डेटा लीक आयोजित करण्याचा रॅन्समवेअर हा एक नवीन मार्ग आहे

डेटा लीक हा सुरक्षा सेवांसाठी एक त्रासदायक मुद्दा आहे. आणि आता बहुतेक लोक घरून काम करत असल्याने, गळतीचा धोका जास्त आहे. म्हणूनच सुप्रसिद्ध सायबर गुन्हेगारी गट कालबाह्य आणि अपुरा सुरक्षित रिमोट ऍक्सेस प्रोटोकॉलकडे अधिक लक्ष देत आहेत. आणि, विशेष म्हणजे, आज अधिकाधिक डेटा लीक रॅन्समवेअरशी संबंधित आहेत. कसे, का आणि कोणत्या प्रकारे - कट अंतर्गत वाचा.

रॅन्समवेअरचा विकास आणि वितरण हा एक अतिशय फायदेशीर गुन्हेगारी व्यवसाय आहे या वस्तुस्थितीपासून सुरुवात करूया. उदाहरणार्थ, अमेरिकन एफबीआयच्या मते, सोडिनोकिबी गट गेल्या वर्षभरात, तिने दरमहा अंदाजे $1 दशलक्ष कमावले. आणि ज्या हल्लेखोरांनी Ryuk वापरला त्यांना आणखी काही मिळाले - गटाच्या क्रियाकलापांच्या सुरूवातीस, त्यांचे उत्पन्न दरमहा $ 3 दशलक्ष इतके होते. त्यामुळे अनेक मुख्य माहिती सुरक्षा अधिकारी (सीआयएसओ) रॅन्समवेअरला त्यांच्या शीर्ष पाच व्यावसायिक जोखमींपैकी एक म्हणून सूचीबद्ध करतात यात आश्चर्य नाही.

सिंगापूरमध्ये स्थित Acronis Cyber ​​Protection Operation Center (CPOC), रॅन्समवेअर क्षेत्रात सायबर गुन्ह्यांमध्ये वाढ झाल्याची पुष्टी करते. मे महिन्याच्या उत्तरार्धात, नेहमीपेक्षा 20% अधिक रॅन्समवेअर जगभरात ब्लॉक केले गेले. थोड्याशा घसरणीनंतर, आता जूनमध्ये आम्ही पुन्हा क्रियाकलापांमध्ये वाढ पाहत आहोत. आणि याची अनेक कारणे आहेत.

पीडितेच्या संगणकावर जा

सुरक्षा तंत्रज्ञान विकसित होत आहेत आणि विशिष्ट प्रणालीमध्ये जाण्यासाठी हल्लेखोरांना त्यांचे डावपेच थोडेसे बदलावे लागतात. लक्ष्यित रॅन्समवेअर हल्ले सु-डिझाइन केलेल्या फिशिंग ईमेलद्वारे (सामाजिक अभियांत्रिकीसह) पसरत राहतात. तथापि, अलीकडे, मालवेअर विकासक रिमोट कामगारांकडे बरेच लक्ष देत आहेत. त्यांच्यावर हल्ला करण्यासाठी, तुम्ही खराब संरक्षित रिमोट ऍक्सेस सेवा शोधू शकता, जसे की RDP, किंवा VPN सर्व्हर असुरक्षिततेसह.
हेच ते करतात. डार्कनेटवर रॅन्समवेअर-ए-ए-सेवा देखील आहेत जी तुम्हाला निवडलेल्या संस्थेवर किंवा व्यक्तीवर हल्ला करण्यासाठी आवश्यक असलेले सर्वकाही प्रदान करतात.

हल्लेखोर कॉर्पोरेट नेटवर्कमध्ये प्रवेश करण्याचा आणि त्यांचा हल्ला स्पेक्ट्रम विस्तृत करण्याचा कोणताही मार्ग शोधत आहेत. अशा प्रकारे, सेवा प्रदात्यांचे नेटवर्क संक्रमित करण्याचा प्रयत्न हा एक लोकप्रिय ट्रेंड बनला आहे. क्लाउड सेवा आज नुकतीच लोकप्रिय होत असल्याने, लोकप्रिय सेवेच्या संसर्गामुळे एका वेळी डझनभर किंवा शेकडो बळींवर हल्ला करणे शक्य होते.

वेब-आधारित सुरक्षा व्यवस्थापन किंवा बॅकअप कन्सोलशी तडजोड केली असल्यास, आक्रमणकर्ते संरक्षण अक्षम करू शकतात, बॅकअप हटवू शकतात आणि त्यांचे मालवेअर संपूर्ण संस्थेमध्ये पसरू शकतात. तसे, तज्ञ बहु-घटक प्रमाणीकरण वापरून सर्व सेवा खात्यांचे काळजीपूर्वक संरक्षण करण्याची शिफारस करतात. उदाहरणार्थ, सर्व Acronis क्लाउड सेवा तुम्हाला दुहेरी संरक्षण स्थापित करण्याची परवानगी देतात, कारण तुमच्या पासवर्डशी तडजोड केल्यास, आक्रमणकर्ते व्यापक सायबर संरक्षण प्रणाली वापरण्याचे सर्व फायदे नाकारू शकतात.

हल्ला स्पेक्ट्रम विस्तारित

जेव्हा आवडलेले उद्दिष्ट साध्य केले जाते आणि मालवेअर आधीच कॉर्पोरेट नेटवर्कमध्ये असते, तेव्हा पुढील प्रसारासाठी सामान्यतः मानक युक्त्या वापरल्या जातात. हल्लेखोर परिस्थितीचा अभ्यास करतात आणि धोक्यांचा सामना करण्यासाठी कंपनीमध्ये निर्माण झालेल्या अडथळ्यांवर मात करण्याचा प्रयत्न करतात. हल्ल्याचा हा भाग व्यक्तिचलितपणे होऊ शकतो (अगदी, जर ते आधीच जाळ्यात पडले असतील तर आमिष हुकवर आहे!). यासाठी, PowerShell, WMI PsExec, तसेच नवीन कोबाल्ट स्ट्राइक एमुलेटर आणि इतर उपयुक्तता यांसारखी सुप्रसिद्ध साधने वापरली जातात. कॉर्पोरेट नेटवर्कमध्ये खोलवर प्रवेश करण्यासाठी काही गुन्हेगारी गट विशेषतः पासवर्ड व्यवस्थापकांना लक्ष्य करतात. आणि Ragnar सारखे मालवेअर नुकतेच VirtualBox व्हर्च्युअल मशीनच्या पूर्णपणे बंद केलेल्या प्रतिमेमध्ये दिसले, जे मशीनवरील परदेशी सॉफ्टवेअरची उपस्थिती लपविण्यास मदत करते.

अशाप्रकारे, एकदा मालवेअर कॉर्पोरेट नेटवर्कमध्ये प्रवेश केल्यानंतर, ते वापरकर्त्याची प्रवेश पातळी तपासण्याचा आणि चोरलेले पासवर्ड वापरण्याचा प्रयत्न करते. Mimikatz आणि Bloodhound & Co. सारख्या उपयुक्तता. डोमेन प्रशासक खाती हॅक करण्यात मदत करा. आणि जेव्हा आक्रमणकर्त्याने वितरण पर्याय संपले असल्याचे समजते तेव्हाच, रॅन्समवेअर थेट क्लायंट सिस्टमवर डाउनलोड केले जाते.

एक कव्हर म्हणून Ransomware

डेटा गमावण्याच्या धोक्याचे गांभीर्य लक्षात घेता, दरवर्षी अधिकाधिक कंपन्या तथाकथित "आपत्ती पुनर्प्राप्ती योजना" लागू करतात. याबद्दल धन्यवाद, त्यांना एनक्रिप्टेड डेटाबद्दल जास्त काळजी करण्याची गरज नाही आणि रॅन्समवेअर हल्ला झाल्यास, ते खंडणी गोळा करणे सुरू करत नाहीत, परंतु पुनर्प्राप्तीची प्रक्रिया सुरू करतात. पण हल्लेखोर झोपत नाहीत. रॅन्समवेअरच्या नावाखाली मोठ्या प्रमाणावर डेटा चोरी होते. इतर गटांनी वेळोवेळी एकत्रित हल्ले केले असले तरी 2019 मध्ये अशा प्रकारची रणनीती वापरणारी Maze ही पहिली व्यक्ती होती. आता, किमान Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO आणि Sekhmet एन्क्रिप्शनच्या समांतर डेटा चोरीमध्ये गुंतलेले आहेत.

काहीवेळा हल्लेखोर कंपनीकडून दहापट टेराबाइट्स डेटा काढून टाकण्याचे व्यवस्थापन करतात, जे नेटवर्क मॉनिटरिंग टूल्सद्वारे शोधले गेले असते (जर ते स्थापित आणि कॉन्फिगर केले असते). शेवटी, बहुतेकदा डेटा ट्रान्सफर फक्त FTP, Putty, WinSCP किंवा PowerShell स्क्रिप्ट वापरून होतो. DLP आणि नेटवर्क मॉनिटरिंग सिस्टीमवर मात करण्यासाठी, डेटा एन्क्रिप्ट केला जाऊ शकतो किंवा पासवर्ड-संरक्षित संग्रहण म्हणून पाठवला जाऊ शकतो, सुरक्षा संघांसाठी एक नवीन आव्हान आहे ज्यांना अशा फायलींसाठी आउटगोइंग ट्रॅफिक तपासण्याची आवश्यकता आहे.

इन्फोस्टीलर्सच्या वर्तनाचा अभ्यास केल्याने असे दिसून येते की आक्रमणकर्ते सर्वकाही गोळा करत नाहीत - त्यांना फक्त आर्थिक अहवाल, क्लायंट डेटाबेस, कर्मचारी आणि क्लायंटचा वैयक्तिक डेटा, करार, रेकॉर्ड आणि कायदेशीर कागदपत्रांमध्ये रस असतो. मालवेअर कोणत्याही माहितीसाठी ड्राइव्ह स्कॅन करते जी सैद्धांतिकरित्या ब्लॅकमेलसाठी वापरली जाऊ शकते.
असा हल्ला यशस्वी झाल्यास, हल्लेखोर सहसा एक छोटा टीझर प्रकाशित करतात, ज्यामध्ये संस्थेकडून डेटा लीक झाल्याची पुष्टी करणारे अनेक दस्तऐवज दाखवतात. आणि खंडणी भरण्याची वेळ आधीच संपली असल्यास काही गट त्यांच्या वेबसाइटवर संपूर्ण डेटा सेट प्रकाशित करतात. अवरोधित करणे टाळण्यासाठी आणि विस्तृत कव्हरेज सुनिश्चित करण्यासाठी, डेटा TOR नेटवर्कवर देखील प्रकाशित केला जातो.

कमाई करण्याचा दुसरा मार्ग म्हणजे डेटा विकणे. उदाहरणार्थ, सोडिनोकिबीने अलीकडेच खुल्या लिलावाची घोषणा केली ज्यामध्ये डेटा सर्वाधिक बोली लावणाऱ्याकडे जातो. डेटाच्या गुणवत्तेवर आणि सामग्रीवर अवलंबून अशा व्यापारांसाठी प्रारंभिक किंमत $50-100K आहे. उदाहरणार्थ, 10 रोख प्रवाह रेकॉर्ड, गोपनीय व्यवसाय डेटा आणि स्कॅन केलेले ड्रायव्हर्स लायसन्स यांचा संच $000 पेक्षा कमी किमतीत विकला गेला. आणि $100 मध्ये कोणीही 000 पेक्षा जास्त आर्थिक दस्तऐवज तसेच अकाउंटिंग फाइल्स आणि ग्राहक डेटाचे तीन डेटाबेस खरेदी करू शकतो.

ज्या साइट्स लीक प्रकाशित केल्या जातात त्या मोठ्या प्रमाणात बदलतात. हे एक साधे पृष्ठ असू शकते ज्यावर चोरी केलेली प्रत्येक गोष्ट सहजपणे पोस्ट केली जाते, परंतु विभाग आणि खरेदीची शक्यता असलेल्या अधिक जटिल संरचना देखील आहेत. परंतु मुख्य गोष्ट अशी आहे की ते सर्व समान उद्देश पूर्ण करतात - हल्लेखोरांना वास्तविक पैसे मिळण्याची शक्यता वाढवण्यासाठी. जर हे व्यवसाय मॉडेल हल्लेखोरांसाठी चांगले परिणाम दर्शविते, तर यात शंका नाही की आणखी समान साइट्स असतील आणि कॉर्पोरेट डेटा चोरणे आणि कमाई करण्याचे तंत्र आणखी विस्तारले जातील.

डेटा लीक प्रकाशित करणार्‍या वर्तमान साइट यासारख्या दिसतात:

नवीन हल्ल्यांचे काय करायचे

या वातावरणातील सुरक्षा संघांसाठी मुख्य आव्हान हे आहे की अलीकडे रॅन्समवेअरशी संबंधित अधिकाधिक घटना केवळ डेटा चोरीपासून विचलित झाल्या आहेत. हल्लेखोर यापुढे केवळ सर्व्हर एन्क्रिप्शनवर अवलंबून नाहीत. याउलट, तुम्ही रॅन्समवेअरशी लढत असताना लीक आयोजित करणे हे मुख्य ध्येय आहे.

अशा प्रकारे, एकट्या बॅकअप प्रणालीचा वापर करणे, अगदी चांगल्या पुनर्प्राप्ती योजनेसह, बहुस्तरीय धोक्यांचा सामना करण्यासाठी पुरेसे नाही. नाही, नक्कीच, आपण बॅकअप प्रतींशिवाय देखील करू शकत नाही, कारण आक्रमणकर्ते निश्चितपणे काहीतरी कूटबद्ध करण्याचा प्रयत्न करतील आणि खंडणी मागतील. मुद्दा असा आहे की आता रॅन्समवेअर वापरून होणारा प्रत्येक हल्ला ट्रॅफिकचे सर्वसमावेशक विश्लेषण आणि संभाव्य हल्ल्याचा तपास सुरू करण्याचे कारण मानले पाहिजे. आपण अतिरिक्त सुरक्षा वैशिष्ट्यांचा देखील विचार केला पाहिजे जे हे करू शकतात:

• झटपट हल्ले शोधा आणि AI वापरून असामान्य नेटवर्क क्रियाकलापांचे विश्लेषण करा
• शून्य-दिवसाच्या रॅन्समवेअर हल्ल्यांमधून सिस्टम त्वरित पुनर्प्राप्त करा जेणेकरून आपण नेटवर्क क्रियाकलापांचे निरीक्षण करू शकता
• कॉर्पोरेट नेटवर्कवर क्लासिक मालवेअर आणि नवीन प्रकारच्या हल्ल्यांचा प्रसार अवरोधित करा
• सध्याच्या भेद्यता आणि शोषणांसाठी सॉफ्टवेअर आणि सिस्टमचे (रिमोट ऍक्सेससह) विश्लेषण करा
• कॉर्पोरेट परिमितीच्या पलीकडे अज्ञात माहितीचे हस्तांतरण प्रतिबंधित करा

केवळ नोंदणीकृत वापरकर्तेच सर्वेक्षणात भाग घेऊ शकतात. साइन इन करा, आपले स्वागत आहे.

रॅन्समवेअर हल्ल्यादरम्यान तुम्ही कधीही पार्श्वभूमी क्रियाकलापांचे विश्लेषण केले आहे?

• 20,0%होय २०७

• 80,0%क्रमांक २४४

5 वापरकर्त्यांनी मतदान केले. 2 वापरकर्ते दूर राहिले.

स्त्रोत: www.habr.com