Ransomwarové gangy nyní šifrují stolená data, aby se vyhnuly odhalení

Ransomwarové gangy šifrují stolená data, než opustí síť

Ransomware se vždy spoléhal na rychlost a utajení, ale útočníci obojí zdokonalují. Nejnovější posun zahrnuje šifrovaný exfiltraci ransomwarových dat: místo tichého kopírování souborů z viktimovy sítě před zraky bezpečnostních nástrojů nyní gangy obalují stolená data do šifrování ještě předtím, než vůbec opustí budovu. Výsledkem je krádež, která se pro mnohé monitorovací systémy jeví jako běžný šifrovaný provoz, nikoli jako vloupání.

To je důležité, protože krádež dat se stala páteří moderního ransomwarového vydírání. Útočníci již jen neuzamknou soubory a nepožadují platbu za dešifrovací klíč. Mnozí nyní nejprve ukradnou citlivá data a hrozí jejich veřejným zveřejněním, pokud nebude zaplaceno výkupné, což je taktika známá jako dvojité vydírání. Šifrování těchto stolených dat při jejich odchodu ze sítě přidává útočníkovi další vrstvu ochrany, což ztěžuje obráncům odhalit krádež v okamžiku, kdy probíhá, nejen po tom, co je škoda napáchána.

Proč šifrování ztěžuje odhalení exfiltrace

Tradiční síťové a koncové bezpečnostní nástroje jsou navrženy tak, aby zkoumaly provoz na vzory, které vypadají podezřele: neobvyklé přenosy souborů, připojení ke známým škodlivým serverům nebo velké objemy dat směřujících na neznámá místa. Když jsou tato data zašifrována ještě předtím, než opustí síť, bezpečnostní nástroje často nedokážou rozlišit mezi legitimní šifrovanou zálohou, synchronizací s cloudem nebo zločincem odsávajícím zákaznické záznamy a finanční dokumenty.

To je základní problém šifrované exfiltrace: nejenže skrývá obsah toho, co je kradeno, ale může také maskovat samotný akt krádeže. Bezpečnostní týmy, které se silně spoléhají na kontrolu obsahu nebo detekci založenou na signaturách, zůstávají při pohledu na šifrované bloky, které nabízejí jen málo vodítek o tom, co je uvnitř nebo kam skutečně směřují. To nutí obránce přesunout pozornost k behaviorálním signálům, jako je neobvyklé načasování, neočekávaná cílová místa nebo abnormální objemy dat, místo snahy číst obsah samotného provozu.

Eskalující hra na kočku a myš

Tento vývoj je nejlépe chápat jako součást probíhajícího vzájemného soupeření mezi útočníky a obránci. Jak se organizace zlepšovaly v detekci ransomwarového šifrování na interních systémech a identifikaci známých podpisů malwaru, útočníci se přizpůsobili změnou způsobu a načasování šifrování dat. Přesunutí šifrování dříve v útočném řetězci, do fáze exfiltrace namísto pouze konečného uzamčení souborů, je přímou reakcí na zlepšené detekční schopnosti.

Je to vzorec, který se objevuje v ransomwarových operacích obecněji. Taktiky vydírání se také staly agresivnějšími a personalizovanějšími, včetně zpráv o gangách používajících AI k intenzivnějšímu tlaku na oběti, aby rychle zaplatily. Šifrovaná exfiltrace a kampaně tlaku řízené AI odrážejí stejný základní trend: ransomwarové skupiny profesionalizují své operace a považují technické vyhýbání se a psychologickou páku za dvě strany stejné strategie vydírání. Jak obránci uzavřou jednu mezeru, útočníci otevřou další a cyklus pokračuje.

Co to znamená pro vás

Pro většinu jednotlivců se tento posun projevuje nepřímo. Pokud je společnost, se kterou obchodujete, zasažena ransomwarovou skupinou používající šifrovanou exfiltraci, může být narušení odhaleno déle, což znamená, že vaše osobní data mohou být vystavena delší dobu, než si někdo všimne nebo informuje postižené zákazníky. Opožděná detekce také obvykle znamená opožděné zveřejnění, takže lidé se mohou dozvědět, že jejich informace byly ukradeny, až dlouho po skutečnosti.

Pro organizace je poselství jasnější: detekční strategie postavené výhradně na kontrole obsahu souborů nebo porovnávání známých podpisů malwaru již nestačí. Bezpečnostní týmy musí věnovat větší pozornost behaviorálním anomáliím, jako jsou neočekávaná odchozí připojení, neobvyklé objemy dat v podivných hodinách nebo provoz na místa, která neodpovídají běžným obchodním operacím. Segmentace sítě, přísné kontroly přístupu a monitorování abnormální šifrovací aktivity se všechny stávají důležitějšími, když je samotný obsah exfiltrovaných dat skryt před dohledem.

Praktické kroky ke snížení expozice

Přestože je šifrovaná exfiltrace technickou výzvou, kterou nejlépe řeší bezpečnostní týmy, existují kroky, které mohou organizace i jednotlivci podniknout k omezení expozice:

• Organizace by měly investovat do monitorování založeného na chování, místo aby se spoléhaly pouze na kontrolu obsahu, protože šifrovaný provoz může maskovat to, co je skutečně kradeno.
• Omezení toho, kdo má přístup k citlivým datům, snižuje množství, které může útočník exfiltrovat, i když získá oporu v síti.
• Pravidelné testování plánů reakce na incidenty pomáhá zajistit rychlejší detekci a omezení, i když útočníci používají techniky navržené k oddálení odhalení.
• Jednotlivci by měli předpokládat, že oznámení o narušení mohou dorazit později než v minulosti, a měli by proaktivně monitorovat účty a úvěrové zprávy, místo aby čekali, až se společnost ozve.
• Zůstat informován o tom, jak se taktiky vydírání vyvíjejí, včetně rostoucího používání AI k tlaku na oběti, může pomoci organizacím i jednotlivcům lépe předvídat, jak může ransomwarový incident vypadat dnes ve srovnání s několika lety zpět.

Šifrovaná exfiltrace ransomwarových dat je dalším připomenutím, že kyberzločinci se neustále přizpůsobují zlepšením v obraně. Dobrou zprávou je, že povědomí o těchto taktikách pomáhá organizacím přehodnotit jejich detekční strategie a pomáhá jednotlivcům zůstat ve střehu vůči realitě, že narušení nemusí vyplout na povrch tak rychle jako dříve. Zůstat informován a proaktivní zůstává jednou z nejúčinnějších dostupných obran, jak pro bezpečnostní týmy, tak pro lidi, jejichž data chrání.