Μια Επίθεση Ransomware που Αυτοαναιρέθηκε
Οι επιθέσεις ransomware συνήθως περιγράφονται με όρους του τι πάει στραβά για το θύμα: αρχεία κρυπτογραφημένα, συστήματα κλειδωμένα, σημειώματα λύτρων που απαιτούν πληρωμή. Ένα πρόσφατα αναφερόμενο περιστατικό που αφορά την ομάδα ransomware Akira ανατρέπει αυτό το σενάριο. Σύμφωνα με αναφορές, η Akira επιχείρησε έναν έξυπνο ελιγμό αποφυγής, επανεκκινώντας το σύστημα-στόχο σε Λειτουργία Ασφαλούς Εκκίνησης για να παρακάμψει τα εργαλεία ανίχνευσης και απόκρισης τελικών σημείων (EDR), μόνο για να αντιστραφεί το κόλπο τόσο άσχημα που έσπασε τον ίδιο τον κρυπτογραφητή του ransomware. Στη συνέχεια, το Microsoft Defender σηματοδότησε και απομόνωσε το ωφέλιμο φορτίο, αφήνοντας τους επιτιθέμενους χωρίς τίποτα να επιδείξουν από την εισβολή.
Είναι ένα σπάνιο, σχεδόν αντικλιμακτικό αποτέλεσμα σε ένα τοπίο απειλών όπου οι συμμορίες ransomware είναι συνήθως αυτές που προκαλούν τη ζημιά. Αλλά το επεισόδιο είναι κάτι περισσότερο από μια περιέργεια. Προσφέρει ένα χρήσιμο παράθυρο στο πώς οι επιτιθέμενοι προσπαθούν να απενεργοποιήσουν τις αμυντικές ασφάλειες και τι συμβαίνει όταν αυτές οι προσπάθειες πάνε στραβά.
Πώς Λειτουργεί το Κόλπο της Λειτουργίας Ασφαλούς Εκκίνησης και Γιατί Απέτυχε
Η εκκίνηση ενός παραβιασμένου υπολογιστή σε Λειτουργία Ασφαλούς Εκκίνησης είναι μια γνωστή τεχνική μεταξύ των χειριστών ransomware. Η Λειτουργία Ασφαλούς Εκκίνησης περιορίζει ένα σύστημα Windows στα βασικά του προγράμματα οδήγησης και υπηρεσίες, γεγονός που επίσης απενεργοποιεί πολλά εργαλεία EDR και antivirus τρίτων κατασκευαστών που βασίζονται σε κανονικές διαδικασίες εκκίνησης για να φορτωθούν. Για τους επιτιθέμενους, αυτό δημιουργεί ένα παράθυρο όπου το λογισμικό ασφαλείας δεν παρακολουθεί, καθιστώντας ευκολότερη την ανάπτυξη ενός κρυπτογραφητή χωρίς εντοπισμό.
Σε αυτή την περίπτωση, το ίδιο αυτό περιορισμένο περιβάλλον φαίνεται να παρενέβη στην ικανότητα του κρυπτογραφητή να λειτουργήσει σωστά. Τα ωφέλιμα φορτία ransomware συχνά εξαρτώνται από συγκεκριμένα στοιχεία συστήματος, βιβλιοθήκες ή υπηρεσίες για να εκτελέσουν ομαλά τις ρουτίνες κρυπτογράφησης. Όταν αυτές οι εξαρτήσεις δεν είναι διαθέσιμες επειδή η Λειτουργία Ασφαλούς Εκκίνησης τις έχει απενεργοποιήσει, το κακόβουλο λογισμικό μπορεί να καταρρεύσει ή να αποτύχει εντελώς. Αυτό συνέβη ουσιαστικά εδώ: η τακτική που σχεδιάστηκε για να τυφλώσει τους αμυνόμενους κατέληξε να τυφλώσει την ίδια την επίθεση.
Για να προστεθεί προσβολή στον τραυματισμό, το Microsoft Defender ήταν ακόμα σε θέση να ανιχνεύσει και να απομονώσει το ωφέλιμο φορτίο στη συνέχεια, υποδηλώνοντας ότι η απόπειρα αποφυγής δεν πέτυχε καν τον βασικό της στόχο του να παραμείνει κρυφή από τις ενσωματωμένες προστασίες της Microsoft.
Γιατί οι Επιτιθέμενοι Εξακολουθούν να Έχουν Πλεονέκτημα, Παρά Αυτό Το Σφάλμα
Θα ήταν λάθος να εκληφθεί αυτό το περιστατικό ως απόδειξη ότι οι άμυνες ransomware κερδίζουν τον ευρύτερο αγώνα. Ομάδες όπως η Akira παραμένουν ενεργές και επίμονες, και αυτού του είδους η αποτυχία είναι η εξαίρεση, όχι ο κανόνας. Οι χειριστές ransomware βελτιώνουν συνεχώς τα εργαλεία τους, δοκιμάζουν νέες τεχνικές αποφυγής και μαθαίνουν από λάθη όπως αυτό. Μια αποτυχημένη επίθεση σήμερα δεν σημαίνει ότι η ίδια τεχνική δεν θα επιδιορθωθεί και δεν θα επαναχρησιμοποιηθεί επιτυχώς αύριο.
Αυτό που αναδεικνύει αυτό το περιστατικό είναι η σημασία των πολυεπίπεδων άμυνων και της ταχείας ανίχνευσης. Ακόμη και όταν ένας επιτιθέμενος καταφέρει να διαταράξει ή να απενεργοποιήσει ένα επίπεδο προστασίας, η ύπαρξη άλλων εργαλείων, όπως η ικανότητα μετα-περιστατικού εντοπισμού του Defender, μπορεί να πιάσει κακόβουλη δραστηριότητα πριν προκαλέσει διαρκή βλάβη. Αυτός είναι επίσης ο λόγος για τον οποίο η ανταλλαγή πληροφοριών απειλών έχει τόση σημασία σε όλους τους κλάδους. Προσπάθειες όπως η ώθηση του FBI προς τους οργανισμούς υγείας να μοιράζονται δεδομένα απειλών ransomware αντικατοπτρίζουν μια αυξανόμενη αναγνώριση ότι η ορατότητα στη συμπεριφορά των επιτιθέμενων, συμπεριλαμβανομένων των αποτυχιών τους, βοηθά τους αμυνόμενους να προβλέψουν την επόμενη κίνηση αντί να αντιδρούν απλώς σε αυτήν.
Τι Σημαίνει Αυτό Για Εσάς
Για τους καθημερινούς χρήστες και τους ιδιοκτήτες μικρών επιχειρήσεων, αυτή η ιστορία είναι μια υπενθύμιση ότι το ransomware δεν είναι μια ασταμάτητη δύναμη, αλλά ούτε και πρόκειται να εξαφανιστεί. Η συγκεκριμένη τεχνική αποτυχία εδώ, ένα κόλπο αποφυγής που έσπασε τη λειτουργία του ίδιου του κακόβουλου λογισμικού, ήταν σε μεγάλο βαθμό ένα τυχερό γεγονός για το θύμα και όχι αποτέλεσμα ανώτερων άμυνων από την πλευρά τους. Δεν πρέπει να βασίζεστε στο ότι οι επιτιθέμενοι κάνουν λάθη για να προστατεύσετε τα δεδομένα σας.
Αυτό που μπορείτε να ελέγξετε είναι η μείωση των πιθανοτήτων να γίνετε επιτυχώς στόχος εξαρχής. Αυτό σημαίνει διατήρηση των συστημάτων ενημερωμένων, διασφάλιση ότι τα εργαλεία EDR ή antivirus είναι σωστά διαμορφωμένα και παρακολουθούμενα, και διατήρηση εκτός σύνδεσης ή αμετάβλητων αντιγράφων ασφαλείας έτσι ώστε ακόμη και μια επιτυχής απόπειρα κρυπτογράφησης να μην σημαίνει μόνιμη απώλεια δεδομένων. Οι οργανισμοί θα πρέπει επίσης να έχουν σχέδια αντιμετώπισης περιστατικών που να λαμβάνουν υπόψη ασυνήθιστη συμπεριφορά συστήματος, όπως απροσδόκητες επανεκκινήσεις σε Λειτουργία Ασφαλούς Εκκίνησης, καθώς αυτές μπορεί να είναι πρώιμα προειδοποιητικά σημάδια ενεργού εισβολής και όχι συνήθης συντήρηση.
Βασικά Συμπεράσματα
Οι ομάδες ransomware όπως η Akira συνεχίζουν να αναπτύσσουν νέους τρόπους απενεργοποίησης των εργαλείων ασφαλείας πριν από την ανάπτυξη των ωφέλιμων φορτίων τους, και οι εκκινήσεις σε Λειτουργία Ασφαλούς Εκκίνησης είναι μια τέτοια τεχνική. Σε αυτή την περίπτωση, η τακτική αντιστράφηκε, καταρρέοντας τον κρυπτογραφητή και επιτρέποντας στον Defender να πιάσει το ωφέλιμο φορτίο στη συνέχεια. Αλλά αυτό το αποτέλεσμα ήταν περιστασιακό, όχι εγγυημένο. Το πραγματικό μάθημα για άτομα και οργανισμούς είναι να διατηρούν τα εργαλεία ασφαλείας ενημερωμένα, να διατηρούν ισχυρές πρακτικές αντιγράφων ασφαλείας και να παραμένουν σε επαγρύπνηση για ασυνήθιστη συμπεριφορά συστήματος. Η άμυνα κατά του ransomware δεν αφορά το να ελπίζεις ότι οι επιτιθέμενοι θα αποτύχουν· αφορά την οικοδόμηση ανθεκτικότητας έτσι ώστε, είτε αποτύχουν είτε όχι, η ζημιά να παραμένει περιορισμένη.
