Gentlemen Ransomware: 483 Θύματα από το Εργαλείο GentleKiller

Μια Συμμορία Ransomware με 483 Θύματα και ένα Αναπτυσσόμενο Οπλοστάσιο

Μια επιχείρηση ransomware γνωστή ως The Gentlemen έχει reportedly θέσει σε κίνδυνο 483 θύματα συνδυάζοντας δύο διακριτά κακόβουλα εργαλεία: ένα βοηθητικό πρόγραμμα παράκαμψης άμυνας που ονομάζεται GentleKiller και έναν απομακρυσμένο δούρειο ίππο πρόσβασης με το όνομα EtherRAT. Μαζί, αυτά τα εργαλεία επιτρέπουν στην ομάδα να απενεργοποιεί λογισμικό ασφαλείας στο μηχάνημα του στόχου και να διατηρεί κρυφή επικοινωνία command-and-control που είναι δυσκολότερο για τους αμυνόμενους να τερματίσουν.

Η ομάδα, την οποία οι ερευνητές ασφαλείας έχουν επίσης συνδέσει με επιθέσεις σε οργανισμούς όπως το ολλανδικό παγοδρόμιο που καλύπτεται στην αναφορά μας για την επίθεση της συμμορίας ransomware The Gentlemen στο Thialf, έχει σταθερά επεκτείνει την εμβέλειά της. Αντί να βασίζεται σε μια μοναδική νέα εκμετάλλευση, η επιτυχία της συμμορίας φαίνεται να προέρχεται από τη στοίβαξη πολλών γνωστών τεχνικών παράκαμψης σε ένα αυτοματοποιημένο πακέτο και στη συνέχεια την επαναχρησιμοποίηση αυτού του πακέτου σε μεγάλο αριθμό στόχων.

Πώς το GentleKiller Νικά το Λογισμικό Ασφαλείας

Στο επίκεντρο αυτής της εκστρατείας βρίσκεται το GentleKiller, ένα εργαλείο που έχει κατασκευαστεί γύρω από μια τεχνική που συνήθως ονομάζεται BYOVD, ή "Bring Your Own Vulnerable Driver" (Φέρε τον Δικό σου Ευάλωτο Οδηγό). Με απλά λόγια, οι επιτιθέμενοι εγκαθιστούν έναν νόμιμο αλλά ελαττωματικό οδηγό υλικού ή λογισμικού στον υπολογιστή του θύματος. Επειδή αυτός ο οδηγός είναι συχνά ψηφιακά υπογεγραμμένος και έμπιστος από τα Windows, μπορεί να εκτελεστεί με βαθιά προνόμια σε επίπεδο συστήματος. Στη συνέχεια, οι επιτιθέμενοι εκμεταλλεύονται μια γνωστή αδυναμία σε αυτόν τον οδηγό για να απενεργοποιήσουν ή να τυφλώσουν το λογισμικό ασφαλείας που εκτελείται στο μηχάνημα, μετατρέποντας αποτελεσματικά ένα έμπιστο κομμάτι λογισμικού σε όπλο εναντίον των ίδιων των εργαλείων που προορίζονται να το σταματήσουν.

Σύμφωνα με ρεπορτάζ για αυτή την εκστρατεία, το GentleKiller έχει χρησιμοποιηθεί για να νικήσει τα προϊόντα 48 διαφορετικών προμηθευτών ασφαλείας. Αυτός ο αριθμός έχει σημασία γιατί υποδηλώνει ότι το εργαλείο δεν σχεδιάστηκε για να αποφεύγει ένα ή δύο συγκεκριμένα προγράμματα antivirus. Αντίθετα, κατασκευάστηκε ως ένα ευρύ, επαναχρησιμοποιήσιμο πλαίσιο ικανό να εξουδετερώσει ένα ευρύ φάσμα της αγοράς προστασίας endpoint. Αυτό αντικατοπτρίζει ένα μοτίβο που έχουμε παρακολουθήσει στο παρελθόν στην κάλυψή μας για το πώς το ransomware The Gentlemen τυφλώνει τα εργαλεία EDR, όπου οι χειριστές της ομάδας έχουν δείξει σταθερό ενδιαφέρον για την απενεργοποίηση της ανίχνευσης πριν από την ανάπτυξη του πραγματικού φορτίου κρυπτογράφησης.

Το EtherRAT και η Ανατροπή του Blockchain

Το δεύτερο συστατικό, το EtherRAT, χειρίζεται την επικοινωνία command-and-control (C2), το κανάλι που χρησιμοποιούν οι επιτιθέμενοι για να στέλνουν οδηγίες σε μολυσμένα μηχανήματα και να λαμβάνουν κλεμμένα δεδομένα ή ενημερώσεις κατάστασης πίσω. Αυτό που ξεχωρίζει το EtherRAT είναι η reported χρήση υποδομής blockchain για αυτόν τον σκοπό. Οι παραδοσιακοί διακομιστές C2 μπορούν να εντοπιστούν και να καταργηθούν από ερευνητές ή τις αρχές επιβολής του νόμου μόλις ανακαλυφθούν. Δρομολογώντας την επικοινωνία μέσω μηχανισμών που βασίζονται σε blockchain, οι επιτιθέμενοι καθιστούν αυτού του είδους την κατάργηση σημαντικά δυσκολότερη, καθώς τα δεδομένα blockchain είναι κατανεμημένα και ανθεκτικά σε ένα μόνο σημείο τερματισμού.

Αυτός ο συνδυασμός, ένας δολοφόνος άμυνας βασισμένος σε οδηγούς που συνδυάζεται με ένα ανθεκτικό κανάλι C2, αντανακλά μια ευρύτερη τάση μεταξύ των επιχειρήσεων ransomware-as-a-service: κατασκεύασε μία φορά, πούλα ή παραχώρησε άδεια ευρέως, και άφησε τους συνεργάτες να εκτελούν εκστρατείες μεγάλης κλίμακας εναντίον ποικιλίας στόχων, συμπεριλαμβανομένων των μικρών και μεσαίων επιχειρήσεων που στοχοποιούνται ολοένα και περισσότερο από ομάδες που ανταγωνίζονται για μερίδιο αγοράς, όπως αναλυτικά περιγράψαμε στο άρθρο μας για το Qilin και τους The Gentlemen που κλιμακώνουν επιθέσεις σε SMB.

Τι Σημαίνει Αυτό Για Εσάς

Αν διαχειρίζεστε συστήματα IT για μια επιχείρηση, ή ακόμα και αν απλώς ενδιαφέρεστε για την ασφάλεια του οικιακού σας δικτύου, το βασικό δίδαγμα εδώ δεν είναι ειδικό για τους The Gentlemen. Αφορά τα όρια του να βασίζεστε σε οποιοδήποτε μεμονωμένο προϊόν ασφαλείας. Ένα εργαλείο ικανό να νικήσει 48 διαφορετικούς προμηθευτές καταδεικνύει ότι το λογισμικό antivirus ή ανίχνευσης endpoint από μόνο του δεν μπορεί να αντιμετωπιστεί ως πλήρης άμυνα.

Για τα άτομα, ο πρακτικός κίνδυνος είναι χαμηλότερος αλλά όχι μηδενικός: οι ομάδες ransomware συχνά αποκτούν αρχική πρόσβαση μέσω email phishing, εκτεθειμένων υπηρεσιών απομακρυσμένης πρόσβασης ή μη ενημερωμένου λογισμικού, τα ίδια σημεία εισόδου που θέτουν σε κίνδυνο προσωπικά δεδομένα και οικιακά δίκτυα. Η διατήρηση των συστημάτων ενημερωμένων, η χρήση μοναδικών κωδικών πρόσβασης και η προσοχή σε ανεπιθύμητα συνημμένα παραμένουν θεμελιώδης προστασία ανεξάρτητα από το πόσο εξελιγμένο γίνεται το κακόβουλο λογισμικό στο παρασκήνιο.

Για τους οργανισμούς, αυτή η εκστρατεία είναι μια υπενθύμιση ότι η πληρωμή λύτρων δεν εγγυάται ασφάλεια στο μέλλον. Όπως καλύφθηκε στην προηγούμενη ανάλυσή μας για μια μελέτη της Proofpoint σχετικά με τους πληρωτές λύτρων, περίπου μία στις τρεις εταιρείες που πληρώνουν λύτρα στοχοποιούνται ξανά. Οι πολυεπίπεδες άμυνες, τα offline αντίγραφα ασφαλείας και οι πολιτικές allow-listing οδηγών που περιορίζουν ποιοι οδηγοί σε επίπεδο kernel μπορούν να φορτωθούν είναι πολύ πιο ανθεκτικές προστασίες από το να ελπίζετε ότι ένα μόνο εργαλείο ασφαλείας θα πιάσει κάθε απειλή.

Βασικά Συμπεράσματα

• Μην βασίζεστε σε ένα μόνο προϊόν ασφαλείας· οι πολυεπίπεδες άμυνες έχουν μεγαλύτερη σημασία όταν οι επιτιθέμενοι σχεδιάζουν ειδικά εργαλεία για να παρακάμπτουν μεμονωμένους προμηθευτές.
• Περιορίστε ποιοι οδηγοί μπορούν να φορτωθούν στα συστήματά σας, καθώς οι επιθέσεις BYOVD εξαρτώνται από την εγκατάσταση εξωτερικών οδηγών με πρόσβαση kernel.
• Διατηρήστε offline, δοκιμασμένα αντίγραφα ασφαλείας ώστε μια μόλυνση ransomware να μην αναγκάζει σε απόφαση πληρωμής.
• Αντιμετωπίστε ύποπτα email, συνδέσμους και αιτήματα απομακρυσμένης πρόσβασης με καχυποψία, καθώς η αρχική πρόσβαση συνήθως ξεκινά ακόμα με βασική κοινωνική μηχανική ή μη ενημερωμένο λογισμικό.
• Μείνετε ενημερωμένοι για ομάδες όπως η επιχείρηση ransomware The Gentlemen, καθώς τα εργαλεία και οι στόχοι τους συνεχίζουν να εξελίσσονται.