Ny forskning, der undersøger den tekniske infrastruktur bag flere større ransomware-operationer, herunder INC Ransom, Lynx, MedusaLocker og LockBit-relateret aktivitet, har fundet, at disse grupper på trods af at operere under forskellige navne er afhængige af slående ens angrebsmønstre. Denne ensartethed er vigtig for alle, der forsøger at forstå ransomware, fordi det betyder, at de værktøjer og taktikker, som forsvarere bruger til at fange én bande, ofte også virker mod flere andre på samme tid.

Delt infrastruktur bag forskellige ransomware-navne

Ransomware bliver ofte dækket, som om hver navngiven gruppe er en fuldstændig separat kriminel virksomhed med sin egen unikke fremgangsmåde. Virkeligheden, som denne forskning afdækker, er mere rodet og på nogle måder mere nyttig for forsvar. Ved at spore den infrastruktur, altså de servere, command-and-control-kanaler og staging-systemer, der bruges i angreb knyttet til INC Ransom, Lynx, MedusaLocker og LockBit, fandt forskerne tilbagevendende tekniske fingeraftryk på tværs af angiveligt uafhængige kampagner.

Dette overlap afspejler en bredere tendens, der allerede er synlig andre steder i ransomware-økosystemet. Som dækket i rapporteringen om, hvordan ransomware-grupper nåede et rekordhøjt antal på 93 aktive grupper, er undergrunden fragmenteret i et stort antal navngivne operationer, selvom kerneteknikker, og i nogle tilfælde selve infrastrukturen, genbruges eller deles. Ransomware-as-a-service-affiliates bevæger sig hyppigt mellem brands, og lækkede eller videresolgte værktøjssæt betyder, at forskellige "grupper" kan ende med at ligne hinanden meget under overfladen.

Stjæl først, krypter bagefter: Dobbelt-afpresning som standard

Et af de tydeligste mønstre, der fremkommer af forskningen, er timing. Før de overhovedet låser en victims systemer, eksfiltrerer de fleste undersøgte ransomware-operationer først følsomme data i al stilhed. Kryptering, den del af angrebet, der bliver bemærket, fordi systemer pludselig holder op med at virke, er ofte det sidste skridt snarere end det første.

Denne rækkefølge er rygraden i dobbelt afpresning: angribere stjæler data i stilhed, krypterer derefter filer og truer til sidst med at lække de stjålne data offentligt, hvis løsesummen ikke betales. Det giver ofrene to separate grunde til at betale og giver angriberne løftestang, selv hvis en virksomhed kan gendanne sine systemer fra backup uden at betale for en dekrypteringsnøgle. Denne taktik er blevet så standard, at dens fravær nu ville være undtagelsen snarere end reglen, og den stemmer overens med separate fund om, hvordan afpresningstaktikker ændrer sig, efterhånden som løsesumbetalinger rammer rekordlave niveauer, hvilket presser grupper mod hårdere pressionsmetoder, når ofre nægter at betale.

Hvorfor tidlig opdagelse nu er det bedste forsvar

Fordi datatyveri typisk sker længe før kryptering, er der ofte et vindue, nogle gange dage eller uger, hvor et kompromittering er i gang, men endnu ikke er blevet til en fuldblown krise. De infrastrukturmønstre, der identificeres i denne forskning, giver forsvarere en måde at opdage dette vindue på: tilbagevendende command-and-control-adfærd, staging-teknikker og netværkssignaturer, der dukker op på tværs af INC Ransom, Lynx, MedusaLocker og LockBit-relateret aktivitet.

Dette er vigtigt, fordi det indledende indbrud i stigende grad er det svageste led, som angribere udnytter. Separat forskning dækket på dette site fandt, at 79 % af ransomware-hændelser starter med stjålne legitimationsoplysninger snarere end sofistikerede exploits. Kombiner det med infrastruktur, der opfører sig forudsigeligt, når angribere først er inde, og et klarere billede tegner sig: de fleste ransomware-angreb er ikke ustopbare zero-day-mesterværker. De er afhængige af stjålen adgang og genbrugt værktøj, hvoraf begge efterlader sporbare spor, hvis organisationer ved, hvad de skal lede efter.

Hvad dette betyder for dig

For almindelige brugere er denne forskning en påmindelse om, at ransomware sjældent kommer ud af ingenting. Det følger normalt efter en stjålen adgangskode, en phishing-e-mail eller et eksponeret fjernadgangspunkt, og det stjæler normalt data længe før, noget bliver låst, eller en løsesum-seddel dukker op. For virksomheder og IT-teams er konklusionen mere direkte: overvågning for de infrastrukturmønstre, der deles på tværs af større ransomware-familier, kan fange en intrusion i datatyverifasen, før kryptering overhovedet finder sted.

For enkeltpersoner er det praktiske forsvar det samme, som det altid har været: unikke adgangskoder, multifaktor-godkendelse og forsigtighed omkring uventede login-prompts eller anmodninger om legitimationsoplysninger. Ransomware-grupper er afhængige af stjålen adgang for at komme ind ad døren, så ved at lukke det adgangspunkt fjerner man meget af deres fordel, før de mere avancerede infrastrukturtaktikker overhovedet kommer i spil.

Vigtige pointer

  • Ransomware-grupper med forskellige navne deler ofte underliggende infrastruktur og taktikker, hvilket betyder, at detektionsværktøjer bygget til én bande ofte kan anvendes på andre.
  • Datatyveri sker typisk før kryptering, hvilket skaber et detektionsvindue, som forsvarere kan handle på.
  • Stjålne legitimationsoplysninger er fortsat et af de mest benyttede indgangspunkter, hvilket gør adgangskodehygiejne og multifaktor-godkendelse til nogle af de mest effektive forsvar, der er tilgængelige.
  • Organisationer bør prioritere overvågning af tidlige tegn på intrusion, ikke kun ransomwarens sidste, mest synlige fase.

At forstå, hvordan ransomware-infrastruktur faktisk fungerer, i stedet for at behandle hvert angreb som en isoleret hændelse, giver både enkeltpersoner og organisationer en klarere vej til at fange trusler, før de eskalerer. At holde sig informeret om disse delte mønstre er en af de enkleste måder at være et skridt foran.