Et ransomware-landskab, der ikke holder op med at splintre

En ny ransomware-truselsaktør dukker op hver eneste uge, ifølge en frisk analyse fra cybersikkerhedsfirmaet Black Kite, som rapporteret af Infosecurity Magazine. Forskningen tegner et billede af en afpresningsøkonomi, der ikke bare vokser, men fragmenteres, hvor nye grupper skyder op hurtigere, end forsvarerne kan følge med.

I årevis fokuserede dækningen af ransomware på en håndfuld dominerende navne, mærker der nærmest blev husstandsord i sikkerhedskredse. Black Kites resultater tyder på, at denne model er på retur. I stedet for nogle få store, genkendelige operationer ligner landskabet nu mere en konstant omskiftelig sværm af mindre crews, splintergrupper og rebrands. Hver ny aktør bringer sin egen værktøjskasse, forhandlingstaktikker og mållister, hvilket gør den samlede trussel sværere at forudsige og sværere at forsvare sig imod med statiske blokeringslister eller trusselsinformation fra én enkelt leverandør.

Hvorfor fragmentering betyder noget for hverdagens privatliv

Det er fristende at arkivere ransomware-nyheder under 'forretningsproblem' og komme videre, men konsekvenserne for privatlivet rækker langt ud over de organisationer, der bliver låst ude af deres egne systemer. Moderne ransomware-operationer stopper sjældent ved kryptering. Mange stjæler nu data først og truer med at offentliggøre eller sælge dem, hvilket betyder, at kundeoptegnelser, medarbejderfiler, sygehistorik og finansielle detaljer kan ende med at cirkulere, uanset om der betales løsesum eller ej.

Et fragmenteret økosystem multiplicerer denne risiko på nogle få specifikke måder. For det første betyder flere grupper flere indgangspunkter og mere eksperimenteren med, hvilke brancher og datatyper der er mest profitable at angribe. For det andet har nyere, mindre aktører ofte mindre at tabe omdømmemæssigt, hvilket kan gøre dem mere villige til at lække stjålne data som pressionsmiddel. For det tredje mister forsvarere, der er afhængige af at genkende kendte ransomware-'mærker', en fordel, når mærkerne selv er engangsbrugte og konstant udskiftes.

Slutresultatet er, at almindelige mennesker, hvis personlige oplysninger findes i utallige virksomheds- og institutionsdatabaser, står over for et stadigt voksende sæt af aktører, der kan ende med at besidde deres data. Man behøver ikke at være et direkte mål for et angreb for at blive påvirket af et.

Opdateringsproblemet bag stigningen

En af grundene til, at nye ransomware-aktører kan starte op så hurtigt, er, at den underliggende angrebsflade konstant udvides. Uopdaterede softwaresårbarheder er stadig en af de mest almindelige døre, ransomware-crews går igennem, uanset om de selv har bygget exploit'et eller købt adgang fra en initial adgangsmægler. Omfanget af denne udfordring var fuldt synlig for nylig, da Microsoft patchede rekordhøje 570 fejl i en enkelt opdatering, herunder to zero-days, der allerede blev udnyttet i naturen. Ethvert uopdateret system, der sakker bagud i forhold til den slags opdateringscyklus, er et potentielt fodfæste, som den næste ransomware-gruppe kan gøre krav på.

Dette er en del af grunden til, at Black Kites advarsel betyder mere end det opsigtsvækkende tal. Et fragmenteret, hurtigt bevægeligt ransomware-økosystem trives netop fordi patchhåndtering, legitimationshygiejne og netværkssegmentering halter bagefter hos så mange organisationer. Nye aktører har ikke brug for nye teknikker, når kendte, uopdaterede sårbarheder fortsat virker.

Hvad dette betyder for dig

De fleste læsere vil ikke forhandle direkte med en ransomware-bande, men ringvirkningerne er ægte. Hvis en tjeneste, du bruger, en sundhedsudbyder, en arbejdsgiver eller en onlineforhandler bliver ramt, kan dine personlige data blive fejet med i et læk, uanset dine egne sikkerhedsvaner. Et ransomware-landskab med konstant udskiftning af nye aktører betyder også, at brudmeddelelser oftere kan henvise til ukendte gruppenavne, hvilket kan gøre det sværere at vurdere, hvor alvorlig en given hændelse faktisk er.

Den praktiske respons er den samme, uanset hvilken specifik gruppe der står bag et angreb: Antag, at dine data kan blive eksponeret på et tidspunkt, og tag skridt til at reducere skaden, når det sker.

Praktiske råd

  • Brug unikke, stærke adgangskoder til hver konto, så et brud hos én virksomhed ikke spreder sig til andre.
  • Aktivér multifaktor-godkendelse, hvor det tilbydes, især til e-mail, bank- og sundhedsportaler.
  • Hold operativsystemer og applikationer opdateret straks; uopdateret software er fortsat et primært indgangspunkt for ransomware.
  • Overvåg konti og kreditrapporter for usædvanlig aktivitet, især efter at en organisation, du bruger, afslører en hændelse.
  • Vær skeptisk over for uventede e-mails eller beskeder, der henviser til kontoproblemer, da ransomware-kampagner ofte starter med phishing.

Black Kites advarsel om, at en ny ransomware-truselsaktør dukker op hver uge, er en påmindelse om, at dette ikke er et problem med en slutlinje. Mens ransomware-økosystemet fortsætter med at fragmentere, er det at holde sig informeret og opretholde basal sikkerhedshygiejne fortsat de mest pålidelige forsvar, der er tilgængelige for både enkeltpersoner og organisationer.