С години типичната представа за ransomware беше тази за криптирани файлове и бележка за откуп на екрана. Нова тактика, описана от PortalGeek, променя този сценарий: ransomware без криптиране living off the land блокира корпоративни мрежи, без да криптира нито един файл, разчитайки на собствените инструменти на организацията. Резултатът остава същият — спряна компания, но пътят дотам е по-труден за откриване.

Тази статия обяснява как работи, защо е толкова неуловима и какво трябва да прегледат както компаниите, така и хората, които работят от вкъщи.

Как работи ransomware без криптиране

Според публикуваната информация тази тактика парализира оперативната дейност на корпоративна мрежа, без да прибягва до криптиране на файлове, което е това, което обикновено следят много защити. Вместо да разгръща силно видим зловреден софтуер, атакуващият се възползва от помощни програми, които вече съществуват в средата: инструменти за администриране като PowerShell и софтуер за отдалечен достъп.

Този подход е известен като „living off the land“ (живеене от земята): натрапникът използва това, което вече е инсталирано. Без да криптира данни, той може да прекъсне услуги, да блокира достъп или да направи системи неизползваеми, а въздействието върху непрекъснатостта на бизнеса е също толкова сериозно. За една компания невъзможността да работи е основният проблем, независимо дали файловете ѝ са криптирани, или не.

Защо използването на легитимни инструменти затруднява откриването

Ключът е в това, че нищо от изпълняваното от атакуващия не изглежда на пръв поглед странно. PowerShell се използва ежедневно от системните администратори, а софтуерът за отдалечен достъп е обичайна част от техническата поддръжка. Ако атакуващ с валидни идентификационни данни стартира същите тези инструменти, дейността му може да бъде объркана с рутинна работа.

Това има няколко практически последици:

  • По-малко класически сигнали. Антивирусна програма, която търси известни зловредни файлове, има малко за блокиране, когато се използват легитимни програми.
  • Фокусът се измества към идентификационните данни. Ако достъпът е валиден, въпросът вече не е „какъв софтуер е това?“, а „кой го използва и откъде?“.
  • По-голямо значение на поведението. Откриването на необичайно използване на инструмент (в странен час, от неочаквано устройство) става по-полезно от откриването на конкретен файл.

Това не е заплаха, която се решава с един единствен продукт. Изисква слоеве: контрол на достъпа, видимост и способност за възстановяване.

Какво означава за телеработата и домашните мрежи

Корпоративната мрежа не свършва в офиса. Всеки лаптоп, който се свързва от вкъщи, всеки инструмент за отдалечен достъп и всяка преизползвана парола разширяват повърхността, през която може да влезе атакуващ. Ако методът зависи от използването на легитимни достъпи, идентификационните данни на работещите от разстояние се превръщат в особено ценна врата.

На практика сигурността на домашната мрежа влияе върху тази на компанията:

  • Рутер с фабрична парола или с неактуализиран фърмуер е слабо място.
  • Повтаряща се парола между лични и корпоративни услуги улеснява това чужда изтекла информация в крайна сметка да засегне работата.
  • Инсталирана и забравена програма за отдалечен достъп или такава без засилена автентикация предлага директен път към устройството.

Общият контекст също е важен. Както отбелязахме в нашия анализ за увеличаването на жертвите на ransomware в Испания и кражбата на данни с ИИ, заплахата продължава да расте и засяга както организациите, така и хората, които са свързани с тях.

Практически мерки: MFA, минимални привилегии, мониторинг и резервни копия

Нито една от тези мерки не е нова, но заедно те значително намаляват свободата за действие на онзи, който се опитва да злоупотреби с легитимни инструменти.

  1. Многофакторна автентикация (MFA). Активирайте я в имейла, в корпоративните VPN, в отдалечения работен плот и във всеки административен панел. Ако парола изтече, MFA добавя важна пречка.
  2. Минимални привилегии. Всяка сметка трябва да има само правата, които ѝ трябват. Ако обикновен потребител не се нуждае от изпълнение на PowerShell с повишени права, по-добре е да се ограничи.
  3. Контрол на софтуера за отдалечен достъп. Поддържайте инвентар на това кои инструменти са разрешени и премахвайте неизползваните.
  4. Мониторинг на поведението. Записвайте и преглеждайте дейността на административните инструменти и задайте сигнали при необичайна употреба.
  5. Изолирани и тествани резервни копия. Съхранявайте копия, отделени от основната мрежа, и проверявайте дали могат да бъдат възстановени. Ако блокирани са системи, а не само файлове, е добре да имате и документиран план за възстановяване.
  6. Домашна хигиена. Сменете идентификационните данни на рутера, актуализирайте фърмуера му, използвайте уникални пароли с мениджър и поддържайте операционната система актуална.

Заключение: прегледайте конфигурацията си, преди това да направи атакуващ

Ransomware без криптиране living off the land напомня, че опасността не винаги идва под формата на подозрителен файл. Понякога идва с валидна сметка и инструменти, които вече са на вашето устройство. Затова защитата минава през защита на идентификационните данни, ограничаване на правата, наблюдение на поведението и осигуряване на възможност за възстановяване.

Отделете няколко минути тази седмица, за да прегледате конфигурацията си за отдалечена работа: активиран ли е MFA в ключовите ви сметки? Сменили ли сте администраторската парола на рутера си? Изолирани ли са резервните ви копия и тествали ли сте ги? За да разберете по-добре мащаба на проблема, можете да се обърнете към нашата статия за тенденциите на ransomware в Испания.