Ново изследване, разглеждащо техническата инфраструктура зад няколко големи ransomware операции, включително INC Ransom, Lynx, MedusaLocker и активност, свързана с LockBit, установи, че въпреки че оперират под различни имена, тези групи разчитат на поразително сходни модели на атака. Тази последователност е важна за всеки, който се опитва да разбере ransomware, защото означава, че инструментите и тактиките, които защитниците използват, за да хванат една банда, често работят срещу няколко други едновременно.

Споделена инфраструктура зад различни ransomware марки

За ransomware често се пише така, сякаш всяка наименувана група е напълно отделно престъпно предприятие със собствен уникален наръчник. Реалността, разкрита от това изследване, е по-объркана и в известен смисъл по-полезна за защитата. Проследявайки инфраструктурата, тоест сървърите, каналите за команден контрол и системите за подготовка, използвани при атаки, свързани с INC Ransom, Lynx, MedusaLocker и LockBit, изследователите откриха повтарящи се технически отпечатъци в уж несвързани кампании.

Това припокриване отразява по-широка тенденция, вече видима другаде в ransomware екосистемата. Както е описано в репортаж за това как ransomware групите достигнаха рекорд от 93 активни екипа, престъпният подземен свят се е фрагментирал в голям брой наименувани операции, дори когато основните техники, а в някои случаи и самата инфраструктура, се преизползват или споделят. Афилиатите на ransomware-as-a-service често се местят между марките, а изтекли или препродадени инструменти означават, че различните „групи“ могат да изглеждат много сходни под повърхността.

Първо открадни, после шифровай: стандартът на двойното изнудване

Един от най-ясните модели, които се откроиха от изследването, е времето. Преди изобщо да заключат системите на жертвата, повечето от изследваните ransomware операции тихо изнасят чувствителни данни първо. Шифроването, частта от атаката, която бива забелязана, защото системите изведнъж спират да работят, често е последната стъпка, а не първата.

Тази последователност е гръбнакът на двойното изнудване: атакуващите крадат данни тихо, след това шифроват файлове, после заплашват да публикуват откраднатите данни публично, ако откупът не бъде платен. Това дава на жертвите две отделни причини да платят и дава на атакуващите лост, дори ако дадена компания може да възстанови системите си от резервни копия, без да плаща за ключ за дешифриране. Тази тактика е станала толкова стандартна, че отсъствието ѝ вече би било изключение, а не правило, и съвпада с отделни констатации за това как тактиките за изнудване се променят, докато откупите достигат рекордно ниски нива, тласкайки групите към по-сурови тактики за натиск, когато жертвите откажат да платят.

Защо ранното откриване сега е най-добрата защита

Тъй като кражбата на данни обикновено се случва много преди шифроването, често има прозорец, понякога дни или седмици, в който компрометирането е в ход, но още не се е превърнало в пълноценна криза. Инфраструктурните модели, идентифицирани в това изследване, дават на защитниците начин да забележат този прозорец: повтарящо се поведение за команден контрол, техники за подготовка и мрежови сигнатури, които се появяват в активност, свързана с INC Ransom, Lynx, MedusaLocker и LockBit.

Това е важно, защото първоначалното проникване все по-често е най-слабото звено, което атакуващите експлоатират. Отделно изследване, отразено на този сайт, установи, че 79% от ransomware инцидентите започват с откраднати идентификационни данни, а не със сложни експлойти. Комбинирайте това с инфраструктура, която се държи предвидимо, след като атакуващите влязат вътре, и се оформя по-ясна картина: повечето ransomware атаки не са неудържими zero-day шедьоври. Те разчитат на откраднат достъп и преизползвани инструменти, като и двете оставят откриваеми следи, ако организациите знаят какво да търсят.

Какво означава това за вас

За ежедневните потребители това изследване е напомняне, че ransomware рядко идва от нищото. Обикновено следва открадната парола, фишинг имейл или изложена точка за отдалечен достъп и обикновено краде данни много преди нещо да бъде заключено или да се появи бележка за откуп. За бизнесите и ИТ екипите изводът е по-директен: наблюдението за инфраструктурните модели, споделени между големите ransomware семейства, може да улови проникване по време на фазата на кражба на данни, преди изобщо да се стигне до шифроване.

За отделните хора практическата защита е същата, каквато винаги е била: уникални пароли, многофакторна автентикация и внимание при неочаквани подкани за вход или искания за идентификационни данни. Ransomware групите зависят от откраднат достъп, за да влязат през вратата, така че затварянето на тази точка за достъп премахва голяма част от предимството им, преди дори по-напредналите инфраструктурни тактики да влязат в игра.

Основни изводи

  • Ransomware групите с различни имена често споделят основна инфраструктура и тактики, което означава, че инструментите за откриване, създадени за една банда, често се прилагат и за други.
  • Кражбата на данни обикновено се случва преди шифроването, създавайки прозорец за откриване, в който защитниците могат да действат.
  • Откраднатите идентификационни данни остават основна входна точка, което прави хигиената на паролите и многофакторната автентикация сред най-ефективните налични защити.
  • Организациите трябва да дават приоритет на наблюдението за ранни признаци на проникване, а не само за финалния, най-видим етап на ransomware.

Разбирането как всъщност работи ransomware инфраструктурата, вместо третирането на всяка атака като изолирано събитие, дава както на отделните хора, така и на организациите по-ясен път към улавяне на заплахите, преди те да ескалират. Информираността за тези споделени модели е един от най-простите начини да останете една крачка напред.