Nová operace typu ransomware jako služba se objevila na undergroundových fórech a přichází s takovou mírou profesionality, jaká se v kyberzločinecké ekonomice stala standardem. Aktér hrozby vystupující pod přezdívkou EclipseSupport aktivně propaguje Eclipse Ransomware, platformu navrženou tak, aby affiliate partnerům umožnila provozovat vyděračské kampaně proti infrastruktuře Windows, Linux a ESXi bez nutnosti vlastních hlubokých technických dovedností.

Na tomto vývoji si zaslouží pozornost nejen samotný malware. Je to obchodní model, který ho obklopuje a který téměř ve všech ohledech napodobuje legitimní produkty typu software jako služba – s výjimkou záměru, který za nimi stojí.

Uvnitř RaaS platformy Eclipse Ransomware

Podle informací o této operaci funguje Eclipse Ransomware jako plně spravovaný affiliate ekosystém. V jeho středu je administrativní webový panel, který operátorům poskytuje centralizovanou kontrolu nad aktivními kampaněmi. Panel podporuje přístup víceuživatelských týmů, což znamená, že affiliate skupiny mohou na operacích spolupracovat, místo aby pracovaly izolovaně, a zahrnuje automatické ověřování plateb, které zjednodušuje výběr plateb výkupného, jakmile se oběti rozhodnou zaplatit.

Protokolování aktivit v reálném čase dává affiliate partnerům i vývojářům platformy přehled o průběhu kampaní, zatímco integrovaný portál LiveChat řeší přímo tu nejnepříjemnější část procesu: vyjednávání s oběťmi. Tento druh vestavěných komunikačních nástrojů se stal charakteristickým znakem moderních ransomware operací, protože umožňuje vyděračským skupinám tlačit na oběti v reálném čase, aniž by se spoléhaly na aplikace třetích stran nebo e-mail.

Vývojáři stojící za Eclipse rovněž spoléhají na dvojité vydírání, taktiku, která se stala výchozí napříč ransomware scénou. Namísto pouhého zašifrování souborů a požadavku na platbu za dešifrovací klíč útočníci nejprve exfiltrují firemní data a vyhrožují jejich zveřejněním, pokud výkupné nebude zaplaceno. To dává obětem dva samostatné důvody, proč zaplatit, i když mají solidní zálohy, které by jim jinak umožnily obnovit data bez placení.

Zaměřením na prostředí Windows, Linux a ESXi se Eclipse staví do pozice, kdy může zasahovat infrastrukturu, na níž stojí většina moderních podnikových sítí. Zejména ESXi je oblíbeným cílem ransomware skupin, protože jediný kompromitovaný hostitel hypervizoru může vést k zašifrování desítek virtuálních strojů najednou, což dramaticky znásobuje škody z jednoho úspěšného průniku.

Proč se RaaS platformy neustále množí

Model RaaS podstatně snižuje překážky vstupu do kyberzločinu. Affiliate partneři si nemusejí od nuly budovat šifrovací nástroje, infrastrukturu pro vyjednávání a platební systémy, ale mohou si pronajmout přístup k zavedené platformě a soustředit se čistě na pronikání do sítí. Vývojáři si na oplátku berou podíl z výnosů, čímž vzniká opakující se příjmový tok, který motivuje k neustálému vývoji funkcí – přesně ten typ dynamiky, který v posledních letech pohání profesionalizaci ransomwaru.

To je součást širšího vzorce, kdy se rychle vyvíjejí i nástroje používané k samotnému kompromitování sítí. Nezáplatované zranitelnosti v široce používaném softwaru zůstávají jedním z nejčastějších vstupních bodů pro ransomware affiliate partnery. Mezi nedávné příklady patří výzkumník, který vypustil další Windows zero-day bez dostupné opravy od dodavatele, a samostatný případ, kdy frustrovaný bezpečnostní výzkumník zveřejnil Windows zero-day nazvaný Legacyhive. Každá nezáplatovaná chyba představuje potenciální dveře přesně pro ten typ affiliate skupin, které mají platformy jako Eclipse podporovat.

Vlastní tempo záplatování Microsoftu ukazuje rozsah výzvy, které obránci čelí. Společnost nedávno vydala rekordních 570 bezpečnostních oprav v jediném vydání Patch Tuesday, včetně oprav aktivně zneužívaných zero-day zranitelností. Tento objem zranitelností, který přichází téměř neustále, poskytuje ransomware affiliate partnerům stálý přísun potenciálních útočných cest, zejména v organizacích, jež mají problém udržovat plány záplatování aktuální napříč rozsáhlými flotilami Windows a Linux.

Co to znamená pro vás

Pokud spravujete IT infrastrukturu, ať už v malé firmě, nebo ve větším podniku, je nástup Eclipse Ransomware připomínkou, že platformy ransomware jako služba snižují útočníkům potřebnou úroveň dovedností a zároveň zvyšují operační sofistikovanost samotných útoků. Affiliate partneři využívající Eclipse nemusejí být vývojáři malwaru; potřebují jen způsob, jak se dostat dovnitř.

Pro jednotlivce je přímé vystavení firemní RaaS platformě, jako je Eclipse, omezené, ale nepřímé dopady nikoli. Ransomware útoky na nemocnice, poskytovatele služeb a firmy, které uchovávají zákaznická data, běžně vedou k tomu, že osobní údaje jsou zveřejněny nebo prodány, pokud nejsou zaplaceny požadavky dvojitého vydírání. To znamená, že data, která jste sdíleli s jakoukoli organizací provozující infrastrukturu Windows, Linux nebo ESXi, mohou skončit zachycena v budoucím incidentu spojeném s touto nebo podobnou platformou.

Praktické kroky, které se vyplatí podniknout

Organizace provozující hostitele ESXi nebo smíšená prostředí Windows a Linux by měly správu záplat považovat za prioritu, nikoli za rutinní úkol, protože nezáplatované systémy zůstávají nejčastějším vstupním bodem pro ransomware affiliate partnery. Stejně důležitá je segmentace sítí, aby jediný kompromitovaný hostitel nemohl přerůst v ovládnutí celého prostředí, zejména u virtualizační infrastruktury, kde jediné narušení hypervizoru může ovlivnit desítky strojů.

Udržování offline, testovaných záloh zůstává jednou z mála spolehlivých obran proti šifrovací stránce těchto útoků, i když neochrání před hrozbou úniku dat, o kterou se dvojité vydírání opírá. Proto je omezování citlivých dat uložených na systémech přístupných z internetu a šifrování toho, co musí být uloženo, stejně důležité jako strategie zálohování.

Pro běžné uživatele je nejlepší obrana nepřímá, ale přesto má smysl: používejte jedinečná hesla napříč službami, zapínejte vícefaktorové ověřování všude, kde je nabízeno, a věnujte pozornost oznámením o úniku dat od společností, s nimiž obchodujete. Platforma Eclipse Ransomware RaaS je novým hráčem na přeplněném poli, ale základy ochrany před jejími nepřímými dopady se nezměnily.