{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 nov na\u010din organizacije uhajanja podatkov","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Izzivi s uhajanjem podatkov so vsekakor velik problem za varnostne slu\u017ebe. Zdaj, ko ve\u010dina ljudi dela od doma, je nevarnost uhajanja podatkov mnogo ve\u010dja. Zato znane kibernetske kriminalne skupine posve\u010dajo pove\u010dano pozornost zastarelim in nezadostno za\u0161\u010ditenim protokolom za oddaljen dostop. In kar je zanimivo, vse ve\u010d uhajanj podatkov je danes povezanih z Ransomware. Kako, zakaj in na kak\u0161en na\u010din - berite naprej.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nZa\u010dnimo s tem, da je razvoj in \u0161iritev programov za izsiljevanje \u017ee sam po sebi zelo dober kriminalni posel. Na primer, po ocenah ameri\u0161kega FBI-ja, skupina Sodinokibi<\/a><\/noindex> je v preteklem letu zaslu\u017eila pribli\u017eno 1 milijon dolarjev na mesec. Storilci, ki so uporabili Ryuk, pa so zaslu\u017eili \u0161e ve\u010d - na za\u010detku delovanja skupine so njihovi dobi\u010dki zna\u0161ali do 3 milijone dolarjev na mesec. Ni torej presenetljivo, da mnogi direktorji za informacijsko varnost (CISO) izpostavljajo programe za izsiljevanje kot eno od petih glavnih poslovnih tveganj.<\/p>\n

Center za varnost Acronis Cyber Protection Operation Center (CPOC), ki se nahaja v Singapurju, potrjuje pove\u010danje kibernetskega kriminala na podro\u010dju Ransomware. V drugi polovici maja je bilo po vsem svetu blokiranih 20 % ve\u010d programov za izsiljevanje, kot je obi\u010dajno. Po manj\u0161em upadu zdaj, junija, ponovno opa\u017eamo rast aktivnosti. Za to obstaja ve\u010d razlogov. <\/p>\n

Pridobiti dostop do ra\u010dunalnika \u017ertve
\n<\/h3>\n

\nTehnologije za\u0161\u010dite se razvijajo, in storilci so prisiljeni nekoliko spremeniti svojo taktiko, da bi dosegli dolo\u010deno omre\u017eje. Ciljne Ransomware napade \u0161e vedno \u0161irijo preko dobro na\u010drtovanih phishing sporo\u010dil (tukaj igra vlogo tudi socialno in\u017eenirstvo). Vendar pa zadnje \u010dase razvijalci zlonamerne programske opreme namenjajo veliko pozornosti ravno oddaljenim zaposlenim. Da bi jih napadli, lahko najdejo slabo za\u0161\u010ditene storitve oddaljenega dostopa, kot so RDP, ali VPN stre\u017enike z ranljivostmi.
\nS tem se ukvarjajo. V dark netu so se pojavile celo storitve ransomware-as-a-service, ki ponujajo vse potrebno za napad na izbrano organizacijo ali posameznika. <\/p>\n

Napadalci i\u0161\u010dejo vse na\u010dine, kako prodreti v korporacijsko omre\u017eje in raz\u0161iriti spekter napadov. Tako so priljubljena tar\u010da poskusi oku\u017ebe omre\u017eij ponudnikov storitev. Ker priljubljenost obla\u010dnih storitev nara\u0161\u010da, oku\u017eba priljubljene storitve omogo\u010da napad takoj na desetine ali celo stotine \u017ertev hkrati. <\/p>\n

V primeru vdora v spletne konzole za upravljanje sistemov varnosti ali varnostnih kopij lahko napadalci onemogo\u010dijo za\u0161\u010dito, izbri\u0161ejo varnostne kopije ter omogo\u010dijo svojemu zlonamernemu programski opremi, da se raz\u0161iri po celotni organizaciji. Ravno zato strokovnjaki priporo\u010dajo skrbno za\u0161\u010dito vseh servisnih ra\u010dunov z ve\u010dfaktorsko avtentifikacijo. Na primer, vse obla\u010dne storitve Acronis omogo\u010dajo vzpostavitev dvojne za\u0161\u010dite, ker v primeru kompromitacije gesla lahko napadalci uni\u010dijo vse prednosti, ki jih prina\u0161a uporaba celovitega sistema kibernetske varnosti. <\/p>\n

\u0160iritev spektra napada
\n<\/h3>\n

\nKo je \u017eelen cilj dose\u017een in zlonamerna programska oprema \u017ee znotraj korporacijskega omre\u017eja, se obi\u010dajno za nadaljnje \u0161irjenje uporabljajo povsem tipi\u010dne taktike. Napadalci preu\u010dujejo situacijo in si prizadevajo premagati ovire, ki so v podjetju postavljene za prepre\u010devanje gro\u017eenj. Ta del napada se lahko odvija ro\u010dno (saj \u010de so \u017ee v omre\u017eju, je to znak, da so \u00bbvabe prijeli za kavelj\u00ab!). Za to se uporabljajo dobro znana orodja, kot sta PowerShell in WMI PsExec ter novej\u0161i emulator Cobalt Strike in druge utilite. Nekatere kriminalne skupine ciljajo na upravljalnike gesel, da bi prodrl globlje v korporacijsko omre\u017eje. Zlonamerna programska oprema, kot je Ragnar, je bila nedavno opa\u017eena v popolnoma zaprtem na\u010dinu virtualne naprave VirtualBox, ki pomaga prikriti prisotnost tuje programske opreme na napravi. <\/p>\n

Tako, ko treskuje u korporativnu mre\u017eu, zlonamerni softver poku\u0161ava da proveri nivo pristupa korisnika i koristi ukradene lozinke. Alati poput Mimikatz i Bloodhound & Co. poma\u017eu u hakovanju administratorskih naloga domena. Tek kada napada\u010d smatra da su mogu\u0107nosti \u0161irenja iscrpljene, do klijentskih sistema se direktno u\u010ditava program za otkup. <\/p>\n

Ransomware kao pokri\u0107e
\n<\/h3>\n

\nS obzirom na ozbiljnost pretnje gubitka podataka, svake godine sve vi\u0161e kompanija implementira takozvani \"plan oporavka od katastrofa\". Zahvaljuju\u0107i tome, ne moraju mnogo da brinu o enkriptovanim podacima, a u slu\u010daju ransomware napada ne po\u010dinju da prikupljaju otkup, ve\u0107 pokre\u0107u proces oporavka. No, ni napada\u010di ne spavaju. Pod pokri\u0107em ransomware-a dolazi do masovne kra\u0111e podataka. Prvi koji su masovno primenili ovu taktiku bili su Maze jo\u0161 2019. godine, iako su i druge grupe povremeno kombinovale napade. Sada, paralelno sa enkripcijom podataka, to rade najmanje Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO i Sekhmet.<\/p>\n

Ponekad napada\u010dima uspe da izvade desetine terabajta podataka iz kompanije, koji su mogli biti otkriveni sredstvima mre\u017enog nadzora (da su postavljena i konfigurirana). Naime, naj\u010de\u0161\u0107e se prenos podataka obavlja jednostavno putem FTP-a, Putty-a, WinSCP-a ili PowerShell skripti. Da bi prevazi\u0161li DLP i sisteme mre\u017enog nadzora, podaci se mogu enkriptovati ili poslati kao arhiv sa \u0161ifrom, \u0161to predstavlja novi izazov za bezbednosne slu\u017ebe koje moraju da proveravaju izlazni saobra\u0107aj na prisustvo sli\u010dnih datoteka.<\/p>\n

Istra\u017eivanje pona\u0161anja infostealera pokazuje da napada\u010di ne prikupljaju sve nasumice \u2014 posebno ih interesuju finansijski izve\u0161taji, baze podataka klijenata, li\u010dni podaci zaposlenih i klijenata, ugovori, bele\u0161ke, pravni dokumenti. Zlonamerni softver skenira diskove u potrazi za bilo kojom informacijom koja bi se teoretski mogla iskoristiti za iznudu.
\n\u010ce je tak\u0161na napad uspela, napadalci obi\u010dajno objavijo majhen teaser, ki prikazuje nekatere dokumente kot potrditev, da so podatki uhajali iz organizacije. Nekatere skupine pa objavijo celoten nabor podatkov na svoji spletni strani, \u010de je \u010das za izpla\u010dilo odkupnine \u017ee potekel. Da se izognejo blokadam in zagotovi \u0161iroko dosego, podatke objavijo tudi v omre\u017eju TOR.<\/p>\n

\u0160e en na\u010din monetizacije je prodaja podatkov. Na primer, Sodinokibi je nedavno napovedal odprte dra\u017ebe, na katerih podatke dobi tisti, ki ponudi najvi\u0161jo ceno. Za\u010detna cena takih dra\u017eb zna\u0161a 50.000-100.000 USD, odvisno od kakovosti in vsebine podatkov. Na primer, nabor 10.000 evidenc o tokovih gotovine, zaupnih poslovnih podatkov in skeniranih vozni\u0161kih dovoljenj se je prodajal po ceni od 100.000 USD. Za 50.000 USD pa je bilo mogo\u010de kupiti ve\u010d kot 20.000 finan\u010dnih dokumentov, plus tri baze podatkov z ra\u010dunovodskimi datotekami in podatki o strankah. <\/p>\n

Spletna mesta, na katerih so objavljeni uhajeni podatki, so lahko zelo razli\u010dna. To je lahko preprosta stran, na kateri so zgolj objavili vse ukradeno, lahko pa gre tudi za bolj kompleksne strukture z razdelki in mo\u017enostjo nakupa. Vendar pa je glavni namen vseh teh strani isti - pove\u010dati mo\u017enosti napadalcev za pridobitev pravih denarjev. \u010ce bo ta poslovni model pokazal dobre rezultate za napadalce, ni dvoma, da bo podobnih strani \u0161e ve\u010d, tehnike kraje in monetizacije korporativnih podatkov pa se bodo dodatno raz\u0161irile.<\/p>\n

Tako izgledajo aktualna spletna mesta, na katerih so objavljeni uhajeni podatki:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Kaj storiti ob novih napadih
\n<\/h3>\n

\nGlavni izziv za varnostne slu\u017ebe v teh razmerah je, da se v zadnjem \u010dasu vse ve\u010d incidentov, povezanih z izsiljevalsko programsko opremo, izka\u017ee za metodo odvrnitve od kraje podatkov. Napadalci ne stavijo ve\u010d samo na \u0161ifriranje stre\u017enikov. Nasprotno, glavni cilj postane organizacija uhajanja, medtem ko se borite s \u0161ifrantnimi programski opremo. <\/p>\n

Tako, uporaba samo enega sistema za varnostno kopiranje, celo z dobrim na\u010drtom za obnovitev, ni dovolj za obvladovanje ve\u010dplastnih gro\u017eenj. Seveda, varnostne kopije so nujne, saj bodo napadalci zagotovo posku\u0161ali \u0161ifrirati podatke in zahtevati odkupnino. Gre bolj za to, da mora biti vsak napad z uporabo Ransomware obravnavan kot prilo\u017enost za celovito analizo prometa in za\u010detek preiskave morebitnega napada. Prav tako je treba razmisliti o dodatnih varnostnih sredstvih, ki bi lahko: <\/p>\n