{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 ett nytt s\u00e4tt att organisera datal\u00e4ckor","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dataintr\u00e5ng \u00e4r en k\u00e4nnbar fr\u00e5ga f\u00f6r s\u00e4kerhetstj\u00e4nster. Nu n\u00e4r m\u00e5nga arbetar hemifr\u00e5n inneb\u00e4r risken f\u00f6r intr\u00e5ng en \u00e4nnu st\u00f6rre fara. D\u00e4rf\u00f6r riktar k\u00e4nda cyberbrottsgrupper \u00f6kad uppm\u00e4rksamhet mot f\u00f6r\u00e5ldrade och otillr\u00e4ckligt skyddade fj\u00e4rr\u00e5tkomstprotokoll. Intressant nog \u00e4r allt fler dataintr\u00e5ng idag kopplade till ransomware. Hur, varf\u00f6r och p\u00e5 vilket s\u00e4tt - l\u00e4s vidare.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nVi b\u00f6rjar med att notera att utvecklingen och spridningen av ransomware-program \u00e4r en mycket l\u00f6nsam kriminell verksamhet. Enligt uppskattningar fr\u00e5n det amerikanska FBI, gruppen Sodinokibi<\/a><\/noindex> tj\u00e4nade under det g\u00e5ngna \u00e5ret cirka 1 miljon dollar i m\u00e5naden. De brottslingar som anv\u00e4nde Ryuk tj\u00e4na \u00e4nnu mer - i b\u00f6rjan av gruppens verksamhet uppgick deras int\u00e4kter till s\u00e5 mycket som 3 miljoner dollar i m\u00e5naden. S\u00e5 det \u00e4r inte f\u00f6rv\u00e5nande att m\u00e5nga s\u00e4kerhetschefer (CISO) lyfter fram ransomware-program som en av de fem st\u00f6rsta riskerna f\u00f6r verksamheten.<\/p>\n

Acronis Cyber Protection Operation Center (CPOC) i Singapore bekr\u00e4ftar en \u00f6kning av cyberbrott kopplade till ransomware. Under andra halv\u00e5ret av maj blockerades det 20 % fler ransomware \u00e4n vanligt \u00f6ver hela v\u00e4rlden. Efter en liten nedg\u00e5ng ser vi nu, i juni, en \u00f6kning av aktiviteten igen. Det finns flera anledningar till detta. <\/p>\n

Att f\u00e5 tillg\u00e5ng till offrets dator
\n<\/h3>\n

\nSkyddsteknologier utvecklas, och brottslingar m\u00e5ste justera sin taktik f\u00f6r att kunna tr\u00e4nga in i specifika system. M\u00e5linriktade ransomware-attacker sprids fortfarande genom v\u00e4l genomt\u00e4nkta phishing-mail (det handlar om social ingenj\u00f6rskonst). Men p\u00e5 senare tid har utvecklare av skadlig programvara lagt stor vikt vid fj\u00e4rranst\u00e4llda. F\u00f6r att angripa dem kan man finna d\u00e5ligt skyddade fj\u00e4rr\u00e5tkomsttj\u00e4nster, exempelvis RDP eller VPN-servrar med s\u00e5rbarheter.
\nDetta \u00e4r precis vad de sysslar med. Det har till och med dykt upp ransomware-as-a-service-tj\u00e4nster p\u00e5 dark web som erbjuder allt som beh\u00f6vs f\u00f6r att attackera en vald organisation eller person. <\/p>\n

Angripare s\u00f6ker alla m\u00f6jliga s\u00e4tt att tr\u00e4nga in i f\u00f6retagsn\u00e4tverk och ut\u00f6ka attackspektrumet. En vanlig v\u00e4g \u00e4r att f\u00f6rs\u00f6ka infektera n\u00e4tverken hos tj\u00e4nsteleverant\u00f6rer. Eftersom molntj\u00e4nster idag bara b\u00f6rjar bli popul\u00e4ra, m\u00f6jligg\u00f6r infekteringen av en popul\u00e4r tj\u00e4nst att attackera tiotals eller till och med hundratals offer p\u00e5 en g\u00e5ng. <\/p>\n

Vid hackning av webbgr\u00e4nssnitt f\u00f6r s\u00e4kerhetssystem eller backup f\u00e5r angripare m\u00f6jlighet att st\u00e4nga av skyddet, ta bort s\u00e4kerhetskopior och \u00e4ven s\u00e4kerst\u00e4lla att deras skadliga program kan spridas inom hela organisationen. D\u00e4rf\u00f6r rekommenderar experter att noggrant skydda alla tj\u00e4nstekonton med hj\u00e4lp av flerfaktorsautentisering. Till exempel till\u00e5ter alla molntj\u00e4nster fr\u00e5n Acronis att installera dubbelt skydd, eftersom vid en kompromiss av l\u00f6senordet kan angripare neutralisera alla f\u00f6rdelar med att anv\u00e4nda ett omfattande cyberf\u00f6rsvarssystem. <\/p>\n

Utvidgning av attackspektrumet
\n<\/h3>\n

\nN\u00e4r det eftertraktade m\u00e5let har uppn\u00e5tts och det skadliga programmet redan finns inne i f\u00f6retagsn\u00e4tverket, anv\u00e4nds vanligtvis ganska typiska taktiker f\u00f6r vidare spridning. Angripare studerar situationen och f\u00f6rs\u00f6ker \u00f6vervinna de barri\u00e4rer som skapats inom f\u00f6retaget f\u00f6r att motverka hot. Denna del av attacken kan ske manuellt (eftersom de redan har kommit in i n\u00e4tverket, vilket inneb\u00e4r att 'betet \u00e4r p\u00e5 kroken!'). F\u00f6r detta anv\u00e4nds redan v\u00e4lk\u00e4nda verktyg som PowerShell, WMI PsExec, samt den nyare emulat\u00f6ren Cobalt Strike och andra verktyg. Vissa kriminella grupper riktar sig specifikt mot l\u00f6senordshanterare f\u00f6r att tr\u00e4nga djupare in i f\u00f6retagsn\u00e4tverket. Ett skadligt program som Ragnar har nyligen uppt\u00e4ckts i en helt sluten bild av virtuell maskin i VirtualBox, vilket hj\u00e4lper till att d\u00f6lja n\u00e4rvaron av utomst\u00e5ende program p\u00e5 datorn. <\/p>\n

S\u00e5ledes, n\u00e4r skadlig programvara f\u00e5r tillg\u00e5ng till ett f\u00f6retagsn\u00e4tverk, f\u00f6rs\u00f6ker den kontrollera anv\u00e4ndarens \u00e5tkomstniv\u00e5 och till\u00e4mpa stulna l\u00f6senord. Verktyg som Mimikatz och Bloodhound & Co. hj\u00e4lper till att hacka dom\u00e4nadministrat\u00f6rskonton. Och f\u00f6rst n\u00e4r angriparen anser att spridningsm\u00f6jligheterna \u00e4r utt\u00f6mda, laddas ransomware-programmet ner p\u00e5 klient-systemen. <\/p>\n

Ransomware som t\u00e4ckmantel
\n<\/h3>\n

\nMed tanke p\u00e5 allvaret i hotet om dataf\u00f6rlust, implementerar allt fler f\u00f6retag s\u00e5 kallade \"Disaster recovery plans\" varje \u00e5r. Detta g\u00f6r att de inte beh\u00f6ver oroa sig alltf\u00f6r mycket om krypterade data, och i h\u00e4ndelse av en ransomware-attack b\u00f6rjar de inte samla in l\u00f6sensummor, utan p\u00e5b\u00f6rjar \u00e5terst\u00e4llningsprocessen. Men \u00e4ven angriparna sover inte. Under t\u00e4ckmantel av ransomware p\u00e5g\u00e5r en massiv st\u00f6ld av data. Maze var de f\u00f6rsta som b\u00f6rjade anv\u00e4nda denna taktik i stor utstr\u00e4ckning redan 2019, \u00e4ven om andra grupper periodvis kombinerade angrepp. Nu sysslar minst Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO och Sekhmet med datast\u00f6ld parallellt med kryptering.<\/p>\n

Ibland lyckas angriparna extrahera tiotals terabyte data fr\u00e5n ett f\u00f6retag, vilket skulle kunna ha uppt\u00e4ckts av n\u00e4tverks\u00f6vervakningsverktyg (om s\u00e5dana hade installerats och konfigurerats). Oftast sker data\u00f6verf\u00f6ring helt enkelt via FTP, Putty, WinSCP eller PowerShell-skript. F\u00f6r att \u00f6vervinna DLP och n\u00e4tverks\u00f6vervakningssystem kan data krypteras eller skickas som ett l\u00f6senordsskyddat arkiv, och detta utg\u00f6r en ny utmaning f\u00f6r s\u00e4kerhetstj\u00e4nster som m\u00e5ste kontrollera utg\u00e5ende trafik f\u00f6r s\u00e5dana filer.<\/p>\n

Studien av infostealers beteende visar att angriparna inte samlar in allt m\u00f6jligt utan \u00e4r s\u00e4rskilt intresserade av finansiella rapporter, kunddatabaser, personuppgifter om anst\u00e4llda och kunder, kontrakt, protokoll och juridiska dokument. Skadlig programvara skannar diskar efter vilken information som helst som teoretiskt sett skulle kunna anv\u00e4ndas f\u00f6r utpressning.
\nOm en s\u00e5dan attack lyckas publicerar angriparna vanligtvis en liten f\u00f6rhandsvisning som visar n\u00e5gra dokument som bevis p\u00e5 att data har l\u00e4ckt fr\u00e5n organisationen. Vissa grupper publicerar till och med hela datam\u00e4ngden p\u00e5 sin webbplats om tiden f\u00f6r l\u00f6senbetalning har g\u00e5tt ut. F\u00f6r att undvika blockering och s\u00e4kerst\u00e4lla en bred spridning publiceras data \u00e4ven p\u00e5 TOR-n\u00e4tverket.<\/p>\n

Ett annat s\u00e4tt att tj\u00e4na pengar \u00e4r genom f\u00f6rs\u00e4ljning av data. Till exempel tillk\u00e4nnagav Sodinokibi nyligen att de kommer att h\u00e5lla \u00f6ppna auktioner d\u00e4r data g\u00e5r till den deltagare som erbjuder h\u00f6gst bud. Startpriset f\u00f6r s\u00e5dana auktioner ligger p\u00e5 $50-100K beroende p\u00e5 datakvalitet och inneh\u00e5ll. Till exempel s\u00e5ldes en upps\u00e4ttning med 10 000 poster om kassafl\u00f6den, konfidentiella aff\u00e4rsdata och skannade k\u00f6rkort f\u00f6r priser fr\u00e5n $100 000. F\u00f6r $50 000 kunde man k\u00f6pa mer \u00e4n 20 000 finansiella dokument samt tre databaser med bokf\u00f6ringsfiler och kunddata. <\/p>\n

Webbplatser d\u00e4r l\u00e4ckor publiceras kan vara av m\u00e5nga olika slag. Det kan vara en enkel sida d\u00e4r allt st\u00f6ldgods bara l\u00e4ggs ut, eller mer komplexa strukturer med sektioner och m\u00f6jligheter till k\u00f6p. Men det viktiga \u00e4r att alla tj\u00e4nar ett gemensamt syfte \u2014 att \u00f6ka angriparnas chanser att f\u00e5 verkliga pengar. Om denna aff\u00e4rsmodell ger goda resultat f\u00f6r angriparna kan man vara s\u00e4ker p\u00e5 att antalet s\u00e5dana webbplatser kommer att \u00f6ka och teknikerna f\u00f6r st\u00f6ld och monetisering av f\u00f6retagsdata kommer att utvidgas ytterligare.<\/p>\n

S\u00e5 h\u00e4r ser aktuella webbplatser ut d\u00e4r datal\u00e4ckor publiceras:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Vad man ska g\u00f6ra vid nya attacker
\n<\/h3>\n

\nDen st\u00f6rsta utmaningen f\u00f6r s\u00e4kerhetstj\u00e4nster under dessa f\u00f6rh\u00e5llanden \u00e4r att det under senare tid har f\u00f6rekommit fler incidenter relaterade till ransomware som bara \u00e4r en avledningsman\u00f6ver f\u00f6r datast\u00f6ld. Angriparna satsar inte l\u00e4ngre enbart p\u00e5 att kryptera servrar. Ist\u00e4llet \u00e4r huvudm\u00e5let att organisera l\u00e4ckage medan du k\u00e4mpar mot ransomware. <\/p>\n

D\u00e4rf\u00f6r visar det sig att anv\u00e4ndningen av endast ett backup-system, \u00e4ven med en bra \u00e5terh\u00e4mtningsplan, \u00e4r otillr\u00e4cklig f\u00f6r att motverka flerskiktade hot. Visst, utan s\u00e4kerhetskopior kan man inte klara sig, eftersom angripare definitivt kommer att f\u00f6rs\u00f6ka kryptera n\u00e5got och beg\u00e4ra l\u00f6sensumma. Det handlar snarare om att varje attack med ransomware nu b\u00f6r ses som en anledning till en omfattande analys av trafiken och p\u00e5b\u00f6rjande av en utredning av den m\u00f6jliga attacken. Man b\u00f6r ocks\u00e5 \u00f6verv\u00e4ga ytterligare s\u00e4kerhets\u00e5tg\u00e4rder som kan: <\/p>\n