Ransomware útok zastaven dříve, než se stihl rozšířit
Microsoft Defender nedávno předvedl, jak rychle dokážou automatizované bezpečnostní nástroje zastavit ransomware útok, když zastavil průnik v QNET za 128 sekund – od okamžiku první detekce až po úplnou izolaci zařízení. Útok začal škodlivým souborem, který zneužil mshta.exe, legitimní systémový nástroj Windows, aby nenápadně stáhl škodlivý payload. Útočníci se odtud pokusili vybudovat trvalou přítomnost, ukrást přihlašovací údaje a pohybovat se po síti. Automatická reakce Defenderu tento proces přerušila dříve, než mohl přerůst v plnohodnotný ransomware incident.
Tento incident je důležitý nejen kvůli rychlosti, ale i proto, že ilustruje širší posun v tom, jak jsou moderní bezpečnostní nástroje navrženy – reagují na hrozby, aniž by musely čekat na zásah lidského analytika.
Jak útok probíhal
Průnik do QNET následoval schéma, které je u ransomwarových kampaní stále běžnější. Namísto nasazení zjevně škodlivého spustitelného souboru útočníci spoléhali na mshta.exe, systémovou binárku Windows, která se normálně používá ke spouštění HTML aplikací. Protože je mshta.exe důvěryhodný, digitálně podepsaný systémový nástroj, dokáže obejít některé tradiční bezpečnostní kontroly zaměřené na neznámé nebo nepodepsané soubory.
Jakmile se škodlivý soubor spustil prostřednictvím mshta.exe, stáhl sekundární payload, jehož cílem bylo poskytnout útočníkům oporu na kompromitovaném zařízení. Následným cílem bylo vybudovat trvalou přítomnost, získat přihlašovací údaje a pokusit se šířit po síti – stejné stavební kameny, jaké vidíme u mnoha ransomwarových operací, které nakonec vedou k rozsáhlému šifrování a vydírání. Krádež přihlašovacích údajů je obzvlášť kritická fáze, protože ukradené přihlašovací informace umožňují útočníkům vydávat se za legitimní uživatele a získat přístup k systémům, které by jinak byly chráněné. Stejná závislost na odcizených údajích se objevila i v dalších nedávných incidentech, včetně kampaně, při níž ruští hackeři napojení na stát zneužili zero-day zranitelnost v Zimbra k odcizení kódů pro dvoufaktorové ověřování – to podtrhuje, jak často je přístup k přihlašovacím údajům tím skutečným cílem, o který útočníkům jde.
Proč záleží na 128sekundové reakci
To, co tento incident odlišilo, nebyla samotná útočná technika, která je dobře zdokumentovaná, ale rychlost, s jakou byla zneškodněna. Funkce automatické izolace zařízení v Microsoft Defenderu detekovala škodlivou aktivitu a odpojila síťovou konektivitu kompromitovaného zařízení zhruba do dvou minut od první výstrahy s vysokou závažností. Tato izolace zabránila útočníkům v laterálním pohybu na další systémy, tedy fázi, kdy operátoři ransomwaru obvykle identifikují cenná data, deaktivují zálohy a připravují se na nasazení šifrovacích payloadů v celém prostředí.
V mnoha případech ransomwaru se okno mezi prvotním kompromitováním a dopadem na celou síť může protáhnout na hodiny, nebo dokonce dny – což dává bezpečnostním týmům čas na vyšetřování, ale zároveň dává útočníkům čas zaháčkovat se hlouběji. Automatická izolace toto okno dramaticky zkracuje. Systém nečeká na analytika, aby zkontroloval výstrahu, zkoreloval ji s dalšími signály a ručně zařízení umístil do karantény; místo toho provede krok k omezení sám v okamžiku, kdy je důvěra v detekci dostatečně vysoká.
Co to znamená pro vás
Pro běžné uživatele a menší organizace bez specializovaného bezpečnostního týmu je tento druh automatické reakce zřejmě cennější než jakékoli jednotlivé vylepšení detekce. Ransomware málokdy uspěje proto, že by útočníci byli nezjistitelní. Uspěje proto, že mezi detekcí a akcí často vzniká prodleva a tato prodleva dává útočníkům prostor se šířit. Nástroje, které automaticky izolují kompromitované zařízení, tento prostor zmenšují téměř na nulu.
Zároveň to posiluje bod, který se v souvislosti s ransomwarem často ztrácí: prevence je důležitá, ale stejně tak je důležité omezit rozsah škod, když prevence selže. Žádný systém není dokonale imunní vůči chytře maskovanému škodlivému souboru, obzvlášť když zneužívá důvěryhodný nástroj Windows, jako je mshta.exe. To, co odděluje zvládnutý incident od nákladného úniku, je často rychlost, s jakou je kompromitované zařízení odstřiženo od všeho ostatního.
Pro jednotlivce je praktické ponaučení méně o konkrétním nástroji a více o hodnotě ochrany koncových bodů, která zahrnuje schopnosti automatické reakce, ne jen detekci a upozornění. Pokud spravujete zařízení pro malou firmu nebo domácí síť, hledejte bezpečnostní software, který dokáže zařízení izolovat sám, namísto spoléhání se pouze na notifikace, na které pak musí někdo reagovat.
Praktické závěry
Udržujte ochranu koncových bodů a operační systémy plně aktualizované, protože útočníci často spoléhají na zastaralou obranu, aby protlačili škodlivé soubory přes detekci. Buďte opatrní u neočekávaných stažených souborů nebo e-mailových příloh – prvotní přístup v případech, jako je tento, často začíná jediným škodlivým souborem. Kde je to možné, používejte bezpečnostní nástroje, které nabízejí automatickou izolaci nebo kontejnment, spíše než monitorování pouze s upozorněním. A nakonec, berte krádež přihlašovacích údajů jako riziko nejvyšší priority: všude, kde je to možné, zapněte vícefaktorové ověřování a sledujte neobvyklé přihlašovací aktivity – ukradené přihlašovací údaje zůstávají jednou z nejčastějších cest, kterou útočníci používají k rozšíření přístupu, jakmile se dostanou dovnitř sítě.
Případ QNET je užitečnou připomínkou, že rychlost reakce může být stejně důležitá jako síla prvotní obrany. S tím, jak se taktiky ransomwaru dále vyvíjejí, organizace i jednotlivci, kteří budou nejlépe připraveni vyhnout se vážným škodám, budou ti, jejichž nástroje dokážou jednat v řádu sekund, nikoli hodin.
