En ny ransomware-as-a-service-operation er dukket op på undergrundsfora, og den kommer med den professionalisme, der er blevet standard i cyberkriminalitetsøkonomien. Trusselsaktøren, der opererer under kaldenavnet EclipseSupport, markedsfører aktivt Eclipse Ransomware, en platform bygget til at lade affiliates køre afpresningskampagner mod Windows-, Linux- og ESXi-infrastruktur uden selv at have brug for dyb teknisk viden.
Det, der gør denne udvikling værd at holde øje med, er ikke kun malwaren i sig selv. Det er forretningsmodellen omkring den, en model der spejler legitime software-as-a-service-produkter på næsten alle områder undtagen intentionen bag dem.
Inde i Eclipse Ransomware RaaS-platformen
Ifølge rapporteringen om operationen fungerer Eclipse Ransomware som et fuldt administreret affiliate-økosystem. I centrum af det ligger et administrativt webpanel, der giver operatører centraliseret kontrol over aktive kampagner. Panelet understøtter flerbruger-teammadgang, hvilket betyder, at affiliate-grupper kan samarbejde om operationer i stedet for at arbejde isoleret, og det omfatter automatisk betalingsvalidering for at strømline indsamlingen af løsepenge, når ofrene beslutter sig for at betale.
Aktivitetslogning i realtid giver affiliates og platformens udviklere indsigt i, hvordan kampagnerne skrider frem, mens en integreret LiveChat-portal håndterer den mest ubehagelige del af processen direkte: forhandling med ofrene. Denne form for indbygget kommunikationsværktøj er blevet et kendetegn for moderne ransomware-operationer, da den giver afpresningsgrupper mulighed for at lægge pres på ofrene i realtid uden at være afhængige af tredjeparts beskedapps eller e-mail.
Udviklerne bag Eclipse støtter sig også til dobbelt afpresning, en taktik der er blevet standard på tværs af ransomware-landskabet. I stedet for blot at kryptere filer og kræve betaling for en dekrypteringsnøgle eksfiltrerer angriberne først virksomhedsdata og truer med at offentliggøre dem, hvis løsesummen ikke betales. Det giver ofrene to separate grunde til at efterkomme kravet, selv hvis de har solide backups, der ellers ville give dem mulighed for at gendanne data uden at betale.
Ved specifikt at målrette Windows-, Linux- og ESXi-miljøer positionerer Eclipse sig til at ramme den infrastruktur, der understøtter de fleste moderne virksomhedsnetværk. Især ESXi er et populært mål for ransomware-grupper, fordi en enkelt kompromitteret hypervisor-vært kan føre til kryptering af snesevis af virtuelle maskiner på én gang, hvilket dramatisk forstærker skaden fra et enkelt vellykket indbrud.
Hvorfor RaaS-platforme bliver ved med at dukke op
RaaS-modellen sænker adgangsbarrieren til cyberkriminalitet betydeligt. I stedet for at skulle bygge krypteringsværktøjer, forhandlingsinfrastruktur og betalingssystemer fra bunden kan affiliates leje adgang til en etableret platform og fokusere udelukkende på at bryde ind i netværk. Udviklerne tager til gengæld en del af udbyttet, hvilket skaber en tilbagevendende indtægtsstrøm, der tilskynder til løbende funktionsudvikling – præcis den dynamik, der har drevet professionaliseringen af ransomware gennem de seneste flere år.
Dette er en del af et bredere mønster, hvor de værktøjer, der bruges til at kompromittere netværk i første omgang, også udvikler sig hurtigt. Uoprettede sårbarheder i udbredt software er fortsat et af de mest almindelige indgangspunkter for ransomware-affiliates. Nylige eksempler omfatter en forsker, der frigav endnu et Windows zero-day uden nogen tilgængelig leverandøropdatering, og et separat tilfælde, hvor et Windows zero-day kaldet Legacyhive blev lækket af en frustreret sikkerhedsforsker. Hver uoprettet fejl repræsenterer en potentiel dør for præcis den slags affiliate-grupper, som platforme som Eclipse er designet til at understøtte.
Microsofts egen patchkadence understreger omfanget af den udfordring, forsvarerne står over for. Virksomheden udsendte for nylig rekordmange 570 sikkerhedsrettelser i en enkelt Patch Tuesday-udgivelse, herunder rettelser til aktivt udnyttede zero-days. Den mængde sårbarheder, der ankommer næsten konstant, giver ransomware-affiliates en stabil forsyning af potentielle angrebsveje, især i organisationer, der har svært ved at holde patchplanerne ajour på tværs af store Windows- og Linux-maskinparker.
Hvad det betyder for dig
Hvis du administrerer it-infrastruktur, hvad enten det er i en mindre virksomhed eller en større organisation, er fremkomsten af Eclipse Ransomware en påmindelse om, at ransomware-as-a-service-platforme sænker færdighedstærsklen for angribere, mens de hæver den operationelle sofistikering af selve angrebene. Affiliates, der bruger Eclipse, behøver ikke at være malwareudviklere; de har blot brug for en vej ind.
For privatpersoner er den direkte eksponering mod en virksomheds-RaaS-platform som Eclipse begrænset, men ringvirkningerne er det ikke. Ransomware-angreb mod hospitaler, tjenesteudbydere og virksomheder, der opbevarer kundedata, fører rutinemæssigt til, at personlige oplysninger offentliggøres eller sælges, når krav om dobbelt afpresning ikke betales. Det betyder, at de data, du har delt med en hvilken som helst organisation, der kører Windows-, Linux- eller ESXi-infrastruktur, kan ende med at blive fanget i en fremtidig hændelse knyttet til denne eller en lignende platform.
Praktiske skridt, der er værd at tage
Organisationer, der kører ESXi-værter eller blandede Windows- og Linux-miljøer, bør behandle patchhåndtering som en prioritet snarere end en rutineopgave, da uoprettede systemer fortsat er det mest almindelige indgangspunkt for ransomware-affiliates. At segmentere netværk, så en enkelt kompromitteret vært ikke kan udvikle sig til en fuld overtagelse af miljøet, er lige så vigtigt, især for virtualiseringsinfrastruktur, hvor ét hypervisor-brud kan påvirke snesevis af maskiner.
At opretholde offline, testede backups forbliver et af de få pålidelige forsvar mod krypteringssiden af disse angreb, selvom det ikke beskytter mod den datalækagetrussel, som dobbelt afpresning er afhængig af. Derfor betyder det lige så meget som backupstrategien at begrænse de følsomme data, der opbevares på internetvendte systemer, og at kryptere det, der skal opbevares.
For almindelige brugere er det bedste forsvar indirekte, men stadig meningsfuldt: Brug unikke adgangskoder på tværs af tjenester, aktivér flerfaktorgodkendelse, hvor det tilbydes, og vær opmærksom på brudmeddelelser fra virksomheder, du handler med. Eclipse Ransomware RaaS-platformen er en ny aktør på et overfyldt felt, men grundprincipperne for at beskytte sig mod dens afledte virkninger har ikke ændret sig.
