s\u00e9t az eg\u00e9sz szervezetben. \u00c9ppen ez\u00e9rt a szak\u00e9rt\u0151k javasolj\u00e1k, hogy minden szolg\u00e1ltat\u00e1si fi\u00f3kot gondosan v\u00e9djenek meg t\u00f6bbl\u00e9pcs\u0151s hiteles\u00edt\u00e9ssel. P\u00e9ld\u00e1ul az Acronis minden felh\u0151szolg\u00e1ltat\u00e1sa lehet\u0151v\u00e9 teszi a dupla v\u00e9delmet, mert ha a jelsz\u00f3 kompromitt\u00e1l\u00f3dik, a t\u00e1mad\u00f3k semmiss\u00e9 tehetik a kiberbiztons\u00e1gi rendszer \u00f6sszes el\u0151ny\u00e9t. <\/p>\n

A t\u00e1mad\u00e1si spektrum b\u0151v\u00edt\u00e9se
\n<\/h3>\n

\nAmikor a kit\u0171z\u00f6tt c\u00e9l el\u00e9rve, \u00e9s a rosszindulat\u00fa program m\u00e1r bel\u00fcl van a v\u00e1llalati h\u00e1l\u00f3zatban, a tov\u00e1bbi terjed\u00e9shez \u00e1ltal\u00e1ban j\u00f3l bev\u00e1lt taktik\u00e1kat haszn\u00e1lnak. A t\u00e1mad\u00f3k tanulm\u00e1nyozz\u00e1k a helyzetet, \u00e9s arra t\u00f6rekednek, hogy \u00e1thidalj\u00e1k azokat az akad\u00e1lyokat, amelyeket a v\u00e1llalat a fenyeget\u00e9sek ellen \u00e1ll\u00edtott fel. A t\u00e1mad\u00e1s ezen r\u00e9sze manu\u00e1lisan is v\u00e9grehajthat\u00f3 (hiszen ha m\u00e1r bejutottak a h\u00e1l\u00f3zatba, akkor a csali m\u00e1r \u00abhorogban\u00bb van!). Ehhez j\u00f3l ismert eszk\u00f6z\u00f6ket, p\u00e9ld\u00e1ul PowerShellt, WMI PsExec-et, valamint \u00fajabb Cobalt Strike emul\u00e1tort \u00e9s m\u00e1s seg\u00e9dprogramokat haszn\u00e1lnak. Egyes b\u0171n\u00f6z\u0151i csoportok c\u00e9lzottan t\u00e1madj\u00e1k a jelsz\u00f3kezel\u0151ket, hogy m\u00e9lyebbre hatoljanak a v\u00e1llalati h\u00e1l\u00f3zatban. Az olyan rosszindulat\u00fa programok, mint a Ragnar, nemr\u00e9giben teljesen z\u00e1rt VirtualBox virtu\u00e1lis g\u00e9pen ker\u00fcltek el\u0151, amely seg\u00edt elrejteni a harmadik f\u00e9l szoftver\u00e9nek jelenl\u00e9t\u00e9t a g\u00e9pen. <\/p>\n

\u00cdgy teh\u00e1t, amikor a v\u00e1llalati h\u00e1l\u00f3zatra bel\u00e9pve a rosszindulat\u00fa szoftver megpr\u00f3b\u00e1lja ellen\u0151rizni a felhaszn\u00e1l\u00f3 hozz\u00e1f\u00e9r\u00e9si szintj\u00e9t \u00e9s alkalmazni a lopott jelszavakat. Olyan eszk\u00f6z\u00f6k, mint a Mimikatz \u00e9s a Bloodhound & Co. seg\u00edtenek a domain adminisztr\u00e1torok fi\u00f3kjainak felt\u00f6r\u00e9s\u00e9ben. Csak akkor, amikor a t\u00e1mad\u00f3 \u00fagy v\u00e9li, hogy a terjed\u00e9s lehet\u0151s\u00e9gei kimer\u00fcltek, t\u00f6lt\u0151dik fel a kliens rendszereire a program, amely v\u00e1lts\u00e1gd\u00edjat k\u00e9r. <\/p>\n

A v\u00e1lts\u00e1gd\u00edj szoftver mint \u00e1lca
\n<\/h3>\n

\nFigyelembe v\u00e9ve az adatveszt\u00e9s fenyeget\u00e9s\u00e9nek s\u00falyoss\u00e1g\u00e1t, az \u00e9vek sor\u00e1n egyre t\u00f6bb v\u00e1llalat val\u00f3s\u00edtja meg a \u201eKatasztr\u00f3fa helyre\u00e1ll\u00edt\u00e1si tervet\u201d. Ennek k\u00f6sz\u00f6nhet\u0151en nem kell t\u00fals\u00e1gosan agg\u00f3dniuk a titkos\u00edtott adatok miatt, \u00e9s ransomware t\u00e1mad\u00e1s eset\u00e9n nem kezdik el a v\u00e1lts\u00e1gd\u00edj \u00f6sszegy\u0171jt\u00e9s\u00e9t, hanem elind\u00edtj\u00e1k a helyre\u00e1ll\u00edt\u00e1si folyamatot. De a b\u0171n\u00f6z\u0151k sem t\u00e9tlenkednek. A ransomware \u00e1lc\u00e1ja alatt t\u00f6meges adatlop\u00e1s zajlik. Ezt a taktik\u00e1t el\u0151sz\u00f6r a Maze kezdte el alkalmazni 2019-ben, hab\u00e1r m\u00e1s csoportok is id\u0151nk\u00e9nt kombin\u00e1lt\u00e1k a t\u00e1mad\u00e1sokat. Most m\u00e1r legal\u00e1bb a Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO \u00e9s Sekhmet is foglalkozik adatok eltulajdon\u00edt\u00e1s\u00e1val p\u00e1rhuzamosan a titkos\u00edt\u00e1ssal.<\/p>\n

N\u00e9ha a b\u0171n\u00f6z\u0151knek siker\u00fcl kiemelni\u00fck a c\u00e9gekb\u0151l t\u00f6bb tucat terab\u00e1jt adatot, amelyeket a h\u00e1l\u00f3zati megfigyel\u0151 rendszerek felfedezhetn\u00e9nek (ha telep\u00edtve vannak \u00e9s be vannak \u00e1ll\u00edtva). Hiszen a legt\u00f6bbsz\u00f6r az adat\u00e1tvitel egyszer\u0171en FTP, Putty, WinSCP vagy PowerShell szkriptek seg\u00edts\u00e9g\u00e9vel t\u00f6rt\u00e9nik. A DLP \u00e9s a h\u00e1l\u00f3zati fel\u00fcgyeleti rendszerek megker\u00fcl\u00e9s\u00e9nek \u00e9rdek\u00e9ben az adatokat lehet titkos\u00edtani, vagy jelsz\u00f3val v\u00e9dett arch\u00edvumk\u00e9nt lehet k\u00fcldeni, \u00e9s ez \u00faj kih\u00edv\u00e1st jelent a biztons\u00e1gi szolg\u00e1ltat\u00e1sok sz\u00e1m\u00e1ra, amelyeknek ellen\u0151rizni\u00fck kell a kimen\u0151 forgalmat az ilyen f\u00e1jlok jelenl\u00e9te tekintet\u00e9ben.<\/p>\n

Az infostealerek viselked\u00e9s\u00e9nek tanulm\u00e1nyoz\u00e1sa sor\u00e1n kider\u00fcl, hogy a b\u0171n\u00f6z\u0151k nem gy\u0171jtenek mindent, ami a kez\u00fckbe ker\u00fcl \u2014 kifejezetten p\u00e9nz\u00fcgyi jelent\u00e9sek, \u00fcgyf\u00e9ladatb\u00e1zisok, alkalmazottak \u00e9s \u00fcgyfelek szem\u00e9lyes adatai, szerz\u0151d\u00e9sek, nyilv\u00e1ntart\u00e1sok, jogi dokumentumok \u00e9rdeklik \u0151ket. A rosszindulat\u00fa szoftverek a lemezeket szkennelik a potenci\u00e1lisan zsarol\u00e1sra haszn\u00e1lhat\u00f3 inform\u00e1ci\u00f3k keres\u00e9se \u00e9rdek\u00e9ben.
\nHa egy ilyen t\u00e1mad\u00e1s sikeresen v\u00e9grehajt\u00e1sra ker\u00fclt, a t\u00e1mad\u00f3k \u00e1ltal\u00e1ban k\u00f6zz\u00e9tesznek egy r\u00f6vid el\u0151zetest, amelyben n\u00e9h\u00e1ny dokumentumot mutatnak be annak meger\u0151s\u00edt\u00e9s\u00e9re, hogy az adatok kisziv\u00e1rogtak a szervezetb\u0151l. N\u00e9h\u00e1ny csoport a teljes adatcsomagot k\u00f6zz\u00e9teszi a weboldalukon, ha a v\u00e1lts\u00e1gd\u00edj kifizet\u00e9s\u00e9re vonatkoz\u00f3 id\u0151 lej\u00e1rt. A blokkol\u00e1s elker\u00fcl\u00e9se \u00e9s a sz\u00e9les k\u00f6r\u0171 lefedetts\u00e9g biztos\u00edt\u00e1sa \u00e9rdek\u00e9ben az adatokat a TOR h\u00e1l\u00f3zatban is k\u00f6zz\u00e9teszik.<\/p>\n

Egy m\u00e1sik monetiz\u00e1ci\u00f3s m\u00f3d az adatok elad\u00e1sa. P\u00e9ld\u00e1ul a Sodinokibi nemr\u00e9giben nyilv\u00e1nos \u00e1rver\u00e9seket hirdetett, ahol az adatokat a legmagasabb aj\u00e1nlatot tev\u0151 kapja meg. Az ilyen \u00e1rver\u00e9sek kezd\u0151 \u00e1ra 50-100 ezer doll\u00e1r az adatok min\u0151s\u00e9g\u00e9t\u0151l \u00e9s tartalm\u00e1t\u00f3l f\u00fcgg\u0151en. P\u00e9ld\u00e1ul egy 10 000 rekordot tartalmaz\u00f3 k\u00e9szlet, amely k\u00e9szp\u00e9nzfolyamatokr\u00f3l, bizalmas \u00fczleti adatokkal \u00e9s beszkennelt jogos\u00edtv\u00e1nyokkal rendelkezik, 100 000 doll\u00e1rt\u00f3l kezd\u0151d\u00f6tt. 50 000 doll\u00e1r\u00e9rt pedig t\u00f6bb mint 20 000 p\u00e9nz\u00fcgyi dokumentumot, valamint h\u00e1rom k\u00f6nyvel\u00e9si f\u00e1jlokkal \u00e9s \u00fcgyf\u00e9ldataival rendelkez\u0151 adatb\u00e1zist lehetett v\u00e1s\u00e1rolni. <\/p>\n

A kisziv\u00e1rg\u00e1sokat k\u00f6zz\u00e9tev\u0151 weboldalak a legk\u00fcl\u00f6nf\u00e9l\u00e9bb form\u00e1kat \u00f6lthetik. Lehet ez egy egyszer\u0171 oldal, ahova csak \u00fagy feltett\u00e9k az \u00f6sszes lopott anyagot, de lehetnek bonyolultabb strukt\u00far\u00e1k is, amelyek szekci\u00f3kat \u00e9s v\u00e1s\u00e1rl\u00e1si lehet\u0151s\u00e9geket k\u00edn\u00e1lnak. A legfontosabb, hogy mindegyik c\u00e9lja ugyanaz \u2014 n\u00f6velni a t\u00e1mad\u00f3k es\u00e9lyeit a t\u00e9nyleges p\u00e9nz megszerz\u00e9s\u00e9re. Ha ez az \u00fczleti modell j\u00f3l m\u0171k\u00f6dik a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra, biztosak lehet\u00fcnk benne, hogy m\u00e9g t\u00f6bb ilyen weboldal fog megjelenni, \u00e9s a v\u00e1llalati adatok eltulajdon\u00edt\u00e1s\u00e1nak \u00e9s monetiz\u00e1l\u00e1s\u00e1nak m\u00f3dszerei is tov\u00e1bb fognak b\u0151v\u00fclni.<\/p>\n

\u00cdgy n\u00e9znek ki a jelenlegi weboldalak, ahol adatlop\u00e1sok ker\u00fclnek k\u00f6zz\u00e9t\u00e9telre:<\/p>\n

\"A
\n\"A
\n\"A
\n\"A
\n\"A
\n\"A
\n<\/p>\n

Mit tegy\u00fcnk az \u00faj t\u00e1mad\u00e1sokkal
\n<\/h3>\n

\nA biztons\u00e1gi szolg\u00e1ltat\u00e1sok sz\u00e1m\u00e1ra a f\u0151 kih\u00edv\u00e1st ebben a helyzetben az jelenti, hogy az ut\u00f3bbi id\u0151ben egyre t\u00f6bb Ransomware-ral kapcsolatos incidens val\u00f3j\u00e1ban csak az adatok ellop\u00e1s\u00e1ra ir\u00e1nyul\u00f3 figyelemelterel\u00e9si m\u00f3dszer. A t\u00e1mad\u00f3k m\u00e1r nemcsak a szerverek titkos\u00edt\u00e1s\u00e1ra t\u00e1maszkodnak. \u00c9ppen ellenkez\u0151leg, a f\u0151 c\u00e9l az adatlop\u00e1s megszervez\u00e9se, mik\u00f6zben \u00d6n a titkos\u00edt\u00f3k ellen harcol. <\/p>\n

\u00cdgy teh\u00e1t, ha csak egy biztons\u00e1gi ment\u00e9si rendszerre t\u00e1maszkodunk, m\u00e9g j\u00f3 helyre\u00e1ll\u00edt\u00e1si terv mellett is, az nem el\u00e9g a t\u00f6bbr\u00e9teg\u0171 fenyeget\u00e9sek elleni v\u00e9dekez\u00e9shez. Term\u00e9szetesen biztons\u00e1gi ment\u00e9sek n\u00e9lk\u00fcl sem lehet meglenni, hiszen a t\u00e1mad\u00f3k biztosan megpr\u00f3b\u00e1lnak valamit titkos\u00edtani \u00e9s v\u00e1lts\u00e1gd\u00edjat k\u00e9rni. Ink\u00e1bb arr\u00f3l van sz\u00f3, hogy a Ransomware haszn\u00e1lat\u00e1val t\u00f6rt\u00e9n\u0151 minden t\u00e1mad\u00e1st most m\u00e1r \u00fagy kell kezelni, mint egy indokot a forgalom \u00e1tfog\u00f3 elemz\u00e9s\u00e9re \u00e9s a potenci\u00e1lis t\u00e1mad\u00e1s kivizsg\u00e1l\u00e1s\u00e1ra. Emellett \u00e9rdemes elgondolkodni tov\u00e1bbi biztons\u00e1gi int\u00e9zked\u00e9seken, amelyek k\u00e9pesek: <\/p>\n