랜섬웨어는 데이터 유출을 조직화하는 새로운 방법입니다.

데이터 유출은 보안 서비스의 골칫거리입니다. 그리고 이제 대부분의 사람들이 재택근무를 하기 때문에 정보 유출 위험이 훨씬 커졌습니다. 이것이 바로 잘 알려진 사이버 범죄 그룹이 오래되고 보안이 충분하지 않은 원격 액세스 프로토콜에 더 많은 관심을 기울이는 이유입니다. 그리고 흥미롭게도 오늘날 점점 더 많은 데이터 유출이 랜섬웨어와 관련되어 있습니다. 어떻게, 왜, 어떤 방식으로 - 컷 아래를 읽으십시오.

랜섬웨어의 개발과 배포는 그 자체로 매우 수익성이 높은 범죄 사업이라는 사실부터 시작해 보겠습니다. 예를 들어, 미국 FBI에 따르면, 소디노키비 그룹 지난 1년 동안 그녀는 한 달에 약 3만 달러를 벌었습니다. 그리고 Ryuk을 사용한 공격자들은 훨씬 더 많은 수익을 얻었습니다. 그룹 활동 초기에는 월 수입이 XNUMX만 달러에 달했습니다. 따라서 많은 CISO(최고정보보안책임자)가 랜섬웨어를 상위 XNUMX대 비즈니스 위험 중 하나로 꼽는 것은 놀라운 일이 아닙니다.

싱가포르에 위치한 Acronis 사이버 보호 운영 센터(CPOC)는 랜섬웨어 영역에서 사이버 범죄가 증가하고 있음을 확인했습니다. 20월 하반기에는 전 세계적으로 평소보다 랜섬웨어가 XNUMX% 더 많이 차단되었습니다. 약간의 감소 이후, 이제 XNUMX월에는 활동이 다시 증가하는 것을 볼 수 있습니다. 여기에는 몇 가지 이유가 있습니다.

피해자의 컴퓨터에 접속

보안 기술은 진화하고 있으며 공격자는 특정 시스템에 침투하기 위해 전술을 다소 변경해야 합니다. 표적형 랜섬웨어 공격은 잘 설계된 피싱 이메일(사회 공학 포함)을 통해 계속해서 확산되고 있습니다. 그러나 최근 악성 코드 개발자들은 원격 근무자에 많은 관심을 기울이고 있습니다. 이를 공격하려면 취약성이 있는 RDP 또는 VPN 서버와 같이 제대로 보호되지 않은 원격 액세스 서비스를 찾을 수 있습니다.
이것이 그들이 하는 일입니다. 다크넷에는 선택한 조직이나 사람을 공격하는 데 필요한 모든 것을 제공하는 서비스형 랜섬웨어도 있습니다.

공격자들은 기업 네트워크에 침투하여 공격 범위를 확장할 수 있는 방법을 찾고 있습니다. 따라서 서비스 제공업체의 네트워크를 감염시키려는 시도가 대중적인 추세가 되었습니다. 오늘날 클라우드 서비스가 인기를 얻고 있기 때문에 인기 있는 서비스가 감염되면 한 번에 수십, 심지어 수백 명의 피해자를 공격하는 것이 가능해집니다.

웹 기반 보안 관리 또는 백업 콘솔이 손상되면 공격자는 보호 기능을 비활성화하고 백업을 삭제하며 악성 코드가 조직 전체에 확산되도록 할 수 있습니다. 그런데 이것이 바로 전문가들이 다단계 인증을 사용하여 모든 서비스 계정을 신중하게 보호할 것을 권장하는 이유입니다. 예를 들어, 모든 Acronis 클라우드 서비스에서는 이중 보호를 설치할 수 있습니다. 비밀번호가 노출되면 공격자가 포괄적인 사이버 보호 시스템 사용의 모든 이점을 무효화할 수 있기 때문입니다.

공격 스펙트럼 확장

소중한 목표가 달성되고 맬웨어가 이미 기업 네트워크 내부에 있는 경우 추가 배포를 위해 일반적으로 매우 표준적인 전술이 사용됩니다. 공격자는 상황을 연구하고 위협에 대응하기 위해 회사 내에 만들어진 장벽을 극복하기 위해 노력합니다. 공격의 이 부분은 수동으로 수행할 수 있습니다(결국 이미 그물에 빠졌다면 미끼가 걸려 있는 것입니다!). 이를 위해 PowerShell, WMI PsExec, 최신 Cobalt Strike 에뮬레이터 및 기타 유틸리티와 같은 잘 알려진 도구가 사용됩니다. 일부 범죄 그룹은 특히 기업 네트워크에 더 깊이 침투하기 위해 비밀번호 관리자를 표적으로 삼습니다. 그리고 Ragnar와 같은 악성 코드는 최근 VirtualBox 가상 머신의 완전히 닫힌 이미지에서 발견되었으며, 이는 머신에 외부 소프트웨어가 존재하는지 숨기는 데 도움이 됩니다.

따라서 악성코드는 기업 네트워크에 진입하면 사용자의 접속 수준을 확인하고 훔친 비밀번호를 사용하려고 시도한다. Mimikatz 및 Bloodhound & Co.와 같은 유틸리티 도메인 관리자 계정을 해킹하는 데 도움을 주세요. 그리고 공격자가 배포 옵션이 소진되었다고 간주하는 경우에만 랜섬웨어가 클라이언트 시스템에 직접 다운로드됩니다.

표지로서의 랜섬웨어

데이터 손실 위협의 심각성을 고려하여 매년 점점 더 많은 기업이 소위 "재해 복구 계획"을 실행하고 있습니다. 덕분에 암호화된 데이터에 대해 크게 걱정할 필요가 없고, 랜섬웨어 공격이 발생하더라도 몸값을 받기보다는 복구 과정을 시작하게 된다. 하지만 공격자들도 잠을 자지 않습니다. 랜섬웨어를 빙자하여 대규모 데이터 유출이 발생하고 있습니다. Maze는 2019년에 이러한 전술을 한꺼번에 처음으로 사용했지만 다른 그룹은 주기적으로 공격을 결합했습니다. 이제 적어도 Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO 및 Sekhmet은 암호화와 동시에 데이터 도난에 관여하고 있습니다.

때때로 공격자는 회사에서 수십 테라바이트에 달하는 데이터를 빼돌리는데, 이는 네트워크 모니터링 도구(설치 및 구성된 경우)로 감지할 수 있습니다. 결국 대부분의 데이터 전송은 FTP, Putty, WinSCP 또는 PowerShell 스크립트를 사용하여 발생합니다. DLP 및 네트워크 모니터링 시스템을 극복하기 위해 데이터를 암호화하거나 비밀번호로 보호된 아카이브로 전송할 수 있습니다. 이는 해당 파일에 대해 나가는 트래픽을 확인해야 하는 보안 팀에게는 새로운 과제입니다.

인포스틸러의 행동을 연구하면 공격자가 모든 것을 수집하는 것이 아니라 재무 보고서, 고객 데이터베이스, 직원 및 고객의 개인 데이터, 계약서, 기록 및 법률 문서에만 관심이 있다는 것을 알 수 있습니다. 이 악성코드는 이론적으로 협박에 사용될 수 있는 모든 정보를 드라이브에서 검사합니다.
이러한 공격이 성공하면 공격자는 일반적으로 조직에서 데이터가 유출되었음을 확인하는 여러 문서를 보여주는 작은 티저를 게시합니다. 그리고 일부 그룹은 몸값 지불 시간이 이미 만료된 경우 웹 사이트에 전체 데이터 세트를 게시합니다. 차단을 방지하고 광범위한 적용 범위를 보장하기 위해 데이터는 TOR 네트워크에도 게시됩니다.

수익을 창출하는 또 다른 방법은 데이터를 판매하는 것입니다. 예를 들어, Sodinokibi는 최근 데이터가 최고 입찰자에게 전달되는 공개 경매를 발표했습니다. 이러한 거래의 시작 가격은 데이터의 품질과 내용에 따라 $50-100K입니다. 예를 들어, 현금 흐름 기록 10개 세트, 비즈니스 기밀 데이터, 운전 면허증 스캔본이 000달러에 판매되고, 100달러에 000개 이상의 재무 문서와 회계 파일 및 고객 데이터로 구성된 50개의 데이터베이스를 구입할 수 있습니다.

누출이 게시되는 사이트는 매우 다양합니다. 이것은 도난당한 모든 것이 간단히 게시되는 간단한 페이지일 수 있지만 섹션과 구매 가능성이 있는 더 복잡한 구조도 있습니다. 그러나 가장 중요한 것은 공격자가 실제 돈을 얻을 가능성을 높이는 동일한 목적을 모두 수행한다는 것입니다. 이 비즈니스 모델이 공격자에게 좋은 결과를 보인다면 유사한 사이트가 훨씬 더 많아질 것이라는 데는 의심의 여지가 없으며, 기업 데이터를 훔치고 수익을 창출하는 기술은 더욱 확대될 것입니다.

현재 데이터 유출을 게시하는 사이트는 다음과 같습니다.

새로운 공격에 대처할 방법

이러한 상황에서 보안 팀의 주요 과제는 최근 랜섬웨어와 관련된 사건이 ​​단순히 데이터 도난을 방해하는 것으로 판명되는 경우가 많다는 것입니다. 공격자는 더 이상 서버 암호화에만 의존하지 않습니다. 반대로, 주요 목표는 랜섬웨어와 싸우는 동안 유출을 조직하는 것입니다.

따라서 좋은 복구 계획이 있더라도 백업 시스템만 사용하는 것만으로는 다계층 위협에 대응할 수 없습니다. 아니요, 물론 백업 복사본 없이는 할 수 없습니다. 왜냐하면 공격자는 확실히 무언가를 암호화하고 몸값을 요구할 것이기 때문입니다. 요점은 이제 랜섬웨어를 사용하는 모든 공격을 트래픽에 대한 포괄적인 분석과 가능한 공격에 대한 조사를 시작하는 이유로 간주해야 한다는 것입니다. 또한 다음과 같은 추가 보안 기능도 고려해야 합니다.

• AI를 사용해 신속하게 공격을 탐지하고 비정상적인 네트워크 활동을 분석합니다.
• 제로데이 랜섬웨어 공격으로부터 시스템을 즉시 복구하여 네트워크 활동을 모니터링할 수 있습니다.
• 기업 네트워크에 대한 기존 악성 코드 및 새로운 유형의 공격 확산을 차단합니다.
• 현재 취약점 및 공격에 대한 소프트웨어 및 시스템(원격 액세스 포함)을 분석합니다.
• 미확인 정보가 회사 경계 외부로 전송되는 것을 방지합니다.

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

랜섬웨어 공격 중 백그라운드 활동을 분석한 적이 있습니까?

• 20,0%예1

• 80,0%4

5명의 사용자가 투표했습니다. 2명의 사용자가 기권했습니다.

출처 : habr.com