תוכנת כופר היא דרך חדשה לארגן דליפות נתונים

דליפות נתונים הן נקודה כואבת עבור שירותי האבטחה. ועכשיו, כשרוב האנשים עובדים מהבית, הסכנה לדליפות גדולה הרבה יותר. זו הסיבה שקבוצות פושעי סייבר ידועות מקדישות תשומת לב מוגברת לפרוטוקולי גישה מרחוק מיושנים ולא מאובטחים מספיק. ומעניין, יותר ויותר דליפות נתונים כיום קשורות ל- Ransomware. איך, למה ובאיזה אופן - קראו מתחת לגזירה.

נתחיל מזה שפיתוח והפצה של תוכנות כופר הוא עסק פלילי רווחי מאוד בפני עצמו. לדוגמה, לפי ה-FBI האמריקאי, קבוצת סודינוקיבי בשנה האחרונה היא הרוויחה כמיליון דולר לחודש. והתוקפים שהשתמשו בריוק קיבלו אפילו יותר - בתחילת פעילות הקבוצה ההכנסה שלהם הסתכמה ב-1 מיליון דולר לחודש. אז זה לא מפתיע שרבים מהקצינים הראשיים לאבטחת מידע (CISOs) מציגים תוכנות כופר כאחד מחמשת הסיכונים העסקיים המובילים שלהם.

מרכז הגנת הסייבר של Acronis (CPOC), הממוקם בסינגפור, מאשר עלייה בפשעי הסייבר באזור תוכנת הכופר. במחצית השנייה של מאי, 20% יותר תוכנות כופר נחסמו ברחבי העולם מהרגיל. לאחר ירידה קלה, כעת בחודש יוני אנו רואים שוב עלייה בפעילות. ויש לכך כמה סיבות.

היכנס למחשב של הקורבן

טכנולוגיות אבטחה מתפתחות, ותוקפים צריכים לשנות מעט את הטקטיקה שלהם כדי להיכנס למערכת ספציפית. התקפות כופר ממוקדות ממשיכות להתפשט באמצעות מיילים דיוגים מעוצבים היטב (כולל הנדסה חברתית). עם זאת, לאחרונה, מפתחי תוכנות זדוניות מקדישים תשומת לב רבה לעובדים מרוחקים. כדי לתקוף אותם, אתה יכול למצוא שירותי גישה מרחוק מוגנים בצורה גרועה, כגון RDP, או שרתי VPN עם נקודות תורפה.
זה מה שהם עושים. יש אפילו תוכנות כופר-כשירות ברשת האפלה שמספקות את כל מה שצריך כדי לתקוף ארגון או אדם נבחרים.

תוקפים מחפשים כל דרך לחדור לרשת ארגונית ולהרחיב את ספקטרום התקיפות שלהם. כך, ניסיונות להדביק את הרשתות של ספקי השירותים הפכו לטרנד פופולרי. מכיוון ששירותי ענן רק צוברים פופולריות כיום, הדבקה של שירות פופולרי מאפשרת לתקוף עשרות ואף מאות קורבנות בו זמנית.

אם ניהול אבטחה מבוסס אינטרנט או קונסולות גיבוי נפגעות, התוקפים יכולים להשבית את ההגנה, למחוק גיבויים ולאפשר לתוכנות זדוניות שלהם להתפשט ברחבי הארגון. אגב, זו הסיבה שמומחים ממליצים להגן בקפידה על כל חשבונות השירות באמצעות אימות רב-גורמי. לדוגמה, כל שירותי הענן של Acronis מאפשרים לך להתקין הגנה כפולה, מכיוון שאם הסיסמה שלך נפגעת, התוקפים יכולים לשלול את כל היתרונות של שימוש במערכת הגנת סייבר מקיפה.

הרחבת קשת התקיפה

כאשר המטרה האהובה מושגת, והתוכנה הזדונית כבר נמצאת בתוך הרשת הארגונית, בדרך כלל משתמשים בטקטיקות סטנדרטיות למדי להפצה נוספת. התוקפים לומדים את המצב ושואפים להתגבר על החסמים שנוצרו בתוך החברה כדי להתמודד עם איומים. חלק זה של ההתקפה יכול להתרחש באופן ידני (אחרי הכל, אם הם כבר נפלו לרשת, אז הפיתיון על הקרס!). לשם כך, נעשה שימוש בכלים ידועים, כגון PowerShell, WMI PsExec, כמו גם אמולטור Cobalt Strike החדש יותר וכלי עזר נוספים. קבוצות פליליות מסוימות מכוונות במיוחד למנהלי סיסמאות כדי לחדור עמוק יותר לרשת ארגונית. ותוכנות זדוניות כמו Ragnar נראתה לאחרונה בתמונה סגורה לחלוטין של המכונה הוירטואלית VirtualBox, שעוזרת להסתיר את נוכחותן של תוכנות זרות על המכונה.

לפיכך, ברגע שהתוכנה הזדונית נכנסת לרשת הארגונית, היא מנסה לבדוק את רמת הגישה של המשתמש ולהשתמש בסיסמאות גנובות. כלי עזר כגון Mimikatz ו-Bloodhound & Co. לעזור לפרוץ חשבונות מנהלי דומיין. ורק כאשר התוקף רואה את אפשרויות ההפצה מוצו, תוכנת הכופר יורדת ישירות למערכות הלקוח.

תוכנת כופר ככיסוי

לאור חומרת האיום של אובדן נתונים, מדי שנה יותר ויותר חברות מיישמות את מה שמכונה "תוכנית התאוששות מאסון". הודות לכך, הם לא צריכים לדאוג יותר מדי לגבי הנתונים המוצפנים, ובמקרה של מתקפת Ransomware, הם לא מתחילים לגבות את הכופר, אלא מתחילים בתהליך השחזור. אבל גם התוקפים לא ישנים. במסווה של תוכנת כופר, מתרחשת גניבת נתונים מסיבית. Maze היה הראשון שהשתמש בטקטיקות כאלה בהמוניהם בשנת 2019, אם כי קבוצות אחרות שילבו מדי פעם התקפות. כעת, לפחות Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO ו-Sekhmet עוסקים בגניבת נתונים במקביל להצפנה.

לפעמים תוקפים מצליחים לשאוב עשרות טרה-בייט של נתונים מחברה, שאפשר היה לזהות אותם על ידי כלי ניטור רשת (אם הם היו מותקנים ומוגדרים). אחרי הכל, לרוב העברת נתונים מתרחשת פשוט באמצעות סקריפטים של FTP, Putty, WinSCP או PowerShell. כדי להתגבר על DLP ומערכות ניטור רשת, ניתן להצפין נתונים או לשלוח כארכיון מוגן בסיסמה, אתגר חדש עבור צוותי אבטחה שצריכים לבדוק תעבורה יוצאת עבור קבצים כאלה.

לימוד התנהגותם של גנבי מידע מראה שתוקפים לא אוספים הכל - הם מתעניינים רק בדוחות פיננסיים, מאגרי מידע של לקוחות, נתונים אישיים של עובדים ולקוחות, חוזים, רשומות ומסמכים משפטיים. התוכנה הזדונית סורקת כוננים עבור כל מידע שיכול לשמש באופן תיאורטי לסחיטה.
אם מתקפה כזו מצליחה, התוקפים בדרך כלל מפרסמים טיזר קטן, המציג מספר מסמכים המאשרים שדלפו נתונים מהארגון. וחלק מהקבוצות מפרסמות את כל הנתונים באתר האינטרנט שלהן אם הזמן לתשלום הכופר כבר פג. כדי למנוע חסימה ולהבטיח כיסוי רחב, הנתונים מתפרסמים גם ברשת TOR.

דרך נוספת לייצר רווח היא על ידי מכירת נתונים. לדוגמה, סודינוקיבי הכריזה לאחרונה על מכירות פומביות פתוחות שבהן הנתונים עוברים להצעה הגבוהה ביותר. המחיר ההתחלתי לעסקאות כאלה הוא 50-100 אלף דולר בהתאם לאיכות ולתוכן של הנתונים. לדוגמה, קבוצה של 10 רישומי תזרים מזומנים, נתונים עסקיים חסויים ורישיונות נהיגה סרוקים נמכרו בסכום נמוך של 000 דולר. ובתמורה ל-$100 אפשר לקנות יותר מ-000 מסמכים פיננסיים בתוספת שלושה מאגרי מידע של קבצי חשבונאות ונתוני לקוחות.

האתרים שבהם מתפרסמות הדלפות משתנים מאוד. זה יכול להיות עמוד פשוט שבו כל מה שנגנב פשוט מפורסם, אבל יש גם מבנים מורכבים יותר עם קטעים ואפשרות לרכישה. אבל העיקר שכולם משרתים את אותה מטרה - להגדיל את הסיכוי לתוקפים לקבל כסף אמיתי. אם המודל העסקי הזה יציג תוצאות טובות לתוקפים, אין ספק שיהיו עוד יותר אתרים דומים, וטכניקות לגניבה ומונטיזציה של נתונים ארגוניים יורחבו עוד יותר.

כך נראים האתרים הנוכחיים שמפרסמים דליפות נתונים:

מה לעשות עם התקפות חדשות

האתגר העיקרי של צוותי אבטחה בתנאים אלה הוא שלאחרונה יותר ויותר תקריות הקשורות ל-Ransomware מתבררות כהסחת דעת מגניבת נתונים. תוקפים כבר לא מסתמכים רק על הצפנת שרת. להיפך, המטרה העיקרית היא לארגן דליפה בזמן שאתה נלחם בתוכנת כופר.

לפיכך, שימוש במערכת גיבוי בלבד, אפילו עם תוכנית שחזור טובה, אינו מספיק כדי להתמודד עם איומים רב-שכבתיים. לא, כמובן, גם אתה לא יכול בלי עותקי גיבוי, כי תוקפים בהחלט ינסו להצפין משהו ולבקש כופר. הנקודה היא דווקא שכעת יש להתייחס לכל תקיפה באמצעות תוכנת Ransomware כסיבה לניתוח מקיף של התעבורה ולפתיחת חקירה לגבי תקיפה אפשרית. כדאי גם לחשוב על תכונות אבטחה נוספות שיכולות:

• זהה במהירות התקפות ונתח פעילות רשת חריגה באמצעות AI
• שחזר מערכות באופן מיידי מהתקפות Ransomware של אפס יום כדי שתוכל לנטר את פעילות הרשת
• חסום את התפשטותם של תוכנות זדוניות קלאסיות וסוגים חדשים של התקפות על הרשת הארגונית
• ניתוח תוכנות ומערכות (כולל גישה מרחוק) לאיתור נקודות תורפה וניצול נוכחיים
• למנוע העברת מידע לא מזוהה מעבר לתחום הארגוני

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

האם אי פעם ניתחת פעילות ברקע במהלך מתקפת כופר?

• 20,0%כן1

• 80,0%מספר 4

5 משתמשים הצביעו. 2 משתמשים נמנעו.

מקור: www.habr.com