{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 nowy spos\u00f3b organizacji wyciek\u00f3w danych","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Narastanie wyciek\u00f3w danych to pal\u0105cy problem dla dzia\u0142\u00f3w bezpiecze\u0144stwa. A w dobie pracy zdalnej zagro\u017cenie wyciek\u00f3w sta\u0142o si\u0119 o wiele wy\u017csze. To dlatego znane grupy cyberprzest\u0119pcze zwracaj\u0105 szczeg\u00f3ln\u0105 uwag\u0119 na przestarza\u0142e i s\u0142abo zabezpieczone protoko\u0142y dost\u0119pu zdalnego. Co ciekawe, coraz wi\u0119cej wyciek\u00f3w danych jest obecnie zwi\u0105zanych z Ransomware. Jak, dlaczego i w jaki spos\u00f3b \u2013 przeczytaj w dalszej cz\u0119\u015bci.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nZacznijmy od tego, \u017ce rozw\u00f3j i rozpowszechnianie program\u00f3w ransomware to bardzo dochodowy biznes przest\u0119pczy. Na przyk\u0142ad, wed\u0142ug szacunk\u00f3w ameryka\u0144skiego FBI, grupa Sodinokibi<\/a><\/noindex> w ci\u0105gu ubieg\u0142ego roku zarabia\u0142a \u015brednio oko\u0142o 1 miliona dolar\u00f3w miesi\u0119cznie. A przest\u0119pcy, kt\u00f3rzy korzystali z Ryuk, zarabiali jeszcze wi\u0119cej \u2013 na pocz\u0105tku dzia\u0142alno\u015bci grupy ich dochody si\u0119ga\u0142y do 3 milion\u00f3w dolar\u00f3w miesi\u0119cznie. Nic wi\u0119c dziwnego, \u017ce wielu dyrektor\u00f3w ds. bezpiecze\u0144stwa informacji (CISO) wskazuje oprogramowania ransomware jako jedno z pi\u0119ciu g\u0142\u00f3wnych zagro\u017ce\u0144 dla biznesu.<\/p>\n

Centrum bezpiecze\u0144stwa Acronis Cyber Protection Operation Center (CPOC) z siedzib\u0105 w Singapurze potwierdza wzrost aktywno\u015bci cyberprzest\u0119pczo\u015bci w obszarze Ransomware. W drugiej po\u0142owie maja na ca\u0142ym \u015bwiecie zablokowano o 20% wi\u0119cej program\u00f3w ransomware ni\u017c zazwyczaj. Po niewielkim spadku teraz, w czerwcu, zn\u00f3w obserwujemy wzrost aktywno\u015bci. A przyczyn tego jest kilka. <\/p>\n

Dosta\u0107 si\u0119 do komputera ofiary
\n<\/h3>\n

\nTechnologie ochrony si\u0119 rozwijaj\u0105, a przest\u0119pcy musz\u0105 nieco zmienia\u0107 swoj\u0105 taktyk\u0119, aby przedosta\u0107 si\u0119 do konkretnego systemu. Celowe ataki Ransomware wci\u0105\u017c rozpowszechniaj\u0105 si\u0119 za po\u015brednictwem starannie przemy\u015blanych e-maili phishingowych (nie mo\u017cna tu obej\u015b\u0107 si\u0119 bez in\u017cynierii spo\u0142ecznej). Jednak ostatnio tw\u00f3rcy z\u0142o\u015bliwego oprogramowania zwracaj\u0105 du\u017c\u0105 uwag\u0119 na osoby pracuj\u0105ce zdalnie. Aby je zaatakowa\u0107, mo\u017cna znale\u017a\u0107 s\u0142abo zabezpieczone us\u0142ugi dost\u0119pu zdalnego, takie jak RDP, lub serwery VPN z lukami bezpiecze\u0144stwa.
\nTym si\u0119 w\u0142a\u015bnie zajmuj\u0105. W darknecie pojawi\u0142y si\u0119 nawet us\u0142ugi ransomware-as-a-service, kt\u00f3re oferuj\u0105 wszystko, co potrzebne do zaatakowania wybranej organizacji lub osoby. <\/p>\n

Hackerzy szukaj\u0105 wszelkich sposob\u00f3w na penetracj\u0119 sieci firmowej i rozszerzenie zakresu ataku. Dlatego popularnym kierunkiem sta\u0142y si\u0119 pr\u00f3by zainfekowania sieci dostawc\u00f3w us\u0142ug. Poniewa\u017c us\u0142ugi chmurowe zyskuj\u0105 na popularno\u015bci, zainfekowanie popularnej us\u0142ugi pozwala na zaatakowanie dziesi\u0105tek a nawet setek ofiar jednocze\u015bnie. <\/p>\n

W przypadku w\u0142amania do konsol zarz\u0105dzania systemami bezpiecze\u0144stwa lub kopii zapasowych, atakuj\u0105cy mog\u0105 wy\u0142\u0105czy\u0107 ochron\u0119, usun\u0105\u0107 kopie zapasowe oraz umo\u017cliwi\u0107 swojemu z\u0142o\u015bliwemu oprogramowaniu rozprzestrzenienie si\u0119 w ca\u0142ej organizacji. Dlatego eksperci zalecaj\u0105, aby starannie chroni\u0107 wszystkie konta us\u0142ugowe za pomoc\u0105 uwierzytelniania wielosk\u0142adnikowego. Na przyk\u0142ad wszystkie us\u0142ugi chmurowe Acronis pozwalaj\u0105 na ustawienie podw\u00f3jnej ochrony, poniewa\u017c w przypadku skompromitowania has\u0142a, hackerzy mog\u0105 zniweczy\u0107 wszystkie korzy\u015bci wynikaj\u0105ce z korzystania z kompleksowego systemu cyberochrony. <\/p>\n

Rozszerzenie zakresu ataku
\n<\/h3>\n

\nGdy wymarzony cel zostaje osi\u0105gni\u0119ty, a z\u0142o\u015bliwe oprogramowanie ju\u017c znajduje si\u0119 wewn\u0105trz sieci firmowej, do dalszego rozprzestrzenienia cz\u0119sto stosowane s\u0105 typowe taktyki. Hackerzy analizuj\u0105 sytuacj\u0119 i staraj\u0105 si\u0119 pokona\u0107 te bariery, kt\u00f3re zosta\u0142y stworzone wewn\u0105trz firmy, aby przeciwdzia\u0142a\u0107 zagro\u017ceniom. Ta cz\u0119\u015b\u0107 ataku mo\u017ce przebiega\u0107 w trybie r\u0119cznym (w ko\u0144cu, je\u015bli ju\u017c dostali si\u0119 do sieci, to znaczy, \u017ce \u201eprzyn\u0119ta jest na haczyku\u201d!). W tym celu u\u017cywane s\u0105 ju\u017c dobrze znane narz\u0119dzia, takie jak PowerShell, WMI PsExec, a tak\u017ce nowszy emulator Cobalt Strike i inne urz\u0105dzenia. Niekt\u00f3re grupy przest\u0119pcze celowo atakuj\u0105 mened\u017cer\u00f3w hase\u0142, aby wnikn\u0105\u0107 g\u0142\u0119biej w sie\u0107 firmow\u0105. Z\u0142o\u015bliwe oprogramowanie, takie jak Ragnar, zosta\u0142o ostatnio zaobserwowane w ca\u0142kowicie zamkni\u0119tym obrazie maszyny wirtualnej VirtualBox, kt\u00f3ry pomaga ukry\u0107 obecno\u015b\u0107 zewn\u0119trznego oprogramowania na komputerze. <\/p>\n

W ten spos\u00f3b, wchodz\u0105c do sieci korporacyjnej, z\u0142o\u015bliwe oprogramowanie stara si\u0119 sprawdzi\u0107 poziom dost\u0119pu u\u017cytkownika i wykorzysta\u0107 skradzione has\u0142a. Takie narz\u0119dzia jak Mimikatz i Bloodhound & Co. pomagaj\u0105 w \u0142amaniu kont administrator\u00f3w domen. Dopiero gdy atakuj\u0105cy uzna mo\u017cliwo\u015bci rozprzestrzenienia si\u0119 za wyczerpane, na systemy klienckie \u0142adowany jest bezpo\u015brednio program-wymuszacz. <\/p>\n

Ransomware jako przykrywka
\n<\/h3>\n

\nBior\u0105c pod uwag\u0119 powag\u0119 zagro\u017cenia utraty danych, z ka\u017cdym rokiem coraz wi\u0119cej firm wdra\u017ca tzw. plan odzyskiwania po awarii. Dzi\u0119ki temu nie musz\u0105 zbytnio martwi\u0107 si\u0119 o zaszyfrowane dane, a w przypadku ataku ransomware nie zaczynaj\u0105 zbiera\u0107 okupu, lecz uruchamiaj\u0105 proces przywracania. Jednak przest\u0119pcy te\u017c nie \u015bpi\u0105. Pod przykrywk\u0105 ransomware nast\u0119puje masowe kradzie\u017c danych. Pierwsz\u0105 grup\u0105, kt\u00f3ra masowo zacz\u0119\u0142a stosowa\u0107 t\u0119 taktyk\u0119, by\u0142a Maze w 2019 roku, chocia\u017c inne grupy okresowo \u0142\u0105czy\u0142y ataki. Teraz kradzie\u017c danych r\u00f3wnolegle z szyfrowaniem zajmuj\u0105 si\u0119 co najmniej Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO i Sekhmet.<\/p>\n

Czasami przest\u0119pcom udaje si\u0119 wykrada\u0107 z firmy dziesi\u0105tki terabajt\u00f3w danych, kt\u00f3re mog\u0142yby zosta\u0107 wykryte przez systemy monitorowania sieci (gdyby by\u0142y zainstalowane i skonfigurowane). Rzeczywi\u015bcie, najcz\u0119\u015bciej transfer danych odbywa si\u0119 po prostu przy u\u017cyciu FTP, Putty, WinSCP lub skrypt\u00f3w PowerShell. Aby pokona\u0107 DLP i systemy monitorowania sieci, dane mo\u017cna zaszyfrowa\u0107 lub wys\u0142a\u0107 jako archiwum z has\u0142em, co stanowi nowe wyzwanie dla s\u0142u\u017cb bezpiecze\u0144stwa, kt\u00f3re musz\u0105 sprawdza\u0107 wychodz\u0105cy ruch w poszukiwaniu podobnych plik\u00f3w.<\/p>\n

Badanie zachowania infostealer\u00f3w pokazuje, \u017ce przest\u0119pcy nie zbieraj\u0105 wszystkiego. Interesuj\u0105 ich przede wszystkim raporty finansowe, bazy klient\u00f3w, dane osobowe pracownik\u00f3w i klient\u00f3w, umowy, dokumenty, dokumenty prawne. Z\u0142o\u015bliwe oprogramowanie skanuje dyski w poszukiwaniu wszelkich informacji, kt\u00f3re teoretycznie mog\u0142yby by\u0107 u\u017cyte do szanta\u017cu.
\nJe\u015bli podobny atak zako\u0144czy\u0142 si\u0119 sukcesem, zazwyczaj przest\u0119pcy publikuj\u0105 ma\u0142y teaser, pokazuj\u0105c kilka dokument\u00f3w w celu potwierdzenia, \u017ce dane wyciek\u0142y z organizacji. A niekt\u00f3re grupy publikuj\u0105 ca\u0142y zestaw danych na swojej stronie, gdy czas na wyp\u0142at\u0119 okupu ju\u017c min\u0105\u0142. Aby unikn\u0105\u0107 blokady i zapewni\u0107 szeroki zasi\u0119g, dane publikowane s\u0105 r\u00f3wnie\u017c w sieci TOR.<\/p>\n

Innym sposobem na monetyzacj\u0119 s\u0105 sprzeda\u017c danych. Na przyk\u0142ad, Sodinokibi niedawno og\u0142osili przeprowadzenie otwartych aukcji, na kt\u00f3rych dane s\u0105 przekazywane uczestnikowi, kt\u00f3ry z\u0142o\u017cy\u0142 najwy\u017csz\u0105 ofert\u0119. Cena wywo\u0142awcza takich aukcji wynosi od 50 do 100 tys. dolar\u00f3w w zale\u017cno\u015bci od jako\u015bci i tre\u015bci danych. Na przyk\u0142ad, zestaw 10 000 rekord\u00f3w dotycz\u0105cych przep\u0142yw\u00f3w got\u00f3wki, poufnych danych biznesowych i zeskanowanych praw jazdy sprzedawano za cen\u0119 od 100 000 dolar\u00f3w. A za 50 000 dolar\u00f3w mo\u017cna by\u0142o kupi\u0107 ponad 20 000 dokument\u00f3w finansowych plus trzy bazy danych z plikami ksi\u0119gowymi i danymi klient\u00f3w. <\/p>\n

Strony, na kt\u00f3rych publikowane s\u0105 wycieki, maj\u0105 r\u00f3\u017cn\u0105 form\u0119. Mo\u017ce to by\u0107 prosta strona, na kt\u00f3rej po prostu wystawiono wszystkie skradzione dane, a mog\u0105 to by\u0107 r\u00f3wnie\u017c bardziej z\u0142o\u017cone struktury z sekcjami i mo\u017cliwo\u015bci\u0105 zakupu. Ale najwa\u017cniejsze, \u017ce wszystkie one s\u0142u\u017c\u0105 jednemu celowi \u2014 zwi\u0119kszeniu szans atakuj\u0105cych na uzyskanie prawdziwych pieni\u0119dzy. Je\u015bli ten model biznesowy przyniesie dobre rezultaty dla przest\u0119pc\u00f3w, mo\u017cna by\u0107 pewnym, \u017ce liczba takich stron wzro\u015bnie, a techniki kradzie\u017cy i monetyzacji danych korporacyjnych zostan\u0105 dalej rozwini\u0119te.<\/p>\n

Oto aktualne strony, na kt\u00f3rych publikowane s\u0105 wycieki danych:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Co robi\u0107 w przypadku nowych atak\u00f3w
\n<\/h3>\n

\nG\u0142\u00f3wnym wyzwaniem dla s\u0142u\u017cb bezpiecze\u0144stwa w tych warunkach jest to, \u017ce w ostatnim czasie coraz wi\u0119cej incydent\u00f3w zwi\u0105zanych z Ransomware okazuje si\u0119 by\u0107 po prostu metod\u0105 odwr\u00f3cenia uwagi od kradzie\u017cy danych. Przest\u0119pcy ju\u017c nie skupiaj\u0105 si\u0119 tylko na szyfrowaniu serwer\u00f3w. Wr\u0119cz przeciwnie, ich g\u0142\u00f3wnym celem staje si\u0119 organizacja wycieku, podczas gdy ty walczysz z szyfruj\u0105cymi. <\/p>\n

Zatem korzystanie tylko z jednego systemu kopii zapasowych, nawet z dobrym planem odzyskiwania, okazuje si\u0119 niewystarczaj\u0105ce w obliczu wielowarstwowych zagro\u017ce\u0144. Oczywi\u015bcie, nie da si\u0119 obej\u015b\u0107 si\u0119 bez kopii zapasowych, poniewa\u017c cyberprzest\u0119pcy na pewno spr\u00f3buj\u0105 co\u015b zaszyfrowa\u0107 i za\u017c\u0105daj\u0105 okupu. Chodzi raczej o to, \u017ce teraz ka\u017cdy atak z wykorzystaniem Ransomware powinien by\u0107 traktowany jako pow\u00f3d do wszechstronnej analizy ruchu i rozpocz\u0119cia dochodzenia w sprawie mo\u017cliwego ataku. Warto r\u00f3wnie\u017c pomy\u015ble\u0107 o dodatkowych \u015brodkach bezpiecze\u0144stwa, kt\u00f3re mog\u0142yby: <\/p>\n