Rrjedhjet e tĂ« dhĂ«nave janĂ« njĂ« çështje shumĂ« e rĂ«ndĂ«sishme pĂ«r shĂ«rbimin e sigurisĂ«. Dhe tani, kur shumica e njerĂ«zve punojnĂ« nga shtĂ«pia, rreziku i rrjedhjeve Ă«shtĂ« shumĂ« mĂ« i lartĂ«. PikĂ«risht pĂ«r kĂ«tĂ« arsye, grupet e njohura tĂ« krimit kibernetik po u kushtojnĂ« mĂ« shumĂ« vĂ«mendje protokolleve tĂ« vjetra dhe tĂ« mbrojtura dobĂ«t pĂ«r aksesin e largĂ«t. Dhe, çuditĂ«risht, gjithnjĂ« e mĂ« shumĂ« rrjedhje tĂ« tĂ« dhĂ«nave sot janĂ« tĂ« lidhura me Ransomware. Si, pse dhe nĂ« çfarĂ« mĂ«nyre â lexoni mĂ« poshtĂ«.
TĂ« fillojmĂ« me faktin se zhvillimi dhe shpĂ«rndarja e programeve tĂ« kĂ«rcĂ«nimit Ă«shtĂ« njĂ« biznes shumĂ« fitimprurĂ«s kriminel. PĂ«r shembull, sipas vlerĂ«simeve tĂ« FBI-sĂ« amerikane, nĂ« vitin e kaluar fitonte rreth 1 milion dollarĂ« nĂ« muaj. NdĂ«rsa ata qĂ« pĂ«rdornin Ryuk fitonin edhe mĂ« shumĂ« â nĂ« fillim tĂ« aktivitetit tĂ« grupit, tĂ« ardhurat e tyre arrinin deri nĂ« 3 milion dollarĂ« nĂ« muaj. Prandaj nuk Ă«shtĂ« çudi qĂ« shumĂ« drejtorĂ« tĂ« sigurisĂ« sĂ« informacionit (CISO) e identifikojnĂ« Ransomware si njĂ« nga pesĂ« rreziqet kryesore pĂ«r biznesin.
Qendra e Sigurisë Acronis Cyber Protection Operation Center (CPOC), e vendosur në Singapor, konfirmon aktivizimin e krimit kibernetik në fushën e Ransomware. Gjatë gjysmës së dytë të majit, në mbarë botën u bllokuan 20% më shumë kërcënime Ransomware se zakonisht. Pas një rënie të vogël tani, në qershor, po vërejmë sërish një rritje të aktivitetit. Dhe për këtë ka disa arsye të menjëhershme.
Të hysh në kompjuterin e viktimës
TeknologjitĂ« e mbrojtjes po zhvillohen, dhe kriminelĂ«t duhet tĂ« ndryshojnĂ« taktikĂ«n e tyre pĂ«r tĂ« hyrĂ« nĂ« njĂ« sistem tĂ« caktuar. Sulmet e synuara Ransomware vazhdojnĂ« tĂ« pĂ«rhapen pĂ«rmes email-eve tĂ« mirĂ«projektuar phishing (nuk mungon elementi i inxhinierisĂ« sociale). MegjithatĂ«, sĂ« fundmi, zhvilluesit e softuerit malinj po u kushtojnĂ« shumĂ« vĂ«mendje punonjĂ«sve tĂ« distancuar. PĂ«r tâi sulmuar ata, mund tĂ« gjenden shĂ«rbime tĂ« mbrojtura dobĂ«t pĂ«r qasje tĂ« largĂ«t, si RDP, ose serverĂ« VPN me dobĂ«si.
Këtë po bëjnë ata. Në darknet janë shfaqur madje shërbime ransomware-as-a-service, të cilat ofrojnë gjithçka të nevojshme për të sulmuar një organizatë ose individ të zgjedhur.
Kërcënuesit kërkojnë çdo mundësi për të depërtuar në rrjetin korporativ dhe për të zgjeruar gamën e sulmit. Një drejtim i njohur janë përpjekjet për të infektuar rrjetet e ofruesve të shërbimeve. Duke qenë se shërbimet cloud sot po fitojnë popullaritet, infektimi i një shërbimi të njohur lejon sulmin e dhjetëra apo edhe qindra viktimave njëherësh.
Në rastin e thyerjes së konsolave të internetit që menaxhojnë sistemet e sigurisë ose rezervave, sulmuesit mund të çaktivizojnë mbrojtjen, të fshijnë rezervat dhe gjithashtu të sigurojnë që malware-i i tyre të shpërndahet në të gjithë organizatën. Në fakt, për këtë arsye ekspertët rekomandojnë të mbrohen me kujdes të gjitha llogaritë shërbyesh përmes autentifikimit me shumë faktorë. Për shembull, të gjitha shërbimet cloud Acronis lejojnë vendosjen e mbrojtjes dyfishe, sepse në rastin e kompromiseve të fjalëkalimeve, kërcënuesit mund të anullojnë çdo avantazh nga përdorimi i një sistemi të plotë të mbrojtjes kibernetike.
Zgjerimi i gamës së sulmit
Kur qĂ«llimi i dĂ«shiruar Ă«shtĂ« arritur dhe malware-i tashmĂ« ndodhet brenda rrjetit korporativ, pĂ«r shpĂ«rndarje tĂ« mĂ«tejshme zakonisht pĂ«rdoren taktikĂ« shumĂ« standarde. KĂ«rcĂ«nuesit studiojnĂ« situatĂ«n dhe pĂ«rpiqen tĂ« kalojnĂ« barrierat qĂ« janĂ« krijuar brenda kompanisĂ« pĂ«r tĂ« kundĂ«rshtuar kĂ«rcĂ«nimet. Kjo pjesĂ« e sulmit mund tĂ« ndodhĂ« manualisht (sepse nĂ«se ata tashmĂ« kanĂ« hyrĂ« nĂ« rrjet, atĂ«herĂ« ka mbetur vetĂ«m 'ngacmimi nĂ« gozhdĂ«â!). PĂ«r kĂ«tĂ« pĂ«rdoren mjete tashmĂ« tĂ« njohura, si PowerShell, WMI PsExec, si dhe emulatori mĂ« i ri Cobalt Strike dhe utilitete tĂ« tjera. Disa grupe kriminale qĂ«llimisht sulmojnĂ« menaxherĂ«t e fjalĂ«kalimeve pĂ«r tĂ« hyrĂ« mĂ« thellĂ« nĂ« rrjetin korporativ. NjĂ« malware i tillĂ« si Ragnar Ă«shtĂ« vĂ«rejtur sĂ« fundmi nĂ« njĂ« imazh tĂ« plotĂ«sisht tĂ« mbyllur tĂ« makinĂ«s virtuale VirtualBox, e cila ndihmon nĂ« fshehjen e pranisĂ« sĂ« software-it tĂ« huaj nĂ« makinĂ«.
Pra ndaj, kur hyn në rrjetin korporativ, malware përpiqet të verifikojë nivelin e aksesit të përdoruesit dhe të aplikohet fjalëkalimet e vjedhura. Teknika si Mimikatz dhe Bloodhound & Co. ndihmojnë në thyerjen e llogarive të administratorëve të domain-eve. Vetëm kur sulmuesi beson se mundësitë për përhapje janë shteruar, ngarkohet në sistemet e klientëve direkt një program kërkesë-ransomë.
Ransomware si mbulues
Duke marrë parasysh shkallën e rrezikut të humbjes së të dhënave, çdo vit gjithnjë e më shumë kompani zbatohen në jetën e quajtur "plani i rikuperimit nga fatkeqësitë". Falë kësaj, ata nuk shqetësohen shumë për të dhënat e koduara, dhe në rastin e një sulmi Ransomware, ata nuk fillojnë të grumbullojnë shpërblim, por fillojnë procesin e rikuperimit. Por edhe hakerët nuk flejnë. nën mbulimin e Ransomware ndodhin vjedhje masive të të dhënave. Taktika e tillë filloi të aplikohej masivisht nga Maze që në vitin 2019, megjithatë grupe të tjera periodikisht kanë kombinuar sulmet. Tani, vjedhja e të dhënave së bashku me kodimin po merret me të paktën Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO dhe Sekhmet.
Ndonjëherë, sulmuesit arrijnë të nxjerrin nga kompania dhjetëra terabajt të dhënash, të cilat mund të ishin zbuluar nga mjete të monitorimit të rrjetit (nëse do të ishin instaluar dhe konfiguruar). Sepse më së shpeshti, transferimi i të dhënave ndodh thjesht përmes FTP, Putty, WinSCP ose skripteve PowerShell. Për të kapërcyer DLP dhe sistemet e monitorimit të rrjetit, të dhënat mund të enkriptohen ose të dërgohen si arkiv me fjalëkalim, dhe kjo është një sfidë e re për shërbimet e sigurisë, të cilat duhet të kontrollojnë trafik dalës për praninë e skedarëve të tillë.
Studimi i sjelljes sĂ« infostealerĂ«ve tregon se hakerĂ«t nuk mbledhin çfarĂ«do â ata janĂ« tĂ« interesuar pikĂ«risht pĂ«r raportet financiare, bazat e tĂ« dhĂ«nave tĂ« klientĂ«ve, tĂ« dhĂ«nat personale tĂ« punonjĂ«sve dhe klientĂ«ve, kontratat, regjistrat, dokumentet ligjore. Malware skanon disqet nĂ« kĂ«rkim tĂ« çdo informacioni qĂ« teorikisht mund tĂ« pĂ«rdoret pĂ«r shantazh.
Nëse një sulm i tillë ka qenë i suksesshëm, zakonisht autorët publikojnë një teaser të vogël, duke treguar disa dokumente si provë se të dhënat kanë rrjedhur nga organizata. Disa grupe madje publikojnë të gjithë paketën e të dhënave në faqen e tyre, nëse koha për të paguar shpërblimin ka skaduar. Për të shmangur bllokimin dhe për të siguruar një shtrirje të gjerë, të dhënat publikohen gjithashtu në rrjetin TOR.
NjĂ« tjetĂ«r mĂ«nyrĂ« monetizimi Ă«shtĂ« shitja e tĂ« dhĂ«nave. PĂ«r shembull, Sodinokibi sĂ« fundmi shpalli zhvillimin e ankandeve tĂ« hapura, ku tĂ« dhĂ«nat i jepen pjesĂ«marrĂ«sit qĂ« bĂ«n ofertĂ«n mĂ« tĂ« lartĂ«. Ămimi fillestar i kĂ«tyre ankandeve Ă«shtĂ« $50-100K nĂ« varĂ«si tĂ« cilĂ«sisĂ« dhe pĂ«rmbajtjes sĂ« tĂ« dhĂ«nave. PĂ«r shembull, njĂ« grup prej 10,000 regjistrimesh mbi flukset e parasĂ«, tĂ« dhĂ«na konfidenciale tĂ« biznesit dhe patentash tĂ« skanuara u shitĂ«n pĂ«r njĂ« çmim prej 100,000 dollarĂ«sh. NdĂ«rsa pĂ«r 50,000 dollarĂ«, mund tĂ« blihej mĂ« shumĂ« se 20,000 dokumente financiare plus tre baza tĂ« dhĂ«nash me skedarĂ« llogarish dhe tĂ« dhĂ«na pĂ«r klientĂ«t.
Faqet ku publikohen tĂ« dhĂ«nat e rrjedhura janĂ« shumĂ« tĂ« ndryshme. Ato mund tĂ« jenĂ« njĂ« faqe e thjeshtĂ«, ku janĂ« publikuar tĂ« gjitha tĂ« dhĂ«nat e vjedhura, dhe madje ka struktura mĂ« tĂ« komplikuara me seksione dhe mundĂ«si blerjeje. Por e rĂ«ndĂ«sishmja Ă«shtĂ« se tĂ« gjithĂ« ato shĂ«rbejnĂ« njĂ« qĂ«llimi â pĂ«r tĂ« rritur shanset e sulmuesve pĂ«r tĂ« marrĂ« para tĂ« vĂ«rteta. NĂ«se ky model biznesi do tĂ« tregojĂ« rezultate tĂ« mira pĂ«r autorĂ«t e krimeve, nuk ka dyshim se do tĂ« ketĂ« edhe mĂ« shumĂ« faqe tĂ« tilla dhe teknikat e vjedhjes dhe monetizimit tĂ« tĂ« dhĂ«nave korporative do tĂ« zgjerojnĂ« mĂ« tej.
Këtu janë disa nga faqet aktuale ku publikohen të dhënat e rrjedhura:
ĂfarĂ« tĂ« bĂ«ni me sulmet e reja
Sfidat kryesore për shërbimet e sigurisë në këto kushte janë se së fundmi gjithnjë e më shumë incidente që lidhen me Ransomware po dalin si një metodë shpërqendrimi nga vjedhja e të dhënave. Autorët e krimeve nuk përqendrohen më vetëm në enkriptimin e serverëve. Përkundrazi, qëllimi kryesor është organizimi i rrjedhjes, ndërsa ju luftoni me enkriptuesit.
Prandaj, përdorimi i vetëm i një sistemi backup, edhe me një plan të mirë rikuperimi, rezulton të jetë i pamjaftueshëm për t'u përballur me kërcënime të shumëfishta. Natyrisht, nuk mund të shmangim backup-ët, pasi sulmuesit do të provokojnë gjithmonë të kriptojnë diçka dhe të kërkojnë një shpërblim. Bëhet fjalë më shumë për faktin se tani çdo sulm që përdor ransomware duhet të merret si një rast për një analizë të plotë të trafikut dhe fillimin e një hetimi të mundshëm të sulmit. Gjithashtu, duhet të mendojmë për mjete të tjera sigurie që mund të:
- Zbulojnë shpejt sulmet dhe analizojnë aktivitetin e pazakontë në rrjet duke përdorur AI
- Rikuperojnë menjëherë sistemet në rastet e sulmeve të ransomware të ditës zero, në mënyrë që të mund të ndihmoni në monitorimin e aktiviteve në rrjet
- Bllokojnë përhapjen e malware klasik dhe llojeve të reja të sulmeve në rrjetin korporativ
- Analizojnë softuerët dhe sistemet (përfshirë qasjen në distancë) për të identifikuar vulnerabilitetet dhe exploit-et aktuale
- Parandalojnë transferimin e informacionit të panjohur përtej perimetrit korporativ
Vetëm përdoruesit e regjistruar mund të marrin pjesë në anketë. , ju lutem.
A keni analizuar ndonjëherë aktivitetin sfondor gjatë një sulmi ransomware?
20,0%Po1
80,0%Jo4
5 përdorues votuan. 2 përdorues abstenuan.
Burimi: habr.com
