Nový výzkum zkoumající technickou infrastrukturu stojící za několika významnými ransomwarovými operacemi, včetně INC Ransom, Lynx, MedusaLocker a aktivity spojené s LockBit, zjistil, že ačkoli tyto skupiny vystupují pod různými značkami, spoléhají na nápadně podobné útočné vzorce. Tato konzistence je důležitá pro každého, kdo se snaží porozumět ransomwaru, protože znamená, že nástroje a taktiky, které obránci používají k odhalení jedné bandy, často fungují zároveň proti několika dalším.
Sdílená infrastruktura za různými ransomwarovými značkami
O ransomwaru se často píše, jako by každá pojmenovaná skupina byla zcela samostatný zločinecký podnik s vlastní jedinečnou strategií. Realita odhalená tímto výzkumem je chaotičtější a v některých ohledech užitečnější pro obranu. Sledováním infrastruktury, tedy serverů, kanálů command-and-control a systémů pro přípravu útoků, používaných při útocích spojených s INC Ransom, Lynx, MedusaLocker a LockBit, výzkumníci našli opakující se technické otisky napříč údajně nesouvisejícími kampaněmi.
Toto překrývání odráží širší trend již viditelný jinde v ransomwarovém ekosystému. Jak je popsáno v reportáži o tom, jak ransomwarové skupiny dosáhly rekordních 93 aktivních týmů, zločinecké podsvětí se fragmentovalo do velkého počtu pojmenovaných operací, i když se základní techniky, a v některých případech i samotná infrastruktura, znovu používají nebo sdílejí. Přidružení členové ransomwaru jako služby často přecházejí mezi značkami a uniklé nebo znovu prodané sady nástrojů znamenají, že různé „skupiny" mohou pod povrchem vypadat velmi podobně.
Nejprve krást, šifrovat později: Standard dvojitého vydírání
Jedním z nejjasnějších vzorců, které z výzkumu vyplynuly, je načasování. Ještě než vůbec zamknou systémy oběti, většina zkoumaných ransomwarových operací nejprve tiše odcizí citlivá data. Šifrování, tedy část útoku, které si lidé všimnou, protože systémy náhle přestanou fungovat, je často posledním krokem, nikoli prvním.
Toto pořadí je páteří dvojitého vydírání: útočníci tiše ukradnou data, poté zašifrují soubory a pak hrozí veřejným zveřejněním ukradených dat, pokud nebude výkupné zaplaceno. Dává obětem dva samostatné důvody k platbě a dává útočníkům páku, i když společnost dokáže obnovit své systémy ze záloh bez placení za dešifrovací klíč. Tato taktika se stala natolik standardní, že její nepřítomnost by nyní byla výjimkou, nikoli pravidlem, a odpovídá samostatným zjištěním o tom, jak se taktiky vydírání mění, zatímco platby výkupného dosahují rekordních minim, což tlačí skupiny k tvrdším nátlakovým taktikám, když oběti odmítnou zaplatit.
Proč je včasná detekce nyní nejlepší obranou
Protože ke krádeži dat obvykle dochází dávno před šifrováním, často existuje okno, někdy dnů nebo týdnů, kdy probíhá kompromitace, ale ještě se nezvrhla v plnohodnotnou krizi. Vzorce infrastruktury identifikované v tomto výzkumu dávají obráncům způsob, jak toto okno odhalit: opakující se chování command-and-control, techniky přípravy a síťové signatury, které se objevují napříč aktivitami spojenými s INC Ransom, Lynx, MedusaLocker a LockBit.
To je důležité, protože počáteční proniknutí je stále častěji nejslabším článkem, který útočníci zneužívají. Samostatný výzkum pokrytý na tomto webu zjistil, že 79 % ransomwarových incidentů začíná ukradenými přihlašovacími údaji, nikoli sofistikovanými exploaty. Zkombinujte to s infrastrukturou, která se po vniknutí útočníků chová předvídatelně, a vytvoří se jasnější obraz: většina ransomwarových útoků nejsou nezastavitelné mistrovské kousky typu zero-day. Spoléhají na ukradený přístup a znovu použité nástroje, z nichž obojí zanechává detekovatelné stopy, pokud organizace vědí, co hledat.
Co to znamená pro vás
Pro běžné uživatele je tento výzkum připomínkou, že ransomware málokdy přichází z ničeho nic. Obvykle následuje po ukradeném hesle, phishingovém e-mailu nebo vystaveném vzdáleném přístupovém bodu a obvykle krade data dlouho předtím, než se cokoli zamkne nebo se objeví výkupné. Pro firmy a IT týmy je závěr přímější: monitorování vzorců infrastruktury sdílených napříč hlavními ransomwarovými rodinami může zachytit vniknutí během fáze krádeže dat, dříve než vůbec dojde k šifrování.
Pro jednotlivce je praktická obrana stejná jako vždy: jedinečná hesla, vícefaktorové ověřování a opatrnost při nečekaných výzvách k přihlášení nebo žádostech o přihlašovací údaje. Ransomwarové skupiny závisí na ukradeném přístupu, aby se dostaly dovnitř, takže uzavření tohoto přístupového bodu odstraňuje velkou část jejich výhody dříve, než se vůbec dostanou ke slovu pokročilejší infrastrukturní taktiky.
Klíčové poznatky
- Ransomwarové skupiny s různými názvy často sdílejí základní infrastrukturu a taktiky, což znamená, že detekční nástroje vytvořené pro jednu bandu často platí i na ostatní.
- Ke krádeži dat obvykle dochází před šifrováním, což vytváří detekční okno, na které mohou obránci reagovat.
- Ukradené přihlašovací údaje zůstávají hlavním vstupním bodem, což z hygieny hesel a vícefaktorového ověřování činí jedny z nejúčinnějších dostupných obran.
- Organizace by měly upřednostnit monitorování raných známek vniknutí, nejen závěrečné, nejviditelnější fáze ransomwaru.
Pochopení toho, jak ransomwarová infrastruktura skutečně funguje, místo toho, abychom s každým útokem zacházeli jako s izolovanou událostí, dává jednotlivcům i organizacím jasnější cestu k zachycení hrozeb dříve, než eskalují. Zůstat informován o těchto sdílených vzorcích je jeden z nejjednodušších způsobů, jak zůstat o krok napřed.
