Ransomware არის ახალი გზა მონაცემთა გაჟონვის ორგანიზებისთვის

მონაცემთა გაჟონვა უსაფრთხოების სამსახურების მტკივნეული წერტილია. ახლა კი, როცა ადამიანების უმეტესობა სახლიდან მუშაობს, გაჟონვის საფრთხე გაცილებით დიდია. სწორედ ამიტომ, ცნობილი კიბერდანაშაულებრივი ჯგუფები დიდ ყურადღებას აქცევენ მოძველებულ და არასაკმარისად უსაფრთხო დისტანციური წვდომის პროტოკოლებს. და, საინტერესოა, რომ დღეს უფრო და უფრო მეტი მონაცემთა გაჟონვა დაკავშირებულია Ransomware-თან. როგორ, რატომ და რა გზით - წაიკითხეთ ჭრილის ქვეშ.

დავიწყოთ იმით, რომ გამოსასყიდი პროგრამის შემუშავება და გავრცელება თავისთავად ძალიან მომგებიანი კრიმინალური ბიზნესია. მაგალითად, ამერიკული FBI-ს თანახმად, სოდინოკიბის ჯგუფი გასული წლის განმავლობაში ის თვეში დაახლოებით 1 მილიონ დოლარს გამოიმუშავებდა. და თავდამსხმელებმა, რომლებმაც გამოიყენეს რიუკი, კიდევ უფრო მეტი მიიღეს - ჯგუფის საქმიანობის დასაწყისში მათი შემოსავალი თვეში 3 მილიონ დოლარს შეადგენდა. ასე რომ, გასაკვირი არ არის, რომ ინფორმაციული უსაფრთხოების მრავალი მთავარი ოფიცერი (CISO) ასახელებს გამოსასყიდის პროგრამას, როგორც მათი ბიზნეს რისკის ხუთეულში.

Acronis Cyber ​​​​Protection Operation Center (CPOC), რომელიც მდებარეობს სინგაპურში, ადასტურებს კიბერდანაშაულის ზრდას Ransomware-ის არეალში. მაისის მეორე ნახევარში მსოფლიოში ჩვეულებრივზე 20%-ით მეტი გამოსასყიდი პროგრამა დაიბლოკა. მცირე კლების შემდეგ, ახლა ივნისში კვლავ ვხვდებით აქტივობის ზრდას. და ამის რამდენიმე მიზეზი არსებობს.

შედით მსხვერპლის კომპიუტერში

უსაფრთხოების ტექნოლოგიები ვითარდება და თავდამსხმელებმა უნდა შეცვალონ ტაქტიკა გარკვეულწილად, რათა მოხვდნენ კონკრეტულ სისტემაში. მიზნობრივი Ransomware თავდასხმები კვლავ ვრცელდება კარგად შემუშავებული ფიშინგის ელ.ფოსტის საშუალებით (სოციალური ინჟინერიის ჩათვლით). თუმცა, ბოლო დროს, მავნე პროგრამის შემქმნელები დიდ ყურადღებას აქცევენ დისტანციურ მუშაკებს. მათზე თავდასხმისთვის შეგიძლიათ იპოვოთ ცუდად დაცული დისტანციური წვდომის სერვისები, როგორიცაა RDP ან VPN სერვერები დაუცველობით.
ამას აკეთებენ. Darknet-ში არის გამოსასყიდი-როგორც სერვისებიც კი, რომლებიც უზრუნველყოფენ ყველაფერს, რაც გჭირდებათ არჩეულ ორგანიზაციაზე ან პიროვნებაზე თავდასხმისთვის.

თავდამსხმელები ეძებენ ნებისმიერ გზას, რათა შეაღწიონ კორპორატიულ ქსელში და გააფართოვონ თავდასხმის სპექტრი. ამრიგად, სერვისის პროვაიდერების ქსელების დაინფიცირების მცდელობები პოპულარული ტენდენცია გახდა. იმის გამო, რომ ღრუბლოვანი სერვისები დღეს მხოლოდ პოპულარობას იძენს, პოპულარული სერვისის ინფექცია შესაძლებელს ხდის ერთდროულად ათობით ან თუნდაც ასობით მსხვერპლზე თავდასხმას.

თუ ვებ-ზე დაფუძნებული უსაფრთხოების მენეჯმენტი ან სარეზერვო კონსოლები დაზიანებულია, თავდამსხმელებს შეუძლიათ გამორთონ დაცვა, წაშალონ სარეზერვო ასლები და დაუშვან თავიანთი მავნე პროგრამის გავრცელება მთელ ორგანიზაციაში. სხვათა შორის, სწორედ ამიტომ ექსპერტები გვირჩევენ ფრთხილად დაიცვათ ყველა სერვისის ანგარიში მრავალფაქტორიანი ავთენტიფიკაციის გამოყენებით. მაგალითად, Acronis-ის ყველა ღრუბლოვანი სერვისი საშუალებას გაძლევთ დააინსტალიროთ ორმაგი დაცვა, რადგან თუ თქვენი პაროლი კომპრომეტირებულია, თავდამსხმელებს შეუძლიათ გააუქმონ ყოვლისმომცველი კიბერდაცვითი სისტემის გამოყენების ყველა უპირატესობა.

შეტევის სპექტრის გაფართოება

როდესაც სანუკვარი მიზანი მიღწეულია და მავნე პროგრამა უკვე არის კორპორატიულ ქსელში, ჩვეულებრივ გამოიყენება საკმაოდ სტანდარტული ტაქტიკა შემდგომი გავრცელებისთვის. თავდამსხმელები სწავლობენ სიტუაციას და ცდილობენ გადალახონ ბარიერები, რომლებიც შეიქმნა კომპანიის შიგნით საფრთხის წინააღმდეგ. შეტევის ეს ნაწილი შეიძლება მოხდეს ხელით (ბოლოს და ბოლოს, თუ ისინი უკვე ჩავარდნენ ბადეში, მაშინ სატყუარა კაუჭზეა!). ამისათვის გამოიყენება ცნობილი ინსტრუმენტები, როგორიცაა PowerShell, WMI PsExec, ასევე უფრო ახალი Cobalt Strike ემულატორი და სხვა კომუნალური საშუალებები. ზოგიერთი კრიმინალური ჯგუფი სპეციალურად მიზნად ისახავს პაროლის მენეჯერებს, რათა უფრო ღრმად შეაღწიონ კორპორატიულ ქსელში. და მავნე პროგრამა, როგორიცაა Ragnar, ახლახან ნახეს VirtualBox ვირტუალური აპარატის სრულიად დახურულ სურათზე, რაც ხელს უწყობს მოწყობილობაზე უცხო პროგრამული უზრუნველყოფის არსებობის დამალვას.

ამრიგად, როგორც კი მავნე პროგრამა შედის კორპორატიულ ქსელში, ის ცდილობს შეამოწმოს მომხმარებლის წვდომის დონე და გამოიყენოს მოპარული პაროლები. კომუნალური საშუალებები, როგორიცაა Mimikatz და Bloodhound & Co. დაეხმარეთ დომენის ადმინისტრატორის ანგარიშების გატეხვას. და მხოლოდ მაშინ, როდესაც თავდამსხმელი თვლის, რომ განაწილების ვარიანტები ამოწურულია, გამოსასყიდი პროგრამა პირდაპირ ჩამოიტვირთება კლიენტის სისტემებში.

გამოსასყიდი პროგრამა, როგორც საფარი

მონაცემთა დაკარგვის საფრთხის სერიოზულობის გათვალისწინებით, ყოველწლიურად უფრო და უფრო მეტი კომპანია ახორციელებს ე.წ. „კატასტროფის აღდგენის გეგმას“. ამის წყალობით დაშიფრულ მონაცემებზე ზედმეტად არ წუხან და Ransomware თავდასხმის შემთხვევაში არ იწყებენ გამოსასყიდის შეგროვებას, არამედ იწყებენ აღდგენის პროცესს. მაგრამ თავდამსხმელებსაც არ სძინავთ. Ransomware-ის საფარქვეშ ხდება მონაცემთა მასიური ქურდობა. Maze იყო პირველი, ვინც მსგავსი ტაქტიკა მასობრივად გამოიყენა ჯერ კიდევ 2019 წელს, თუმცა სხვა ჯგუფები პერიოდულად აერთიანებდნენ თავდასხმებს. ახლა მაინც Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO და Sekhmet დაშიფვრის პარალელურად მონაცემთა ქურდობით არიან დაკავებულნი.

ზოგჯერ თავდამსხმელები ახერხებენ კომპანიისგან ათობით ტერაბაიტი მონაცემების ამოღებას, რაც შეიძლებოდა აღმოჩენილიყო ქსელის მონიტორინგის ხელსაწყოებით (თუ ისინი დაინსტალირებული და კონფიგურირებული იყო). ყოველივე ამის შემდეგ, ყველაზე ხშირად მონაცემთა გადაცემა ხდება უბრალოდ FTP, Putty, WinSCP ან PowerShell სკრიპტების გამოყენებით. DLP და ქსელის მონიტორინგის სისტემების დასაძლევად, მონაცემები შეიძლება დაშიფრული იყოს ან გაიგზავნოს პაროლით დაცული არქივის სახით, რაც ახალი გამოწვევაა უსაფრთხოების გუნდებისთვის, რომლებმაც უნდა შეამოწმონ გამავალი ტრაფიკი ასეთი ფაილებისთვის.

ინფოქურდელთა ქცევის შესწავლა აჩვენებს, რომ თავდამსხმელები ყველაფერს არ აგროვებენ - მათ მხოლოდ ფინანსური ანგარიშები, კლიენტების მონაცემთა ბაზები, თანამშრომლებისა და კლიენტების პერსონალური მონაცემები, კონტრაქტები, ჩანაწერები და იურიდიული დოკუმენტები აინტერესებთ. მავნე პროგრამა სკანირებს დისკებს ნებისმიერ ინფორმაციას, რომელიც თეორიულად შეიძლება გამოყენებულ იქნას შანტაჟისთვის.
თუ ასეთი შეტევა წარმატებულია, თავდამსხმელები ჩვეულებრივ აქვეყნებენ მცირე თიზერს, სადაც ნაჩვენებია რამდენიმე დოკუმენტი, რომელიც ადასტურებს, რომ მონაცემები გაჟონა ორგანიზაციიდან. და ზოგიერთი ჯგუფი აქვეყნებს მთელ მონაცემებს საკუთარ ვებსაიტზე, თუ გამოსასყიდის გადახდის დრო უკვე ამოიწურა. დაბლოკვის თავიდან ასაცილებლად და ფართო დაფარვის უზრუნველსაყოფად, მონაცემები ასევე ქვეყნდება TOR ქსელში.

მონეტიზაციის კიდევ ერთი გზაა მონაცემების გაყიდვა. მაგალითად, Sodinokibi-მ ცოტა ხნის წინ გამოაცხადა ღია აუქციონები, რომლებშიც მონაცემები მიდის ყველაზე მაღალ პრეტენდენტზე. ასეთი ვაჭრობის საწყისი ფასია 50-100 ათასი დოლარი, რაც დამოკიდებულია მონაცემთა ხარისხზე და შინაარსზე. მაგალითად, 10 ფულადი ნაკადების ჩანაწერები, კონფიდენციალური ბიზნეს მონაცემები და სკანირებული მართვის მოწმობები გაიყიდა სულ რაღაც 000 დოლარად და 100 დოლარად შეიძლება შეიძინოს 000-ზე მეტი ფინანსური დოკუმენტი, პლუს სამი საბუღალტრო ფაილი და მომხმარებლის მონაცემები.

საიტები, სადაც ქვეყნდება გაჟონვა, ძალიან განსხვავდება. ეს შეიძლება იყოს მარტივი გვერდი, რომელზეც ყველაფერი მოპარული უბრალოდ განთავსდება, მაგრამ ასევე არის უფრო რთული სტრუქტურები სექციებით და შეძენის შესაძლებლობით. მაგრამ მთავარი ის არის, რომ ისინი ყველა ერთსა და იმავე მიზანს ემსახურება - გაზარდონ თავდამსხმელების რეალური ფულის მიღების შანსები. თუ ეს ბიზნეს მოდელი აჩვენებს კარგ შედეგებს თავდამსხმელებისთვის, ეჭვგარეშეა, რომ კიდევ უფრო მეტი მსგავსი საიტი იქნება და კორპორატიული მონაცემების მოპარვისა და მონეტიზაციის ტექნიკა კიდევ უფრო გაფართოვდება.

ასე გამოიყურება მიმდინარე საიტები, რომლებიც აქვეყნებენ მონაცემთა გაჟონვას:

რა უნდა გააკეთოს ახალ თავდასხმებთან

ამ პირობებში უსაფრთხოების გუნდებისთვის მთავარი გამოწვევა არის ის, რომ ბოლო დროს უფრო და უფრო მეტი ინციდენტი, რომელიც დაკავშირებულია Ransomware-თან, აღმოჩნდება უბრალოდ მონაცემთა ქურდობისგან ყურადღების გადატანა. თავდამსხმელები აღარ ეყრდნობიან მხოლოდ სერვერის დაშიფვრას. პირიქით, მთავარი მიზანია გაჟონვის ორგანიზება, როცა თქვენ ებრძვით გამოსასყიდ პროგრამას.

ამრიგად, მხოლოდ სარეზერვო სისტემის გამოყენება, თუნდაც კარგი აღდგენის გეგმით, საკმარისი არ არის მრავალ ფენიანი საფრთხეების დასაძლევად. არა, რა თქმა უნდა, სარეზერვო ასლების გარეშეც არ შეგიძლიათ, რადგან თავდამსხმელები აუცილებლად შეეცდებიან რაიმეს დაშიფვრას და გამოსასყიდის მოთხოვნას. საქმე იმაშია, რომ ახლა ყველა შეტევა Ransomware-ის გამოყენებით უნდა განიხილებოდეს როგორც ტრაფიკის ყოვლისმომცველი ანალიზისა და შესაძლო თავდასხმის გამოძიების დაწყების მიზეზი. თქვენ ასევე უნდა იფიქროთ უსაფრთხოების დამატებით მახასიათებლებზე, რომლებიც შეიძლება:

• სწრაფად აღმოაჩინე თავდასხმები და გააანალიზე უჩვეულო ქსელის აქტივობა AI-ს გამოყენებით
• მყისიერად აღადგინეთ სისტემები ნულოვანი დღის Ransomware შეტევებისგან, რათა შეძლოთ ქსელის აქტივობის მონიტორინგი
• დაბლოკეთ კლასიკური მავნე პროგრამების გავრცელება და ახალი ტიპის თავდასხმები კორპორატიულ ქსელზე
• გაანალიზეთ პროგრამული უზრუნველყოფა და სისტემები (მათ შორის დისტანციური წვდომა) არსებული დაუცველობისა და ექსპლოიტების შესახებ
• აღკვეთეთ ამოუცნობი ინფორმაციის გადაცემა კორპორატიული პერიმეტრის მიღმა

გამოკითხვაში მონაწილეობა შეუძლიათ მხოლოდ დარეგისტრირებულ მომხმარებლებს. Შებრძანდითგთხოვთ

ოდესმე გაგიანალიზებიათ ფონური აქტივობა Ransomware შეტევის დროს?

• 20,0%დიახ 1

• 80,0%No4

მისცა ხმა 5 მომხმარებელმა. 2 მომხმარებელმა თავი შეიკავა.

წყარო: www.habr.com