Για χρόνια, η τυπική εικόνα του ransomware ήταν αρχεία κρυπτογραφημένα και ένα σημείωμα λύτρων στην οθόνη. Μια νέα τακτική που περιγράφει το PortalGeek αλλάζει αυτό το σενάριο: το ransomware χωρίς κρυπτογράφηση living off the land μπλοκάρει εταιρικά δίκτυα χωρίς να κρυπτογραφήσει ούτε ένα αρχείο, βασιζόμενο στα ίδια τα εργαλεία του οργανισμού. Το αποτέλεσμα παραμένει το ίδιο, μια επιχείρηση ακινητοποιημένη, αλλά ο δρόμος για να φτάσει κανείς εκεί είναι πιο δύσκολο να εντοπιστεί.

Αυτό το άρθρο εξηγεί πώς λειτουργεί, γιατί είναι τόσο δυσεύρετο και τι θα πρέπει να ελέγξουν τόσο οι επιχειρήσεις όσο και τα άτομα που εργάζονται από το σπίτι.

Πώς λειτουργεί το ransomware χωρίς κρυπτογράφηση

Σύμφωνα με τις πληροφορίες που δημοσιεύτηκαν, αυτή η τακτική παραλύει τη λειτουργία ενός εταιρικού δικτύου χωρίς να καταφεύγει στην κρυπτογράφηση αρχείων, που είναι αυτό που συνήθως παρακολουθούν πολλές άμυνες. Αντί να αναπτύξει ένα πολύ ορατό κακόβουλο πρόγραμμα, ο επιτιθέμενος αξιοποιεί βοηθητικά προγράμματα που υπάρχουν ήδη στο περιβάλλον: εργαλεία διαχείρισης όπως το PowerShell και λογισμικό απομακρυσμένης πρόσβασης.

Αυτή η προσέγγιση είναι γνωστή ως "living off the land" (ζω από το έδαφος): ο εισβολέας χρησιμοποιεί ό,τι είναι ήδη εγκατεστημένο. Χωρίς να κρυπτογραφεί δεδομένα, μπορεί να διακόψει υπηρεσίες, να μπλοκάρει προσβάσεις ή να αχρηστεύσει συστήματα, και ο αντίκτυπος στη συνέχεια της επιχείρησης είναι εξίσου σοβαρός. Για μια επιχείρηση, το να μην μπορεί να λειτουργήσει είναι το κεντρικό πρόβλημα, είτε τα αρχεία της είναι κρυπτογραφημένα είτε όχι.

Γιατί η χρήση νόμιμων εργαλείων δυσκολεύει τον εντοπισμό

Το κλειδί είναι ότι τίποτα από όσα εκτελεί ο επιτιθέμενος δεν φαίνεται, με μια πρώτη ματιά, παράξενο. Το PowerShell το χρησιμοποιούν καθημερινά οι διαχειριστές συστημάτων, και το λογισμικό απομακρυσμένης πρόσβασης είναι ένα συνηθισμένο κομμάτι της τεχνικής υποστήριξης. Αν ένας επιτιθέμενος με έγκυρα διαπιστευτήρια εκκινήσει αυτά τα ίδια εργαλεία, η δραστηριότητά του μπορεί να confundιστεί με routine εργασία.

Αυτό έχει αρκετές πρακτικές συνέπειες:

  • Λιγότερα κλασικά σήματα. Ένα antivirus που ψάχνει γνωστά κακόβουλα αρχεία έχει λίγα να μπλοκάρει όταν χρησιμοποιούνται νόμιμα προγράμματα.
  • Το επίκεντρο μετατοπίζεται στα διαπιστευτήρια. Αν η πρόσβαση είναι έγκυρη, το ερώτημα δεν είναι πλέον "τι λογισμικό είναι αυτό;", αλλά "ποιος το χρησιμοποιεί και από πού;".
  • Μεγαλύτερη σημασία της συμπεριφοράς. Ο εντοπισμός μιας ασυνήθιστης χρήσης ενός εργαλείου (σε παράξενη ώρα, από απροσδόκητο υπολογιστή) γίνεται πιο χρήσιμος από τον εντοπισμό ενός συγκεκριμένου αρχείου.

Δεν είναι απειλή που λύνεται με ένα μόνο προϊόν. Απαιτεί επίπεδα: έλεγχο προσβάσεων, ορατότητα και ικανότητα ανάκτησης.

Τι σημαίνει για την τηλεργασία και τα οικιακά δίκτυα

Ένα εταιρικό δίκτυο δεν τελειώνει στο γραφείο. Κάθε φορητός υπολογιστής που συνδέεται από το σπίτι, κάθε εργαλείο απομακρυσμένης πρόσβασης και κάθε επαναχρησιμοποιημένος κωδικός πρόσβασης διευρύνει την επιφάνεια από την οποία μπορεί να εισέλθει ένας επιτιθέμενος. Αν η μέθοδος εξαρτάται από τη χρήση νόμιμων προσβάσεων, τα διαπιστευτήρια όσων εργάζονται απομακρυσμένα γίνονται μια ιδιαίτερα πολύτιμη πόρτα.

Στην πράξη, η ασφάλεια του οικιακού δικτύου επηρεάζει αυτή της εταιρείας:

  • Ένας router με τον εργοστασιακό κωδικό πρόσβασης ή με firmware που δεν έχει ενημερωθεί είναι ένα αδύναμο σημείο.
  • Ένας κωδικός πρόσβασης που επαναλαμβάνεται μεταξύ προσωπικών και εταιρικών υπηρεσιών διευκολύνει μια ξένη διαρροή να καταλήξει να επηρεάζει την εργασία.
  • Ένα πρόγραμμα απομακρυσμένης πρόσβασης εγκατεστημένο και ξεχασμένο, ή χωρίς ενισχυμένη αυθεντικοποίηση, προσφέρει άμεση δίοδο προς τον υπολογιστή.

Το γενικό πλαίσιο έχει επίσης σημασία. Όπως συγκεντρώσαμε στην ανάλυσή μας για την αύξηση των θυμάτων ransomware στην Ισπανία και την κλοπή δεδομένων με AI, η απειλή συνεχίζει να αυξάνεται και επηρεάζει τόσο τους οργανισμούς όσο και τα άτομα που είναι συνδεδεμένα με αυτούς.

Πρακτικά μέτρα: MFA, ελάχιστα προνόμια, παρακολούθηση και αντίγραφα ασφαλείας

Κανένα από αυτά τα μέτρα δεν είναι καινούργιο, αλλά μαζί μειώνουν πολύ τα περιθώρια ελιγμών όσων προσπαθούν να κάνουν κατάχρηση νόμιμων εργαλείων.

  1. Έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA). Ενεργοποίησέ τον στο email, στα εταιρικά VPN, στην απομακρυσμένη επιφάνεια εργασίας και σε οποιονδήποτε πίνακα διαχείρισης. Αν ένας κωδικός πρόσβασης διαρρεύσει, το MFA προσθέτει ένα σημαντικό εμπόδιο.
  2. Ελάχιστα προνόμια. Κάθε λογαριασμός θα πρέπει να έχει μόνο τα δικαιώματα που χρειάζεται. Αν ένας κανονικός χρήστης δεν χρειάζεται να εκτελεί PowerShell με αυξημένα δικαιώματα, καλύτερα να περιοριστεί.
  3. Έλεγχος του λογισμικού απομακρυσμένης πρόσβασης. Διατήρησε ένα απόθεμα των εργαλείων που είναι εξουσιοδοτημένα και αφαίρεσε όσα δεν χρησιμοποιούνται.
  4. Παρακολούθηση συμπεριφοράς. Κατέγραψε και έλεγξε τη δραστηριότητα των εργαλείων διαχείρισης, και όρισε ειδοποιήσεις για ασυνήθιστες χρήσεις.
  5. Απομονωμένα και δοκιμασμένα αντίγραφα ασφαλείας. Κράτησε αντίγραφα χωριστά από το κύριο δίκτυο και βεβαιώσου ότι μπορούν να αποκατασταθούν. Αν αυτό που μπλοκάρεται είναι συστήματα, όχι μόνο αρχεία, καλό είναι να έχεις και ένα τεκμηριωμένο σχέδιο ανάκτησης.
  6. Οικιακή υγιεινή. Άλλαξε τα διαπιστευτήρια του router, ενημέρωσε το firmware του, χρησιμοποίησε μοναδικούς κωδικούς πρόσβασης με έναν διαχειριστή και διατήρησε το λειτουργικό σύστημα ενημερωμένο.

Συμπέρασμα: έλεγξε τη διαμόρφωσή σου πριν το κάνει ένας επιτιθέμενος

Το ransomware χωρίς κρυπτογράφηση living off the land υπενθυμίζει ότι ο κίνδυνος δεν έρχεται πάντα με τη μορφή ενός ύποπτου αρχείου. Μερικές φορές έρχεται με έναν έγκυρο λογαριασμό και εργαλεία που βρίσκονται ήδη στον υπολογιστή σου. Γι' αυτό η άμυνα περνά από την προστασία των διαπιστευτηρίων, τον περιορισμό των δικαιωμάτων, την παρακολούθηση της συμπεριφοράς και τη διασφάλιση ότι μπορείς να ανακάμψεις.

Αφιέρωσε λίγα λεπτά αυτή την εβδομάδα για να ελέγξεις τη διαμόρφωση της απομακρυσμένης εργασίας σου: Έχεις ενεργοποιημένο το MFA στους βασικούς λογαριασμούς σου; Έχεις αλλάξει τον κωδικό πρόσβασης διαχείρισης του router σου; Τα αντίγραφα ασφαλείας σου είναι απομονωμένα και τα έχεις δοκιμάσει; Για να κατανοήσεις καλύτερα τη διάσταση του προβλήματος, μπορείς να συμβουλευτείς το άρθρο μας για τις τάσεις ransomware στην Ισπανία.