I årevis var det typiske billede af ransomware krypterede filer og en løsesumsnote på skærmen. En ny taktik beskrevet af PortalGeek ændrer det manuskript: ransomware uden kryptering living off the land blokerer virksomhedsnetværk uden at kryptere en eneste fil, ved at læne sig op ad organisationens egne værktøjer. Resultatet er stadig det samme, en lammet virksomhed, men vejen derhen er sværere at opdage.

Denne artikel forklarer, hvordan det fungerer, hvorfor det er så svært at få øje på, og hvad både virksomheder og personer, der arbejder hjemmefra, bør gennemgå.

Sådan fungerer ransomware uden kryptering

Ifølge de offentliggjorte oplysninger lammar denne taktik driften af et virksomhedsnetværk uden at ty til filkryptering, som ellers er det, mange forsvar overvåger. I stedet for at implementere et meget synligt ondsindet program udnytter angriberen hjælpeværktøjer, der allerede findes i miljøet: administrationsværktøjer som PowerShell og fjernadgangssoftware.

Denne tilgang kaldes "living off the land" (at leve af landskabet): indtrængeren bruger det, der allerede er installeret. Uden at kryptere data kan vedkommende afbryde tjenester, blokere adgang eller gøre systemer ubrugelige, og indvirkningen på forretningskontinuiteten er lige så alvorlig. For en virksomhed er det centrale problem, at den ikke kan operere, uanset om dens filer er krypterede eller ej.

Hvorfor legitime værktøjer gør det sværere at opdage

Nøglen er, at intet af det, angriberen kører, ved første øjekast virker mærkeligt. PowerShell bruges dagligt af systemadministratorer, og fjernadgangssoftware er en fast del af teknisk support. Hvis en angriber med gyldige legitimationsoplysninger starter de samme værktøjer, kan aktiviteten forveksles med rutinearbejde.

Det har flere praktiske konsekvenser:

  • Færre klassiske signaler. En antivirus, der leder efter kendte ondsindede filer, har lille mulighed for at blokere, når der bruges legitime programmer.
  • Fokus flytter til legitimationsoplysningerne. Hvis adgangen er gyldig, er spørgsmålet ikke længere "hvilket software er dette?", men "hvem bruger det, og hvorfra?".
  • Større betydning af adfærd. At opdage en usædvanlig brug af et værktøj (på et mærkeligt tidspunkt, fra en uventet enhed) bliver mere nyttigt end at opdage en bestemt fil.

Det er ikke en trussel, der løses med et enkelt produkt. Det kræver lag: adgangskontrol, synlighed og evne til genopretning.

Hvad det betyder for hjemmearbejde og hjemmenetværk

Et virksomhedsnetværk slutter ikke på kontoret. Hver bærbar computer, der forbindes hjemmefra, hvert fjernadgangsværktøj og hver genbrugt adgangskode udvider den overflade, en angriber kan komme ind ad. Hvis metoden afhænger af at bruge legitim adgang, bliver legitimationsoplysningerne for dem, der arbejder eksternt, en særligt værdifuld dør.

I praksis påvirker sikkerheden i hjemmenetværket virksomhedens:

  • En router med fabriksadgangskode eller uopdateret firmware er et svagt punkt.
  • En adgangskode, der gentages mellem personlige og virksomhedsrelaterede tjenester, gør det lettere for en ekstern lækage at ende med at påvirke arbejdet.
  • Et fjernadgangsprogram, der er installeret og glemt, eller uden forstærket godkendelse, giver en direkte vej til enheden.

Den generelle kontekst betyder også noget. Som vi beskrev i vores analyse om stigningen i ransomware-ofre i Spanien og datatyveri med AI, fortsætter truslen med at vokse og rammer både organisationer og de personer, der er forbundet til dem.

Praktiske tiltag: MFA, mindste privilegier, overvågning og sikkerhedskopier

Ingen af disse tiltag er nye, men sammen reducerer de i høj grad handlerummet for den, der forsøger at misbruge legitime værktøjer.

  1. Multifaktor-godkendelse (MFA). Aktivér den i e-mailen, i virksomhedens VPN'er, i fjernskrivebordet og i enhver administrationspanel. Hvis en adgangskode lækkes, tilføjer MFA en vigtig forhindring.
  2. Mindste privilegier. Hver konto bør kun have de tilladelser, den har brug for. Hvis en almindelig bruger ikke har brug for at køre PowerShell med forhøjede rettigheder, er det bedre at begrænse det.
  3. Kontrol af fjernadgangssoftware. Hold en oversigt over, hvilke værktøjer der er autoriserede, og fjern dem, der ikke bruges.
  4. Adfærdsovervågning. Log og gennemgå aktiviteten af administrative værktøjer, og definér alarmer ved usædvanlig brug.
  5. Isolerede og testede sikkerhedskopier. Opbevar kopier adskilt fra hovednetværket, og kontrollér, at de kan gendannes. Hvis det er systemer og ikke kun filer, der blokeres, bør man også have en dokumenteret genopretningsplan.
  6. Hjemlig hygiejne. Skift routerens legitimationsoplysninger, opdater dens firmware, brug unikke adgangskoder med en adgangskodeadministrator, og hold styresystemet opdateret.

Konklusion: gennemgå din konfiguration, før en angriber gør det

Ransomware uden kryptering living off the land minder os om, at faren ikke altid kommer i form af en mistænkelig fil. Nogle gange kommer den med en gyldig konto og værktøjer, der allerede er på din enhed. Derfor handler forsvaret om at beskytte legitimationsoplysninger, begrænse tilladelser, overvåge adfærd og sikre, at du kan genoprette dig.

Brug et par minutter i denne uge på at gennemgå din fjernarbejdskonfiguration: Har du MFA aktiveret på dine nøglekonti? Har du ændret administrationsadgangskoden til din router? Er dine sikkerhedskopier isolerede, og har du testet dem? For at forstå problemets omfang bedre kan du læse vores artikel om ransomware-tendenser i Spanien.