Ransomware банда с 483 жертви и растящ арсенал

Ransomware операция, известна като The Gentlemen, е компрометирала 483 жертви, комбинирайки два отделни зловредни инструмента: програма за избягване на защита, наречена GentleKiller, и отдалечен троян за достъп (RAT) с име EtherRAT. Заедно тези инструменти позволяват на групата да деактивира софтуер за сигурност на машината на жертвата и да поддържа скрита командна и контролна комуникация, която е по-трудна за спиране от защитниците.

Групата, която изследователи по сигурността свързват и с атаки срещу организации като холандския леден стадион, разгледан в нашия репортаж за атаката на ransomware бандата The Gentlemen срещу Thialf, steadily разширява обхвата си. Вместо да разчита на един-единствен нов експлойт, успехът на бандата изглежда идва от натрупването на няколко добре познати техники за избягване в един автоматизиран пакет, който след това се използва повторно срещу голям брой цели.

Как GentleKiller побеждава софтуера за сигурност

В центъра на тази кампания е GentleKiller — инструмент, изграден около техника, обикновено наричана BYOVD, или „Bring Your Own Vulnerable Driver“ („Донеси си сам уязвим драйвер“). С прости думи, атакуващите инсталират легитимен, но дефектен хардуерен или софтуерен драйвер на компютъра на жертвата. Тъй като този драйвер често е цифрово подписан и се доверява от Windows, той може да работи с дълбоки системни привилегии. След това атакуващите експлоатират известна слабост в този драйвер, за да изключат или заслепят софтуера за сигурност, работещ на машината, превръщайки на практика доверен софтуерен компонент в оръжие срещу самите инструменти, предназначени да го спрат.

Според репортажи за тази кампания GentleKiller е бил използван за побеждаване на продуктите на 48 различни доставчици на сигурност. Това число е важно, защото подсказва, че инструментът не е проектиран да избягва една или две конкретни антивирусни програми. Вместо това той е изграден като широк, многократно използваем framework, способен да неутрализира голяма част от пазара за защита на крайни устройства. Това повтаря модел, който проследихме и в нашето покритие на как ransomware „The Gentlemen“ заслепява EDR инструментите, където операторите на групата са показали последователен интерес към деактивиране на откриването преди внедряването на действителния им payload за криптиране.

EtherRAT и обратът с блокчейн

Вторият компонент, EtherRAT, се занимава с командната и контролна (C2) комуникация — канала, който атакуващите използват, за да изпращат инструкции към заразените машини и да получават обратно откраднати данни или актуализации за статуса. Това, което отличава EtherRAT, е отчетеното му използване на блокчейн инфраструктура за тази цел. Традиционните C2 сървъри могат да бъдат идентифицирани и свалени от изследователи или правоприлагащи органи, веднъж щом бъдат открити. Като насочват комуникацията през блокчейн-базирани механизми, атакуващите правят този вид сваляне значително по-труден, тъй като блокчейн данните са разпределени и устойчиви на единична точка на спиране.

Тази комбинация — убиец на защита, базиран на драйвер, съчетан с устойчив C2 канал — отразява по-широка тенденция сред операциите ransomware като услуга: изгради веднъж, продавай или лицензирай широко и остави партньорите да провеждат кампании в голям мащаб срещу разнообразни цели, включително малките и средните предприятия, които все по-често биват избирани от групи, състезаващи се за пазарен дял, както описахме подробно в нашата статия за Qilin и The Gentlemen и ескалацията на атаките срещу МСП.

Какво означава това за вас

Ако управлявате ИТ системи за бизнес или дори просто ви е грижа за сигурността на домашната ви мрежа, основният урок тук не е специфичен за The Gentlemen. Той е за ограниченията на разчитането на който и да е отделен продукт за сигурност. Инструмент, способен да победи 48 различни доставчика, демонстрира, че антивирусният софтуер или софтуерът за откриване на крайни устройства сам по себе си не може да се третира като пълна защита.

За индивидите практическата риск е по-нисък, но не нулев: ransomware групите често получават първоначален достъп чрез фишинг имейли, изложени услуги за отдалечен достъп или неактуализиран софтуер — същите входни точки, които застрашават личните данни и домашните мрежи. Поддържането на системите актуализирани, използването на уникални пароли и вниманието към непоискани прикачени файлове остават фундаментална защита, независимо колко сложен става зловредният софтуер в основата.

За организациите тази кампания е напомняне, че плащането на откуп не гарантира безопасност занапред. Както е разгледано в по-ранния ни анализ на проучване на Proofpoint за платците на откуп, приблизително една от три компании, които плащат откуп, биват атакувани отново. Многослойните защити, офлайн резервните копия и политиките за allow-listing на драйвери, които ограничават кои драйвери на ниво ядро могат да се зареждат, са далеч по-устойчиви защити, отколкото надеждата, че един-единствен инструмент за сигурност ще улови всяка заплаха.

Изводи

  • Не разчитайте на един продукт за сигурност; многослойните защити са по-важни, когато атакуващите специално проектират инструменти за заобикаляне на отделни доставчици.
  • Ограничете кои драйвери могат да се зареждат на вашите системи, тъй като BYOVD атаките зависят от инсталирането на външни драйвери с достъп до ядрото.
  • Поддържайте офлайн, тествани резервни копия, за да не принуди ransomware инфекцията решение за плащане.
  • Отнасяйте се с подозрение към неочаквани имейли, връзки и заявки за отдалечен достъп, тъй като първоначалният достъп все още обикновено започва с basic social engineering или неактуализиран софтуер.
  • Бъдете информирани за групи като ransomware операцията The Gentlemen, тъй като техните инструменти и цели продължават да се развиват.