Akira-kiristysohjelman vikasuojaus kääntyy itseään vastaan ja tuhoaa sen

Kiristysohjelmahyökkäys, joka kumosi itsensä

Kiristysohjelmahyökkäykset kuvataan yleensä sen mukaan, mitä uhrile tapahtuu: tiedostot salataan, järjestelmät lukitaan ja lunnaita vaaditaan. Äskettäin raportoitu tapaus, joka liittyy Akira-kiristysohjelmaryhmään, kääntää tämän asetelman päälaelleen. Raporttien mukaan Akira yritti ovelaa väistöliikettä käynnistämällä kohdejärjestelmän uudelleen vikasuojaustilaan ohittaakseen päätepisteiden havaitsemis- ja vaste (EDR) -työkalut, mutta temppu epäonnistui niin pahasti, että se rikkoi kiristysohjelman oman salausohjelman. Microsoft Defender merkitsi ja asetti tartunnan saaneen tiedoston karanteeniin, jättäen hyökkääjät ilman mitään näyttöä tunkeutumisesta.

Se on harvinainen, lähes antikliimaksimainen lopputulos uhkakuvassa, jossa kiristysohjelmajengit ovat yleensä niitä, jotka aiheuttavat vahinkoa. Mutta tämä tapaus on enemmän kuin pelkkä kuriositeetti. Se tarjoaa hyödyllisen ikkunan siihen, miten hyökkääjät yrittävät poistaa käytöstä tietoturvapuolustuksia, ja mitä tapahtuu, kun nämä yritykset epäonnistuvat.

Miten vikasuojaustemppu toimii ja miksi se epäonnistui

Kompromitoidun koneen käynnistäminen vikasuojaustilaan on tunnettu tekniikka kiristysohjelmaoperaattoreiden keskuudessa. Vikasuojaustila riisuu Windows-järjestelmän vain sen olennaisiin ajureihin ja palveluihin, mikä sopivasti myös poistaa käytöstä monet kolmannen osapuolen EDR- ja virustorjuntatyökalut, jotka luottavat normaaleihin käynnistysprosesseihin latautuakseen. Hyökkääjille tämä luo ikkunan, jossa tietoturvaohjelmistot eivät tarkkaile, mikä helpottaa salausohjelman käyttöönottoa huomaamatta.

Tässä tapauksessa sama riisuttu ympäristö näyttää häirinneen salausohjelman omaa kykyä toimia oikein. Kiristysohjelmakuormat riippuvat usein tietyistä järjestelmäkomponenteista, kirjastoista tai palveluista suorittaakseen salausrutiininsa sujuvasti. Kun nämä riippuvuudet eivät ole saatavilla, koska vikasuojaustila on poistanut ne käytöstä, haittaohjelma voi kaatua tai epäonnistua kokonaan. Näin käytännössä tapahtui tässä tapauksessa: taktiikka, joka oli suunniteltu sokaistamaan puolustajat, päätyi sokaistamaan itse hyökkäyksen.

Lisäksi Microsoft Defender pystyi edelleen havaitsemaan ja asettamaan tartunnan saaneen tiedoston karanteeniin jälkikäteen, mikä viittaa siihen, että väistöyritys ei edes saavuttanut ydintavoitettaan pysyä piilossa Microsoftin sisäänrakennetuilta suojauksilta.

Miksi hyökkääjillä on silti etu tästä virheestä huolimatta

Olisi virhe tulkita tämä tapaus todisteeksi siitä, että kiristysohjelmapuolustukset ovat voittamassa laajempaa taistelua. Ryhmät, kuten Akira, ovat edelleen aktiivisia ja sitkeitä, ja tällainen epäonnistuminen on poikkeus, ei sääntö. Kiristysohjelmaoperaattorit hiovat jatkuvasti työkalujaan, testaavat uusia väistötekniikoita ja oppivat virheistä, kuten tästä. Epäonnistunut hyökkäys tänään ei tarkoita, etteikö sama tekniikka voisi olla korjattu ja otettu uudelleen käyttöön onnistuneesti huomenna.

Mitä tämä tapaus kuitenkin korostaa, on kerroksellisen puolustuksen ja nopean havaitsemisen tärkeys. Vaikka hyökkääjä onnistuisi häiritsemään tai poistamaan käytöstä yhden suojauskerroksen, muut työkalut, kuten Defenderin jälkitapahtumahavaitsemiskyky, voivat silti napata haitallisen toiminnan ennen kuin se aiheuttaa pysyvää vahinkoa. Tämä on myös syy, miksi uhkatiedon jakaminen on niin tärkeää eri toimialojen välillä. Pyrkimykset, kuten FBI:n kehotus terveydenhuoltoalan organisaatioille jakaa kiristysohjelmauhkatietoja, heijastavat kasvavaa ymmärrystä siitä, että näkyvyys hyökkääjien käyttäytymiseen, myös heidän epäonnistumisiinsa, auttaa puolustajia ennakoimaan seuraavaa liikettä sen sijaan, että he vain reagoisivat siihen.

Mitä tämä tarkoittaa sinulle

Tavallisille käyttäjille ja pienyritysten omistajille tämä tarina on muistutus siitä, että kiristysohjelma ei ole pysäyttämätön voima, mutta se ei myöskään ole katoamassa. Tämä erityinen tekninen epäonnistuminen, väistötemppu, joka rikkoi haittaohjelman oman toiminnan, oli suurelta osin onnenkauppaa uhrile eikä seurausta heidän ylivoimaisesta puolustuksestaan. Sinun ei pitäisi luottaa siihen, että hyökkääjät tekevät virheitä suojataksesi tietojasi.

Mitä voit hallita, on onnistuneen hyökkäyksen kohteeksi joutumisen todennäköisyyden vähentäminen alun perin. Tämä tarkoittaa järjestelmien pitämistä päivitettyinä, EDR- tai virustorjuntatyökalujen asianmukaista määritystä ja seurantaa sekä offline- tai muuttumattomien varmuuskopioiden ylläpitämistä, jotta edes onnistunut salausyritys ei tarkoita pysyvää tietojen menetystä. Organisaatioilla tulisi myös olla tietoturvaloukkausten hallintasuunnitelmia, jotka ottavat huomioon epätavallisen järjestelmän käyttäytymisen, kuten odottamattomat käynnistykset vikasuojaustilaan, koska nämä voivat olla varhaisia varoitusmerkkejä aktiivisesta tunkeutumisesta eikä rutiinihuollosta.

Keskeiset huomiot

Kiristysohjelmaryhmät, kuten Akira, kehittävät jatkuvasti uusia tapoja poistaa tietoturvatyökalut käytöstä ennen kuormiensa käyttöönottoa, ja vikasuojaustilan käynnistykset ovat yksi tällainen tekniikka. Tässä tapauksessa taktiikka epäonnistui, kaataen salausohjelman ja antaen Defenderille mahdollisuuden napata kuorma jälkikäteen. Mutta tämä lopputulos oli olosuhteista johtuva, ei taattu. Todellinen opetus yksilöille ja organisaatioille on pitää tietoturvatyökalut päivitettyinä, ylläpitää vahvoja varmuuskopiointikäytäntöjä ja pysyä valppaana epätavallisen järjestelmän käyttäytymisen suhteen. Kiristysohjelmapuolustus ei tarkoita toivoa, että hyökkääjät epäonnistuvat; se tarkoittaa sietokyvyn rakentamista, jotta kun he epäonnistuvat tai eivät, vahingot pysyvät rajattuina.