Какво се промени във втората вълна на Jadepuffer

Групите за рансъмуер прекараха последните няколко години в уеднаквяване на един наръчник: първо крадат данните, после ги криптират, след което заплашват да изтекат всичко, ако жертвата откаже да плати. Това се нарича двойно изнудване и се превърна в стандартния оперативен модел за почти всеки сериозен екип за рансъмуер. Jadepuffer току-що наруши този сценарий.

Най-новата версия на зловредния софтуер, документирана в репортажи за неговото завръщане, пропуска изцяло стъпката с кражба на данни. Няма ексфилтрация, няма откраднати файлове, стоящи на сайт за изтичане, няма втора заплаха, наслоена върху първата. Вместо това Jadepuffer преминава директно към криптиране. Файловете на компрометирана система биват заключени, появява се бележка за откуп и единственият лост на атакуващия е обещанието (или заплахата) за ключ за декриптиране. Това е всичко. Няма откраднати клиентски записи, няма изтекли договори, няма търг в тъмната мрежа.

На пръв поглед това звучи като крачка назад за атакуващите. Двойното изнудване съществува, защото работи: дори организации със солидни резервни копия понякога плащат, само за да предотвратят публичното разпространение на откраднати данни. Изпускането на този лост би трябвало, на теория, да направи Jadepuffer по-малко ефективен. Но репортажите предполагат обратното: тази втора версия е описана като по-голяма и по-зла от първата, което повдига важен въпрос за защитниците. Ако Jadepuffer не разчита на разкриване на данни, за да окаже натиск върху жертвите, на какво разчита вместо това?

Защо изнудването само с криптиране все още е опасно

Отговорът е прост и неудобен: самото криптиране често е достатъчно. За всяка организация без тествани, офлайн резервни копия, криптирането на всеки файл в мрежата за една нощ е събитие, което спира бизнеса, независимо дали данните са били откраднати. Системите за заплати спират да работят. Медицинските досиета стават недостъпни. Производствените линии, които зависят от мрежов контролен софтуер, спират. Липсата на заплаха за изтичане не прави прекъсването по-малко реално.

Струва си да се замислим върху това, защото голяма част от отразяването на рансъмуера, разбираемо, се фокусира върху аспекта с кражбата на данни: какво е откраднато, кой е засегнат, дали се появява на сайт за изтичане. Обратният завой на Jadepuffer към чист модел на криптиране е напомняне, че самото оперативно прекъсване може да бъде достатъчно, за да се изтръгне плащане на откуп. Групите, които пропускат ексфилтрацията, също се движат по-бързо и оставят по-малка следа в мрежата на жертвата, тъй като не е необходимо да отделят време за локализиране, опаковане и прехвърляне на чувствителни файлове преди задействане на криптирането. Скоростта и прикритостта се превръщат в компромис срещу отказа от лоста на сайта за изтичане.

Тази версия на Jadepuffer е част от по-широк модел, който групата е показвала в историята на своите инструменти. По-ранен репортаж за първата атака с рансъмуер, управлявана от изкуствен интелект на JadePuffer описа операция, забележителна с това колко голяма част от проникването е било автоматизирано, а не ръчно управлявано. Свързан инструмент от същия участник, Encforge, наруши стандартния наръчник за рансъмуер по свой начин. Читателите, които искат по-пълната картина на това как наборът от инструменти на тази група се е развил, включително експлоатацията на уязвимост в Langflow от Encforge, за да достигне до AI инфраструктура, ще намерят полезен контекст в по-ранното отразяване.

Какво разкриват идентификаторите на жертвите и бележките за откуп

Една подробност, на която си струва да се обърне внимание, е колко методична е самата бележка за откуп. На всяка жертва се присвоява уникален идентификатор, а бележката включва предупреждение, свързано с ключа за декриптиране. Тази структура не е случайна. Уникалните идентификатори позволяват на операторите да проследяват коя жертва коя е в комуникациите, да обвързват плащанията с конкретни ключове за декриптиране и да управляват множество едновременни инциденти без объркване. Това е вид инфраструктура, която бихте очаквали от група, извършваща това като повторяема операция, а не като еднократна атака.

За екипите за реагиране при инциденти и разузнаване на заплахи форматирането на бележката за откуп, структурата на идентификаторите и инструкциите за плащане също са полезни артефакти. Те могат да помогнат да се потвърди дали даден инцидент наистина е свързан с известен участник като Jadepuffer, а не с имитатор, използващ изтекли или закупени инструменти, което има значение за решаването как да се реагира и какво да се очаква по-нататък.

Намаляване на излагането: Мрежово сегментиране, VPN и стратегия за резервни копия

Практическият отговор на рансъмуер само с криптиране не се е променил много, дори когато инструментите се развиват. Офлайн, тествани резервни копия остават единственият най-надежден начин да се преживее събитие на криптиране, без да се плаща. Резервните копия, които се намират в същата мрежа като продукционните системи, често биват криптирани заедно с всичко останало, така че изолацията има значение колкото и самото резервно копие.

Мрежовото сегментиране ограничава докъде може да се придвижи атакуващият, след като получи опорна точка, което ограничава радиуса на въздействие на криптиращото събитие, дори когато първоначалният достъп е успешен. Ограничаването на инструментите за отдалечен достъп, наблюдението за необичайно странично придвижване и използването на сигурни методи за отдалечен достъп (включително VPN, конфигурирани със строг контрол на достъпа, вместо с широко мрежово доверие) намаляват вероятността едно компрометирано удостоверение да се превърне в прекъсване на работата на цялата организация.

Какво означава това за вас

Ако вашата организация обработва чувствителни данни или зависи от мрежови системи за ежедневните си операции, втората вълна на Jadepuffer е напомняне, че рансъмуерът не се нуждае да открадне данните ви, за да ви навреди. Самото криптиране, извършено в голям мащаб, е функциониращ бизнес модел за атакуващите. Това означава, че стратегията за резервни копия и мрежовото сегментиране заслужават същото внимание като превенцията на загубата на данни, не по-малко. Прегледът на това колко бързо вашата организация би могла да възстанови операциите от офлайн резервни копия, без изобщо да се докосва до бележката за откуп, е по-продуктивно упражнение от опитите да се предвиди следващият ход на която и да е отделна група.

Основни изводи

  • Най-новата версия на Jadepuffer пропуска изцяло кражбата на данни, разчитайки единствено на криптирането като лост за изнудване.
  • Атаките само с криптиране могат да бъдат също толкова разрушителни, колкото двойното изнудване, когато резервните копия не са изолирани от продукционната мрежа.
  • Уникалните идентификатори на жертвите в бележката за откуп сочат към структурирана, повторяема операция, а не към импровизирана атака.
  • Офлайн, тествани резервни копия и мрежово сегментиране остават най-ефективните защити срещу този стил на атака.
  • Прегледът на конфигурациите за отдалечен достъп и VPN за достъп с най-малки привилегии може да ограничи докъде се разпространява натрапникът преди началото на криптирането.