Μια ομάδα ransomware που αυτοαποκαλείται WhiteArmor ισχυρίστηκε ότι απέσπασε δεδομένα από την εταιρεία logistics Ryder. Ο ισχυρισμός δεν έχει επαληθευτεί και η πηγή της αναφοράς προσφέρει λίγες λεπτομέρειες. Παρόλα αυτά, το περιστατικό αποτελεί μια χρήσιμη μελέτη περίπτωσης για το πώς λειτουργεί η κλοπή διαπιστευτηρίων από infostealers στο πλαίσιο ransomware, και για το τι μπορούν να κάνουν οι απλοί χρήστες ώστε να αποφύγουν να γίνουν ο πρώτος κρίκος σε μια παρόμοια αλυσίδα.

Τι ισχυρίζεται η WhiteArmor για την Ryder

Σύμφωνα με αναφορά threat intelligence από την Quasar Cybertech, η WhiteArmor δηλώνει ότι πήρε δεδομένα από την Ryder. Το διαθέσιμο κείμενο της αναφοράς είναι περιορισμένο και δεν επιβεβαιώνει ποια δεδομένα ενδέχεται να ελήφθησαν, πόσα, ή πώς εισήλθε η ομάδα. Στο υλικό της πηγής δεν εμφανίζεται η Ryder να έχει επιβεβαιώσει τον ισχυρισμό.

Αυτή η διάκριση έχει σημασία. Οι ομάδες ransomware και εκβιασμού μερικές φορές δημοσιεύουν ισχυρισμούς που αποδεικνύονται υπερβολικοί, ενώ άλλοι αποδεικνύονται ακριβείς. Μέχρι να επαληθεύσει τις λεπτομέρειες η εταιρεία ή ένα ανεξάρτητο μέρος, η σωστή στάση είναι η προσοχή και όχι ο πανικός.

Αυτό που η αναφορά τονίζει είναι το αμυντικό συμπέρασμα. Περιγράφει το περιστατικό ως υπενθύμιση των κινδύνων που θέτουν οι εκστρατείες ransomware με επικεφαλής infostealers, και συμβουλεύει τις ομάδες ασφαλείας να παρακολουθούν για απόπειρες μη εξουσιοδοτημένης πρόσβασης που προέρχονται από παραβιασμένα διαπιστευτήρια. Συνιστά επίσης την αναθεώρηση των σχεδίων αντιμετώπισης περιστατικών ώστε οι οργανισμοί να είναι έτοιμοι για πιθανό εκβιασμό.

Πώς οι infostealers τροφοδοτούν τον εκβιασμό μέσω ransomware

Ένας infostealer είναι ένας τύπος κακόβουλου λογισμικού που έχει σχεδιαστεί για να αντλεί αθόρυβα ευαίσθητες πληροφορίες από μια μολυσμένη συσκευή. Αυτό μπορεί να περιλαμβάνει αποθηκευμένους κωδικούς πρόσβασης, δεδομένα προγράμματος περιήγησης και άλλο υλικό σύνδεσης. Συνήθως δεν ανακοινώνει την παρουσία του όπως κάνει το καταστροφικό κακόβουλο λογισμικό, και αυτός είναι εν μέρει ο λόγος που μπορεί να περάσει απαρατήρητο για μεγάλο διάστημα.

Η σύνδεση με τον εκβιασμό είναι απλή. Τα κλεμμένα διαπιστευτήρια μπορούν να συλλεχθούν, να ανταλλαχθούν ή να επαναχρησιμοποιηθούν. Ένας επιτιθέμενος που κατέχει έγκυρη σύνδεση για ένα εταιρικό σύστημα μπορεί να μην χρειάζεται να εισβάλει με τη βία· μπορεί απλώς να συνδεθεί. Από εκεί, τα δεδομένα μπορούν να αντιγραφούν και να εξαχθούν, και στη συνέχεια η ομάδα μπορεί να απειλήσει να τα δημοσιεύσει εκτός αν πληρωθεί. Αυτό είναι το μοτίβο στο οποίο παραπέμπει η αναφορά όταν κάνει λόγο για εκστρατείες ransomware με επικεφαλής infostealers.

Δύο σημεία αξίζει να σημειωθούν για τους μη ειδικούς:

  • Η πρώτη παραβίαση είναι συχνά μια μεμονωμένη συνηθισμένη συσκευή, όπως ο φορητός υπολογιστής ενός υπαλλήλου ή ένας προσωπικός υπολογιστής που χρησιμοποιείται για εργασία.
  • Τα διαπιστευτήρια που φαίνονται νόμιμα είναι δύσκολο να διακριθούν από πραγματικές συνδέσεις, επομένως η παρακολούθηση πρέπει να εστιάζει σε ασυνήθιστα μοτίβα, όπως πρόσβαση από απροσδόκητες τοποθεσίες ή σε παράξενες ώρες.

Τι σημαίνει αυτό για εσάς

Αν είστε πελάτης, υπάλληλος ή συνεργάτης της Ryder, δεν υπάρχουν επιβεβαιωμένες πληροφορίες στην πηγή σχετικά με το τι ελήφθη, οπότε δεν υπάρχει τίποτα να συμπεράνουμε ακόμη. Λογικά βήματα είναι να παρακολουθείτε για επίσημες ανακοινώσεις από την εταιρεία και να είστε επιφυλακτικοί απέναντι σε ανεπιθύμητα emails, κλήσεις ή μηνύματα που αναφέρονται στην Ryder, σε αποστολές ή σε προβλήματα λογαριασμού. Οι εκστρατείες εκβιασμού και το επακόλουθο phishing μερικές φορές βασίζονται στη δημοσιότητα γύρω από έναν ισχυρισμό παραβίασης.

Αν έχετε λογαριασμό σε οποιαδήποτε εταιρεία που αναφέρεται σε έναν μη επαληθευμένο ισχυρισμό, δεν χρειάζεται να πανικοβληθείτε, αλλά είναι συνετό να:

  • Αλλάξετε τον κωδικό πρόσβασης σε αυτόν τον λογαριασμό αν τον έχετε επαναχρησιμοποιήσει οπουδήποτε αλλού.
  • Ενεργοποιήσετε τον έλεγχο ταυτότητας πολλαπλών παραγόντων αν είναι διαθέσιμος.
  • Ελέγξετε την πρόσφατη δραστηριότητα σύνδεσης για οτιδήποτε άγνωστο.

Για υπαλλήλους και διαχειριστές, η συμβουλή της αναφοράς ισχύει άμεσα: παρακολουθείτε για απόπειρες μη εξουσιοδοτημένης πρόσβασης που χρησιμοποιούν γνωστά παραβιασμένα διαπιστευτήρια, και βεβαιωθείτε ότι το σχέδιο αντιμετώπισης περιστατικών σας καλύπτει το τι να κάνετε αν φτάσει αίτημα εκβιασμού.

Πώς να προστατεύσετε τους προσωπικούς λογαριασμούς από κλοπή διαπιστευτηρίων

Δεν μπορείτε να ελέγξετε πώς μια μεγάλη εταιρεία ασφαλίζει τα συστήματά της, αλλά μπορείτε να μειώσετε την αξία οτιδήποτε θα μπορούσε να αρπάξει ένας infostealer από τις δικές σας συσκευές.

Χρησιμοποιήστε μοναδικό κωδικό πρόσβασης για κάθε λογαριασμό. Η επαναχρησιμοποίηση είναι αυτό που μετατρέπει μια κλεμμένη σύνδεση σε πολλές. Ένας διαχειριστής κωδικών πρόσβασης το κάνει πρακτικό.

Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων. Ακόμη και όταν κλαπεί ένας κωδικός πρόσβασης, ένας δεύτερος παράγοντας μπορεί να μπλοκάρει μια σύνδεση. Όπου είναι δυνατόν, προτιμήστε μεθόδους μέσω εφαρμογής ή υλικού αντί για γραπτά μηνύματα.

Διατηρείτε τις συσκευές και το λογισμικό ενημερωμένα. Οι ενημερώσεις του λειτουργικού συστήματος, του προγράμματος περιήγησης και του λογισμικού ασφαλείας κλείνουν τρύπες στις οποίες βασίζεται το κακόβουλο λογισμικό.

Προσέχετε τι εγκαθιστάτε και σε τι κάνετε κλικ. Οι infostealers συνήθως φτάνουν μέσω κακόβουλων λήψεων, ψεύτικου λογισμικού και συνδέσμων phishing. Μείνετε σε επίσημες πηγές.

Αποφύγετε την αποθήκευση ευαίσθητων συνδέσεων σε μέρη όπου δεν χρειάζεται. Οι κωδικοί πρόσβασης που αποθηκεύονται στο πρόγραμμα περιήγησης είναι συχνός στόχος, οπότε εξετάστε έναν αποκλειστικό διαχειριστή κωδικών πρόσβασης με ισχυρό κύριο κωδικό πρόσβασης.

Αν υποψιάζεστε μόλυνση, αποσυνδέστε από το δίκτυο, εκτελέστε μια αξιόπιστη σάρωση ασφαλείας και αλλάξτε τους κωδικούς πρόσβασής σας από μια καθαρή συσκευή.

Το Συμπέρασμα

Ο ισχυρισμός της WhiteArmor για την Ryder παραμένει μη επαληθευμένος και οι λεπτομέρειες είναι ισχνές. Αυτό που είναι σαφές είναι το ευρύτερο δίδαγμα: η κλοπή διαπιστευτηρίων από infostealers στο πλαίσιο ransomware ξεκινά με συνηθισμένες συνδέσεις, και αυτές οι συνδέσεις συχνά προέρχονται από συνηθισμένες συσκευές. Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης, ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων και διατηρείτε τις συσκευές σας ενημερωμένες. Αυτές οι συνήθειες δεν θα σταματήσουν κάθε επίθεση, αλλά κάνουν τους λογαριασμούς σας έναν πολύ δυσκολότερο και λιγότερο επικερδή στόχο.