Hvilke ransomware-grupper driver de øgede angreb på SMV’er?

To ransomware-as-a-service-operationer, Qilin og The Gentlemen, konkurrerer om dominans og retter sig begge aktivt mod små og mellemstore virksomheder.

Hvorfor bliver små og mellemstore virksomheder et primært mål for disse ransomware-bander?

Konkurrencen presser begge bander til at bevæge sig hurtigere og satse på lettere mål, og SMV’er passer ind i den profil, da de typisk har slankere it-teams, ældre infrastruktur og færre forsvarsværker.

Hvad gør angriberne, efter at de først er brudt ind i et netværk?

De bevæger sig sidelæns, eskalerer privilegier og lokaliserer backupsystemer, før de udløser krypteringsnyttelasten – og stjæler ofte data sideløbende for at skabe endnu en afpresningsløftestang.

Hvilket yderligere pres anvender ransomware-bander ud over kryptering af filer?

De stjæler data før kryptering og truer med at offentliggøre dem på et lækagested, som det sås i World Leaks Mediaworks-bruddet, hvilket giver dem en ekstra måde at presse ofre til at betale.

Qilin og The Gentlemen: Ransomware-bander optrapper angreb på SMV’er

Q: Hvordan opnår Qilin og The Gentlemen oftest indledende adgang til et offers netværk?

De er afhængige af banale svagheder som eksponerede fjernadgangspunkter, stjålne eller genbrugte legitimationsoplysninger, upatchede software og phishing-e-mails, der narrer medarbejdere til at udlevere deres login.

Ransomware-angreb mod små virksomheder har taget en skarp drejning til det værre. To cyberkriminelle operationer, kendt som Qilin og The Gentlemen, kæmper angiveligt om dominans inden for ransomware-as-a-service, og små og mellemstore virksomheder (SMV’er) er fanget i krydsilden. I stedet for en enkelt dominerende bande, der afpresser ofre, følger sikkerhedsforskere nu to aggressive operationer, der kapløber om at kompromittere netværk, stjæle data og kræve betaling – ofte fra organisationer, der har mindst råd til forstyrrelsen.

Denne rivalisering betyder noget, fordi den ændrer incitamentsstrukturen for angriberne. Når to grupper konkurrerer om markedsandele i ransomware-økonomien, har begge grund til at bevæge sig hurtigere, kaste et bredere net og satse på lettere mål frem for at holde ud efter den størst mulige gevinst. SMV’er, der typisk har slankere it-teams og ældre infrastruktur, passer perfekt ind i den profil.

Hvorfor Qilin og The Gentlemen går efter SMV’er

Store virksomheder investerer ofte massivt i detektionsværktøjer, dedikeret sikkerhedspersonale og beredskabsaftaler. Mindre virksomheder har som regel ikke den luksus. En ransomware-operatør, der overvejer, hvor de skal bruge begrænset tid og ressourcer, vælger ofte den vej, der byder på mindst modstand, og den vej fører i stigende grad til SMV’er.

Konkurrencen mellem bander som Qilin og The Gentlemen ser ud til at accelerere denne tendens. Når affilierede inden for en ransomware-as-a-service-model motiveres til at ramme så mange ofre som muligt, drages de mod organisationer med færre forsvarsværker og mindre kapacitet til at forhandle eller genoprette selvstændigt. Resultatet er en volumenbaseret tilgang, hvor SMV’er bliver standardmålet snarere end en eftertanke.

Sådan får disse ransomware-bander indledende adgang

Ransomware-operatører har sjældent brug for at skrive sofistikeret, skræddersyet malware for at bryde ind. I de fleste kampagner, der spores på tværs af branchen, stammer den indledende adgang fra langt mere banale svagheder: eksponerede eller dårligt sikrede fjernadgangspunkter, stjålne eller genbrugte legitimationsoplysninger, upatchede software og phishing-e-mails, der narrer en medarbejder til at udlevere et login.

Når de først er inde, bevæger angriberne sig typisk sidelæns gennem netværket, eskalerer privilegier og lokaliserer backupsystemer, før de udløser den egentlige krypteringsnyttelast. Hvis backups er tilgængelige fra det samme kompromitterede netværk, eller hvis fjernskrivebord og VPN-adgang ikke er stramt kontrolleret, har angriberne alt, hvad de behøver for at lamme driften og kræve betaling. Datatyveri sker ofte sideløbende, hvilket giver banderne en anden løftestang: betal, eller se dine stjålne filer offentliggjort. World Leaks Mediaworks-bruddet illustrerer præcis, hvor ødelæggende det andet trin kan være, når stjålne data ender på et lækagested, hvor alle kan downloade dem.

Den reelle pris ved et ransomware-angreb på en lille virksomhed

For en stor virksomhed er en ransomware-hændelse smertefuld, men overlevelig. For en lille virksomhed kan den være eksistentielt truende. Nedetid under genopretning betyder tabt omsætning uden nogen pude til at absorbere tabet. Kundetillid svinder hurtigt, når løndata, kunderegistre eller helbredsoplysninger eksponeres. Juridiske og regulatoriske forpligtelser gælder stadig uanset virksomhedens størrelse, og omkostningerne til retsmedicinsk undersøgelse, systemgenopbygning og en eventuel betaling af løsesum kan tømme de kontantreserver, som mange SMV’er er afhængige af for at holde sig oven vande.

Rivaliseringen mellem Qilin og The Gentlemen tilfører en særlig hastende karakter her. Når grupper konkurrerer på hastighed og volumen snarere end selektivitet, modbevises antagelsen om, at man er for lille til at være angriberens tid værd, i stigende grad.

Lagdelt forsvar: VPN’er, backups og adgangskontroller, der rent faktisk hjælper

SMV’er har ikke brug for budgetter i virksomhedsstørrelse for at reducere risikoen meningsfuldt, men de skal lukke de huller, som angriberne er mest afhængige af.

Sikr fjernadgang. Hvis medarbejdere eller kontraktansatte opretter forbindelse eksternt, bør den adgang ske via en korrekt konfigureret VPN eller et zero-trust-adgangsværktøj med multifaktorgodkendelse aktiveret – ikke en eksponeret fjernskrivebordsport, der står åben mod internettet.
Isolér og test backups. Backups, der opbevares på samme netværk som produktionssystemerne, er en belastning, ikke et sikkerhedsnet. Offline eller uforanderlige backups, der regelmæssigt testes for gendannelse, er det, der rent faktisk sætter en virksomhed i stand til at komme sig uden at betale løsesum.
Begræns privilegeret adgang. Ikke alle medarbejdere har brug for administratorrettigheder. Begrænset adgang reducerer, hvor langt en angriber kan bevæge sig, når de først har fået fodfæste.
Patch konsekvent. Mange ransomware-indtrængninger udnytter kendte sårbarheder, der allerede har tilgængelige rettelser. En regelmæssig patchningskadence lukker døre, som angribere aktivt scanner efter.

Hvad det betyder for dig

Hvis du driver eller administrerer it for en lille virksomhed, er rivaliseringen mellem Qilin og The Gentlemen en påmindelse om, at ransomware-grupper aktivt jager organisationer præcis som din. At antage, at man er for lille til at tiltrække sig opmærksomhed, er ikke længere en sikker strategi. De virksomheder, der kommer sig hurtigst efter ransomware-hændelser, er næsten altid dem, der havde offline backups, begrænset adgangskontrol og sikrede fjernforbindelser på plads allerede før angrebet – ikke efter.

Vigtigste pointer

Ransomware-angreb mod små virksomheder intensiveres, i takt med at rivaliserende bander kæmper om mål og hastighed.
Svag fjernadgang og dårlig legitimationshygiejne forbliver de mest almindelige indgangspunkter.
Offline, testede backups er den mest pålidelige måde at undgå at betale en løsesum.
Begrænsning af privilegeret adgang sænker angriberne, selv efter et brud er sket.
Datatyveri ledsager ofte kryptering, hvilket betyder, at proaktiv sikkerhed er vigtig, selv hvis du aldrig planlægger at betale en løsesum.

At holde sig foran ransomware-angreb mod små virksomheder kræver ikke et massivt sikkerhedsbudget. Det kræver, at man lukker de grundlæggende huller, som bander som Qilin og The Gentlemen aktivt udnytter lige nu.