Narastanie wycieków danych to palący problem dla działów bezpieczeństwa. A w dobie pracy zdalnej zagrożenie wycieków stało się o wiele wyższe. To dlatego znane grupy cyberprzestępcze zwracają szczególną uwagę na przestarzałe i słabo zabezpieczone protokoły dostępu zdalnego. Co ciekawe, coraz więcej wycieków danych jest obecnie związanych z Ransomware. Jak, dlaczego i w jaki sposób – przeczytaj w dalszej części.
Zacznijmy od tego, że rozwój i rozpowszechnianie programów ransomware to bardzo dochodowy biznes przestępczy. Na przykład, według szacunków amerykańskiego FBI, w ciągu ubiegłego roku zarabiała średnio około 1 miliona dolarów miesięcznie. A przestępcy, którzy korzystali z Ryuk, zarabiali jeszcze więcej – na początku działalności grupy ich dochody sięgały do 3 milionów dolarów miesięcznie. Nic więc dziwnego, że wielu dyrektorów ds. bezpieczeństwa informacji (CISO) wskazuje oprogramowania ransomware jako jedno z pięciu głównych zagrożeń dla biznesu.
Centrum bezpieczeństwa Acronis Cyber Protection Operation Center (CPOC) z siedzibą w Singapurze potwierdza wzrost aktywności cyberprzestępczości w obszarze Ransomware. W drugiej połowie maja na całym świecie zablokowano o 20% więcej programów ransomware niż zazwyczaj. Po niewielkim spadku teraz, w czerwcu, znów obserwujemy wzrost aktywności. A przyczyn tego jest kilka.
Dostać się do komputera ofiary
Technologie ochrony się rozwijają, a przestępcy muszą nieco zmieniać swoją taktykę, aby przedostać się do konkretnego systemu. Celowe ataki Ransomware wciąż rozpowszechniają się za pośrednictwem starannie przemyślanych e-maili phishingowych (nie można tu obejść się bez inżynierii społecznej). Jednak ostatnio twórcy złośliwego oprogramowania zwracają dużą uwagę na osoby pracujące zdalnie. Aby je zaatakować, można znaleźć słabo zabezpieczone usługi dostępu zdalnego, takie jak RDP, lub serwery VPN z lukami bezpieczeństwa.
Tym się właśnie zajmują. W darknecie pojawiły się nawet usługi ransomware-as-a-service, które oferują wszystko, co potrzebne do zaatakowania wybranej organizacji lub osoby.
Hackerzy szukają wszelkich sposobów na penetrację sieci firmowej i rozszerzenie zakresu ataku. Dlatego popularnym kierunkiem stały się próby zainfekowania sieci dostawców usług. Ponieważ usługi chmurowe zyskują na popularności, zainfekowanie popularnej usługi pozwala na zaatakowanie dziesiątek a nawet setek ofiar jednocześnie.
W przypadku włamania do konsol zarządzania systemami bezpieczeństwa lub kopii zapasowych, atakujący mogą wyłączyć ochronę, usunąć kopie zapasowe oraz umożliwić swojemu złośliwemu oprogramowaniu rozprzestrzenienie się w całej organizacji. Dlatego eksperci zalecają, aby starannie chronić wszystkie konta usługowe za pomocą uwierzytelniania wieloskładnikowego. Na przykład wszystkie usługi chmurowe Acronis pozwalają na ustawienie podwójnej ochrony, ponieważ w przypadku skompromitowania hasła, hackerzy mogą zniweczyć wszystkie korzyści wynikające z korzystania z kompleksowego systemu cyberochrony.
Rozszerzenie zakresu ataku
Gdy wymarzony cel zostaje osiągnięty, a złośliwe oprogramowanie już znajduje się wewnątrz sieci firmowej, do dalszego rozprzestrzenienia często stosowane są typowe taktyki. Hackerzy analizują sytuację i starają się pokonać te bariery, które zostały stworzone wewnątrz firmy, aby przeciwdziałać zagrożeniom. Ta część ataku może przebiegać w trybie ręcznym (w końcu, jeśli już dostali się do sieci, to znaczy, że „przynęta jest na haczyku”!). W tym celu używane są już dobrze znane narzędzia, takie jak PowerShell, WMI PsExec, a także nowszy emulator Cobalt Strike i inne urządzenia. Niektóre grupy przestępcze celowo atakują menedżerów haseł, aby wniknąć głębiej w sieć firmową. Złośliwe oprogramowanie, takie jak Ragnar, zostało ostatnio zaobserwowane w całkowicie zamkniętym obrazie maszyny wirtualnej VirtualBox, który pomaga ukryć obecność zewnętrznego oprogramowania na komputerze.
W ten sposób, wchodząc do sieci korporacyjnej, złośliwe oprogramowanie stara się sprawdzić poziom dostępu użytkownika i wykorzystać skradzione hasła. Takie narzędzia jak Mimikatz i Bloodhound & Co. pomagają w łamaniu kont administratorów domen. Dopiero gdy atakujący uzna możliwości rozprzestrzenienia się za wyczerpane, na systemy klienckie ładowany jest bezpośrednio program-wymuszacz.
Ransomware jako przykrywka
Biorąc pod uwagę powagę zagrożenia utraty danych, z każdym rokiem coraz więcej firm wdraża tzw. plan odzyskiwania po awarii. Dzięki temu nie muszą zbytnio martwić się o zaszyfrowane dane, a w przypadku ataku ransomware nie zaczynają zbierać okupu, lecz uruchamiają proces przywracania. Jednak przestępcy też nie śpią. Pod przykrywką ransomware następuje masowe kradzież danych. Pierwszą grupą, która masowo zaczęła stosować tę taktykę, była Maze w 2019 roku, chociaż inne grupy okresowo łączyły ataki. Teraz kradzież danych równolegle z szyfrowaniem zajmują się co najmniej Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO i Sekhmet.
Czasami przestępcom udaje się wykradać z firmy dziesiątki terabajtów danych, które mogłyby zostać wykryte przez systemy monitorowania sieci (gdyby były zainstalowane i skonfigurowane). Rzeczywiście, najczęściej transfer danych odbywa się po prostu przy użyciu FTP, Putty, WinSCP lub skryptów PowerShell. Aby pokonać DLP i systemy monitorowania sieci, dane można zaszyfrować lub wysłać jako archiwum z hasłem, co stanowi nowe wyzwanie dla służb bezpieczeństwa, które muszą sprawdzać wychodzący ruch w poszukiwaniu podobnych plików.
Badanie zachowania infostealerów pokazuje, że przestępcy nie zbierają wszystkiego. Interesują ich przede wszystkim raporty finansowe, bazy klientów, dane osobowe pracowników i klientów, umowy, dokumenty, dokumenty prawne. Złośliwe oprogramowanie skanuje dyski w poszukiwaniu wszelkich informacji, które teoretycznie mogłyby być użyte do szantażu.
Jeśli podobny atak zakończył się sukcesem, zazwyczaj przestępcy publikują mały teaser, pokazując kilka dokumentów w celu potwierdzenia, że dane wyciekły z organizacji. A niektóre grupy publikują cały zestaw danych na swojej stronie, gdy czas na wypłatę okupu już minął. Aby uniknąć blokady i zapewnić szeroki zasięg, dane publikowane są również w sieci TOR.
Innym sposobem na monetyzację są sprzedaż danych. Na przykład, Sodinokibi niedawno ogłosili przeprowadzenie otwartych aukcji, na których dane są przekazywane uczestnikowi, który złożył najwyższą ofertę. Cena wywoławcza takich aukcji wynosi od 50 do 100 tys. dolarów w zależności od jakości i treści danych. Na przykład, zestaw 10 000 rekordów dotyczących przepływów gotówki, poufnych danych biznesowych i zeskanowanych praw jazdy sprzedawano za cenę od 100 000 dolarów. A za 50 000 dolarów można było kupić ponad 20 000 dokumentów finansowych plus trzy bazy danych z plikami księgowymi i danymi klientów.
Strony, na których publikowane są wycieki, mają różną formę. Może to być prosta strona, na której po prostu wystawiono wszystkie skradzione dane, a mogą to być również bardziej złożone struktury z sekcjami i możliwością zakupu. Ale najważniejsze, że wszystkie one służą jednemu celowi — zwiększeniu szans atakujących na uzyskanie prawdziwych pieniędzy. Jeśli ten model biznesowy przyniesie dobre rezultaty dla przestępców, można być pewnym, że liczba takich stron wzrośnie, a techniki kradzieży i monetyzacji danych korporacyjnych zostaną dalej rozwinięte.
Oto aktualne strony, na których publikowane są wycieki danych:
Co robić w przypadku nowych ataków
Głównym wyzwaniem dla służb bezpieczeństwa w tych warunkach jest to, że w ostatnim czasie coraz więcej incydentów związanych z Ransomware okazuje się być po prostu metodą odwrócenia uwagi od kradzieży danych. Przestępcy już nie skupiają się tylko na szyfrowaniu serwerów. Wręcz przeciwnie, ich głównym celem staje się organizacja wycieku, podczas gdy ty walczysz z szyfrującymi.
Zatem korzystanie tylko z jednego systemu kopii zapasowych, nawet z dobrym planem odzyskiwania, okazuje się niewystarczające w obliczu wielowarstwowych zagrożeń. Oczywiście, nie da się obejść się bez kopii zapasowych, ponieważ cyberprzestępcy na pewno spróbują coś zaszyfrować i zażądają okupu. Chodzi raczej o to, że teraz każdy atak z wykorzystaniem Ransomware powinien być traktowany jako powód do wszechstronnej analizy ruchu i rozpoczęcia dochodzenia w sprawie możliwego ataku. Warto również pomyśleć o dodatkowych środkach bezpieczeństwa, które mogłyby:
- Szybko wykrywać ataki i analizować nietypową aktywność w sieci z wykorzystaniem AI
- Natychmiast przywracać systemy w przypadku ataków Ransomware zero-day, abyś mógł śledzić aktywność sieciową
- Blokować rozprzestrzenianie klasycznego złośliwego oprogramowania oraz nowych typów ataków w sieci korporacyjnej
- Analizować oprogramowanie i systemy (w tym zdalny dostęp) pod kątem aktualnych luk i exploitów
- Zapobiegać przesyłaniu nieznanych informacji poza korporacyjny perimeter
Tylko zarejestrowani użytkownicy mogą brać udział w ankiecie. , proszę.
Czy kiedykolwiek analizowałeś tło aktywności podczas ataku Ransomware?
20,0%Tak1
80,0%Nie4
5 użytkowników zagłosowało. 2 powstrzymało się od głosu.
Źródło: habr.com
