Η Ομάδα Ransomware The Gentlemen Καταλαμβάνει τον Έλεγχο Διαχειριστή Τομέα

Μια πρόσφατα τεκμηριωμένη εισβολή ransomware που αποδίδεται σε μια ομάδα γνωστή ως The Gentlemen προσφέρει μια λεπτομερή ματιά στο πώς οι επιτιθέμενοι μετατρέπουν μια μεμονωμένη παραβιασμένη συσκευή σε πλήρη έλεγχο ενός ολόκληρου δικτύου Windows. Σύμφωνα με την αναφορά, οι επιτιθέμενοι μετέτρεψαν ένα αρχικό προγεφύρωμα σε πρόσβαση σε ολόκληρο τον τομέα ανυψώνοντας έναν τυπικό λογαριασμό σε καθεστώς διαχειριστή τομέα, και στη συνέχεια χρησιμοποίησαν αυτή την πρόσβαση για να απενεργοποιήσουν τα εργαλεία ασφαλείας πριν αναπτύξουν ransomware. Είναι μια μελέτη περίπτωσης γιατί η κλιμάκωση προνομίων, όχι η αρχική παραβίαση, είναι συχνά η πιο επικίνδυνη φάση μιας σύγχρονης επίθεσης.

Από Ένα Μεμονωμένο Προγεφύρωμα σε Έλεγχο Ολόκληρου του Τομέα

Στις περισσότερες εισβολές ransomware, το αρχικό σημείο πρόσβασης, είτε πρόκειται για ένα phishing email, μια εκτεθειμένη απομακρυσμένη υπηρεσία ή ένα παραβιασμένο λογισμικό, σπάνια είναι ο τελικός στόχος. Είναι απλώς το σημείο εισόδου. Η πραγματική ζημιά συμβαίνει μετά, όταν οι επιτιθέμενοι κινούνται πλευρικά μέσα σε ένα δίκτυο αναζητώντας τρόπους να αποκτήσουν υψηλότερα επίπεδα αδειών.

Σε αυτή την περίπτωση, οι επιτιθέμενοι φέρεται να πέτυχαν να δημιουργήσουν έναν λογαριασμό διαχειριστή τομέα μέσα στο περιβάλλον Windows του στόχου. Ένας λογαριασμός διαχειριστή τομέα είναι ουσιαστικά το κύριο κλειδί για την υποδομή πληροφορικής ενός οργανισμού. Όποιος κατέχει αυτό το επίπεδο πρόσβασης μπορεί να δημιουργήσει ή να διαγράψει λογαριασμούς χρηστών, να εγκαταστήσει λογισμικό σε κάθε συνδεδεμένη μηχανή και, το πιο κρίσιμο, να απενεργοποιήσει το λογισμικό ασφαλείας που προορίζεται να τους εντοπίσει και να τους σταματήσει.

Αυτό το τελευταίο βήμα, η απενεργοποίηση των εργαλείων ασφαλείας, είναι αυτό που διαχωρίζει ένα περιορισμένο περιστατικό από ένα πλήρες γεγονός ransomware. Μόλις κοπεί η ορατότητα των υπερασπιστών, οι επιτιθέμενοι μπορούν να κινηθούν ελεύθερα, να κρυπτογραφήσουν αρχεία, να εξάγουν δεδομένα και να εξαπλωθούν σε συνδεδεμένα συστήματα με πολύ λιγότερη αντίσταση.

Γιατί οι Λογαριασμοί Διαχειριστή Τομέα Παραμένουν το Απόλυτο Έπαθλο

Τα περιβάλλοντα Active Directory, στα οποία βασίζονται οι περισσότερες επιχειρήσεις και μεγαλύτεροι οργανισμοί για τη διαχείριση λογαριασμών χρηστών και δικαιωμάτων, είναι χτισμένα γύρω από μια ιεραρχία εμπιστοσύνης. Στην κορυφή αυτής της ιεραρχίας βρίσκεται η ομάδα διαχειριστών τομέα. Η παραβίαση έστω και ενός λογαριασμού σε αυτή την ομάδα δίνει ουσιαστικά στον επιτιθέμενο τον έλεγχο ολόκληρου του δικτύου, όχι μόνο ενός μολυσμένου υπολογιστή.

Αυτός είναι ακριβώς ο λόγος για τον οποίο οι τεχνικές κλιμάκωσης προνομίων αποτελούν τόσο μεγάλο στόχο για τους φορείς εκμετάλλευσης ransomware. Αντί να προσπαθούν να παραβιάσουν εκατοντάδες μεμονωμένες μηχανές μία προς μία, οι επιτιθέμενοι αναζητούν ένα μοναδικό μονοπάτι προς τα πάνω: μια εσφαλμένα διαμορφωμένη άδεια, έναν ανεπαρκώς προστατευμένο λογαριασμό υπηρεσίας ή μια ευπάθεια που επιτρέπει σε έναν χρήστη χαμηλών δικαιωμάτων να αποκτήσει δικαιώματα διαχειριστή. Μόλις βρεθεί αυτό το μονοπάτι, το υπόλοιπο δίκτυο συχνά καταρρέει γρήγορα.

Το περιστατικό αναδεικνύει επίσης ένα επαναλαμβανόμενο θέμα στις σύγχρονες εισβολές: οι επιτιθέμενοι δεν χρειάζεται να φέρουν εξωτικό κακόβουλο λογισμικό για να προκαλέσουν τη μεγαλύτερη ζημιά. Τα εγγενή εργαλεία διαχείρισης των Windows και οι νόμιμες διαδικασίες δημιουργίας λογαριασμών μπορούν να γίνουν κατάχρηση εξίσου αποτελεσματικά, καθιστώντας τον εντοπισμό δυσκολότερο επειδή η δραστηριότητα μπορεί να μοιάζει με συνήθη διαχείριση πληροφορικής μέχρι να είναι πολύ αργά. Αυτό αντικατοπτρίζει ένα ευρύτερο μοτίβο που παρατηρείται στο τοπίο απειλών, όπου οι επιτιθέμενοι εκμεταλλεύονται αξιόπιστα συστήματα και διαδικασίες που μοιάζουν νόμιμες αντί να βασίζονται αποκλειστικά σε προφανές κακόβουλο λογισμικό. Μια παρόμοια δυναμική εκτυλίχθηκε και στην επίθεση στην αλυσίδα εφοδιασμού των Daemon Tools, όπου η εμπιστοσύνη σε ένα οικείο λογισμικό έγινε το μέσο παραβίασης αντί για ένα ύποπτο αρχείο ή σύνδεσμο.

Τι Σημαίνει Αυτό Για Εσάς

Οι περισσότεροι αναγνώστες του vpn.social δεν είναι διαχειριστές συστημάτων που διαχειρίζονται επιχειρηματικά περιβάλλοντα Active Directory, αλλά το υποκείμενο μάθημα ισχύει ευρέως: οι επιτιθέμενοι αναζητούν συνεχώς το μικρότερο διαθέσιμο κενό προνομίων και το επεκτείνουν σε πλήρη έλεγχο. Είτε πρόκειται για λογαριασμό διαχειριστή τομέα μέσα σε ένα εταιρικό δίκτυο είτε για μια εφαρμογή με υπερβολικά δικαιώματα σε μια προσωπική συσκευή, το μοτίβο κλιμάκωσης είναι το ίδιο.

Αν διαχειρίζεστε ή επηρεάζετε αποφάσεις πληροφορικής στον οργανισμό σας, αυτό το περιστατικό είναι μια υπενθύμιση να ελέγξετε ποιος έχει πραγματικά δικαιώματα διαχειριστή και γιατί. Τα προνόμια διαχειριστή τομέα θα πρέπει να περιορίζονται σε όσο το δυνατόν λιγότερους λογαριασμούς, να παρακολουθούνται στενά και να μην χρησιμοποιούνται ποτέ για καθημερινές εργασίες. Τα εργαλεία ασφαλείας που μπορούν να απενεργοποιηθούν από έναν μεμονωμένο λογαριασμό με αυξημένα δικαιώματα αντιπροσωπεύουν ένα μοναδικό σημείο αποτυχίας που οι επιτιθέμενοι είναι εκπαιδευμένοι να εντοπίζουν.

Για τους καθημερινούς χρήστες, το συμπέρασμα είναι γενικότερο αλλά εξίσου σημαντικό: η ισχύς των δικών σας δικαιωμάτων λογαριασμού και κωδικών πρόσβασης, μαζί με την επίγνωση του πώς το λογισμικό και τα αιτήματα πρόσβασης φτάνουν στη συσκευή σας, παραμένει μια ουσιαστική γραμμή άμυνας. Καμπάνιες ransomware όπως αυτή επιτυγχάνουν βρίσκοντας τον πιο αδύναμο κρίκο σε μια αλυσίδα εμπιστοσύνης.

Βασικά Συμπεράσματα

• Οι επιθέσεις ransomware επικεντρώνονται όλο και περισσότερο στην κλιμάκωση προνομίων και όχι μόνο στην αρχική πρόσβαση, καθώς η απόκτηση δικαιωμάτων διαχειριστή τομέα επιτρέπει στους επιτιθέμενους να απενεργοποιήσουν τις άμυνες σε ολόκληρο το δίκτυο.
• Οι οργανισμοί θα πρέπει να εξετάζουν τακτικά ποιος κατέχει δικαιώματα διαχειριστή τομέα ή άλλα αυξημένα προνόμια και να περιορίζουν αυτούς τους λογαριασμούς μόνο σε ό,τι είναι απαραίτητο.
• Τα εργαλεία ασφαλείας που μπορούν να απενεργοποιηθούν από έναν μεμονωμένο παραβιασμένο λογαριασμό δημιουργούν μια κρίσιμη ευπάθεια· η πολυεπίπεδη, ανθεκτική σε παραβίαση παρακολούθηση είναι απαραίτητη.
• Τόσο τα άτομα όσο και οι ομάδες πληροφορικής θα πρέπει να αντιμετωπίζουν την κλιμάκωση προνομίων, όχι μόνο τον εντοπισμό κακόβουλου λογισμικού, ως βασικό μέρος της στρατηγικής ασφαλείας τους στο μέλλον.

Καθώς ομάδες ransomware όπως οι The Gentlemen συνεχίζουν να βελτιώνουν αυτές τις τεχνικές, το να παραμένετε ενημερωμένοι για το πώς εξελίσσονται οι παραβιάσεις διαχειριστών τομέα είναι ένα από τα πιο πρακτικά βήματα που μπορούν να λάβουν οι οργανισμοί για να προστατεύσουν τα δίκτυά τους πριν μια εισβολή μετατραπεί σε παραβίαση πλήρους κλίμακας.