{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 o nou\u0103 modalitate de a organiza scurgeri de date","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Scurgerile de date reprezint\u0103 o problem\u0103 serioas\u0103 pentru serviciile de securitate. Acum, c\u00e2nd majoritatea lucreaz\u0103 de acas\u0103, riscul scurgerilor devine mult mai mare. Din acest motiv, grupurile criminale cibernetice cunoscute acord\u0103 o aten\u021bie sporit\u0103 protocoalelor de acces la distan\u021b\u0103 \u00eenvechite \u0219i nesigure. \u0218i, ceea ce este interesant, tot mai multe scurgeri de date sunt ast\u0103zi legate de ransomware. Cum, de ce \u0219i \u00een ce mod \u2014 citi\u021bi mai departe.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nS\u0103 \u00eencepem cu faptul c\u0103 dezvoltarea \u0219i r\u0103sp\u00e2ndirea programelor de tip ransomware este ea \u00eens\u0103\u0219i o afacere criminal\u0103 foarte profitabil\u0103. De exemplu, conform estim\u0103rilor FBI-ului american, grupul Sodinokibi<\/a><\/noindex> a c\u00e2\u0219tigat \u00een jur de 1 milion de dolari pe lun\u0103 \u00een ultimul an. Iar infractorii care au folosit Ryuk au ob\u021binut chiar mai mult \u2014 la \u00eenceputul activit\u0103\u021bii grupului, veniturile lor ajungeau p\u00e2n\u0103 la 3 milioane de dolari pe lun\u0103. A\u0219a c\u0103 nu este surprinz\u0103tor c\u0103 mul\u021bi directori de securitate informa\u021bional\u0103 (CISO) consider\u0103 programele de tip ransomware unul dintre cele cinci principale riscuri pentru afaceri.<\/p>\n

Centrul de Securitate Acronis Cyber Protection Operation Center (CPOC), situat \u00een Singapore, confirm\u0103 intensificarea criminalit\u0103\u021bii cibernetice \u00een domeniul ransomware. \u00cen a doua jum\u0103tate a lunii mai, la nivel mondial, au fost blocate cu 20% mai multe programe de tip ransomware dec\u00e2t de obicei. Dup\u0103 o mic\u0103 sc\u0103dere, acum, \u00een iunie, observ\u0103m din nou o cre\u0219tere a activit\u0103\u021bii. \u0218i pentru aceasta exist\u0103 mai multe motive. <\/p>\n

Accesul la computerul victimei
\n<\/h3>\n

\nTehnologiile de protec\u021bie evolueaz\u0103, iar infractorii sunt nevoi\u021bi s\u0103 \u00ee\u0219i schimbe tacticile pentru a accesa un anumit sistem. Atacurile \u021bintite de tip ransomware continu\u0103 s\u0103 se r\u0103sp\u00e2ndeasc\u0103 prin intermediul unor e-mailuri de phishing bine concepute (aici intervine \u0219i ingineria social\u0103). Cu toate acestea, \u00een ultima vreme, dezvoltatorii de malware se concentreaz\u0103 \u00een mod special pe angaja\u021bii care lucreaz\u0103 de la distan\u021b\u0103. Pentru a-i ataca, se pot g\u0103si servicii de acces la distan\u021b\u0103 slab protejate, de exemplu, RDP sau servere VPN cu vulnerabilit\u0103\u021bi.
\nAsta fac ei. \u00cen dark web au ap\u0103rut chiar servicii de ransomware-as-a-service, care ofer\u0103 tot ce este necesar pentru a ataca o organiza\u021bie sau o persoan\u0103 aleas\u0103. <\/p>\n

Infractorii caut\u0103 orice modalitate de a p\u0103trunde \u00een re\u021beaua corporativ\u0103 \u0219i de a extinde spectrul atacului. Astfel, una dintre direc\u021biile populare a devenit \u00eencerc\u0103rile de a infecta re\u021belele furnizorilor de servicii. Av\u00e2nd \u00een vedere c\u0103 serviciile cloud c\u00e2\u0219tig\u0103 popularitate, infectarea unui serviciu popular permite atacarea simultan\u0103 a zeci sau chiar sute de victime. <\/p>\n

\u00cen cazul \u00een care consolele web de gestionare a sistemelor de securitate sau de backup sunt compromise, agresorii pot dezactiva protec\u021bia, \u0219terge copiile de rezerv\u0103 \u0219i asigura desf\u0103\u0219urarea malware-ului lor \u00een \u00eentreaga organiza\u021bie. Din acest motiv, exper\u021bii recomand\u0103 s\u0103 se protejeze cu aten\u021bie toate conturile de serviciu prin autentificare multifactorial\u0103. De exemplu, toate serviciile cloud Acronis permit implementarea unei dublu protec\u021bii, deoarece \u00een cazul compromiterii parolei, infractorii pot anula toate avantajele utiliz\u0103rii unui sistem complex de ap\u0103rare cibernetic\u0103. <\/p>\n

Extinderea spectrului atacului
\n<\/h3>\n

\nC\u00e2nd obiectivul dorit este atins \u0219i malware-ul se afl\u0103 deja \u00een re\u021beaua corporativ\u0103, pentru a continua r\u0103sp\u00e2ndirea, se folosesc, de obicei, tactici standardizate. Infractorii studiaz\u0103 situa\u021bia \u0219i caut\u0103 s\u0103 dep\u0103\u0219easc\u0103 barierele create \u00een interiorul companiei pentru a contracara amenin\u021b\u0103rile. Aceast\u0103 parte a atacului poate avea loc \u00een mod manual (deoarece, dac\u0103 au intrat deja \u00een re\u021bea, \u00eenseamn\u0103 c\u0103 \u201dmomeala este prins\u0103 pe c\u00e2rlig!\u201d). Pentru acest lucru se utilizeaz\u0103 instrumente deja bine cunoscute, cum ar fi PowerShell, WMI PsExec, precum \u0219i emulatorul mai nou Cobalt Strike \u0219i alte utilitare. Unele grupuri criminale atac\u0103 \u021bintit managerii de parole pentru a p\u0103trunde mai ad\u00e2nc \u00een re\u021beaua corporativ\u0103. Malware-ul, cum ar fi Ragnar, a fost recent observat \u00een imaginea complet \u00eenchis\u0103 a ma\u0219inii virtuale VirtualBox, care ajut\u0103 la ascunderea prezen\u021bei software-ului str\u0103in pe ma\u0219in\u0103. <\/p>\n

Astfel, ajung\u00e2nd \u00een re\u021beaua corporativ\u0103, malware-ul \u00eencearc\u0103 s\u0103 verifice nivelul de acces al utilizatorului \u0219i s\u0103 aplice parolele furate. Utilitare precum Mimikatz \u0219i Bloodhound & Co. ajut\u0103 la spargerea conturilor administratorilor de domenii. Abia atunci c\u00e2nd atacatorul consider\u0103 c\u0103 posibilit\u0103\u021bile de r\u0103sp\u00e2ndire au fost epuizate, programul de tip ransomware este \u00eenc\u0103rcat direct pe sistemele clien\u021bilor. <\/p>\n

Ransomware ca camuflaj
\n<\/h3>\n

\nAv\u00e2nd \u00een vedere gravitatea amenin\u021b\u0103rii de pierdere a datelor, din ce \u00een ce mai multe companii implementeaz\u0103 anual a\u0219a-numitul \u201eplan de recuperare \u00een caz de catastrof\u0103\u201d. Datorit\u0103 acestuia, ele nu \u00ee\u0219i fac prea multe griji cu privire la datele criptate \u0219i, \u00een cazul unei atacuri ransomware, nu \u00eencep s\u0103 caute un r\u0103scump\u0103rare, ci ini\u021biaz\u0103 procesul de recuperare. \u00cens\u0103 infractorii nu dorm. Sub camuflajul ransomware-ului are loc un jaf masiv de date. Primii care au \u00eenceput s\u0103 utilizeze pe scar\u0103 larg\u0103 aceast\u0103 tactic\u0103 au fost Maze, \u00eenc\u0103 din 2019, de\u0219i \u0219i alte grupuri au combinat periodic atacurile. Acum, furturile de date paralele cu criptarea sunt practicate de cel pu\u021bin Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO \u0219i Sekhmet.<\/p>\n

Uneori, infractorii reu\u0219esc s\u0103 extrag\u0103 din companie zeci de terabai\u021bi de date, care ar fi putut fi detectate de instrumentele de monitorizare a re\u021belei (dac\u0103 ar fi fost instalate \u0219i configurate). De cele mai multe ori, transferul datelor se face pur \u0219i simplu prin FTP, Putty, WinSCP sau scripturi PowerShell. Pentru a ocoli DLP \u0219i sistemele de monitorizare a re\u021belei, datele pot fi criptate sau trimise ca arhiv\u0103 cu parol\u0103, ceea ce reprezint\u0103 o nou\u0103 provocare pentru serviciile de securitate, care trebuie s\u0103 verifice traficul de ie\u0219ire pentru detectarea unor astfel de fi\u0219iere.<\/p>\n

Studiul comportamentului infostealer-ilor arat\u0103 c\u0103 atacatorii nu colecteaz\u0103 orice informa\u021bie \u2014 sunt interesa\u021bi \u00een mod special de rapoartele financiare, bazele de date ale clien\u021bilor, datele personale ale angaja\u021bilor \u0219i clien\u021bilor, contractele, \u00eenregistr\u0103rile, documentele legale. Malware-ul scaneaz\u0103 hard disk-urile \u00een c\u0103utarea oric\u0103rei informa\u021bii care teoretic ar putea fi utilizat\u0103 pentru \u0219antaj.
\nDac\u0103 o astfel de atac a fost reu\u0219it, de obicei, atacatorii public\u0103 un mic teaser, ar\u0103t\u00e2nd c\u00e2teva documente ca dovad\u0103 c\u0103 datele au fost compromise din organiza\u021bie. Unele grupuri public\u0103 \u00eentreaga compunere a datelor pe site-ul lor, dac\u0103 termenul de plat\u0103 al recompensei a expirat. Pentru a evita blocarea \u0219i a asigura o acoperire larg\u0103, datele sunt publicate inclusiv \u00een re\u021beaua TOR.<\/p>\n

Un alt mod de monetizare este v\u00e2nzarea datelor. De exemplu, Sodinokibi a anun\u021bat recent c\u0103 organizeaz\u0103 licita\u021bii publice, unde datele sunt ob\u021binute de participantul care a oferit cea mai mare sum\u0103. Pre\u021bul de \u00eenceput pentru aceste licita\u021bii variaz\u0103 \u00eentre 50.000 \u0219i 100.000 de dolari, \u00een func\u021bie de calitatea \u0219i con\u021binutul datelor. De exemplu, un set de 10.000 de \u00eenregistr\u0103ri despre fluxurile de numerar, date confiden\u021biale de afaceri \u0219i permise de conducere scanate au fost v\u00e2ndute cu pre\u021buri de la 100.000 de dolari. Iar pentru 50.000 de dolari se putea cump\u0103ra peste 20.000 de documente financiare, plus trei baze de date cu fi\u0219iere contabile \u0219i date despre clien\u021bi. <\/p>\n

Site-urile care public\u0103 scurgeri de date sunt foarte diverse. Acestea pot fi o pagin\u0103 simpl\u0103, pe care pur \u0219i simplu au fost expuse toate datele furate, sau structuri mai complexe cu sec\u021biuni \u0219i op\u021biuni de achizi\u021bie. Dar principalul este c\u0103 toate acestea servesc unui singur scop \u2014 cre\u0219terea \u0219anselor atacatorilor de a ob\u021bine bani reali. Dac\u0103 acest model de afaceri va avea rezultate bune pentru atacatori, nu exist\u0103 \u00eendoial\u0103 c\u0103 vor ap\u0103rea \u0219i mai multe astfel de site-uri, iar tehnicile de furt \u0219i monetizare a datelor corporative vor fi extinse suplimentar.<\/p>\n

Iat\u0103 cum arat\u0103 site-urile actuale pe care sunt publicate scurgerile de date:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Ce este de f\u0103cut cu noile atacuri
\n<\/h3>\n

\nProvocarea principal\u0103 pentru serviciile de securitate \u00een aceste condi\u021bii este c\u0103, \u00een ultima vreme, tot mai multe incidente legate de ransomware se dovedesc a fi pur \u0219i simplu o metod\u0103 de distragere a aten\u021biei de la furtul de date. Atacatorii nu mai mizeaz\u0103 doar pe criptarea serverelor. Dimpotriv\u0103, scopul principal devine organizarea unei scurgeri, \u00een timp ce te lup\u021bi cu ransomware. <\/p>\n

Astfel, utilizarea unui sistem de backup unic, chiar \u0219i cu un plan bun de recuperare, se dovede\u0219te a fi insuficient\u0103 pentru a face fa\u021b\u0103 amenin\u021b\u0103rilor complexe. Desigur, f\u0103r\u0103 backup-uri nu se poate, deoarece atacatorii vor \u00eencerca inevitabil s\u0103 cripteze ceva \u0219i s\u0103 cear\u0103 o recompens\u0103. Problema este c\u0103 fiecare atac de tip Ransomware ar trebui s\u0103 fie considerat un motiv pentru o analiz\u0103 detaliat\u0103 a traficului \u0219i pentru lansarea unei anchete referitoare la o posibil\u0103 atac. De asemenea, ar trebui s\u0103 ne g\u00e2ndim la m\u0103suri suplimentare de securitate care ar putea: <\/p>\n