Uusi ransomware-palveluna-toiminta on ilmestynyt maan alle -foorumeille, ja se tuo mukanaan sellaista viimeistelyä, josta on tullut standardi kyberrikollisuuden taloudessa. Uhkatoimija, joka toimii nimimerkillä EclipseSupport, markkinoi aktiivisesti Eclipse Ransomwarea, alustaa joka on rakennettu antamaan kumppaneille mahdollisuus toteuttaa kiristyskampanjoita Windows-, Linux- ja ESXi-infrastruktuuria vastaan ilman, että heillä itsellään tarvitsee olla syvällisiä teknisiä taitoja.

Se, miksi tähän kehitykseen kannattaa kiinnittää huomiota, ei ole pelkästään itse haittaohjelma. Kyse on sen ympärille rakennetusta liiketoimintamallista, joka peilaa laillisia ohjelmisto-palveluna-tuotteita lähes kaikilta osin paitsi niiden taustalla olevan tarkoituksen osalta.

Eclipse Ransomware RaaS -alustan sisällä

Toimintaa koskevien raporttien mukaan Eclipse Ransomware toimii täysin hallittuna kumppaniekosysteeminä. Sen keskiössä on ylläpitopaneeli, joka antaa operaattoreille keskitetyn hallinnan aktiivisiin kampanjoihin. Paneeli tukee monen käyttäjän tiimipääsyä, mikä tarkoittaa, että kumppaniryhmät voivat tehdä yhteistyötä operaatioissa sen sijaan, että työskentelisivät eristyksissä, ja se sisältää automaattisen maksujen vahvistuksen virtaviivaistamaan lunnaiden keräämistä, kun uhrit päättävät maksaa.

Reaaliaikainen toiminnan lokitus antaa kumppaneille ja alustan kehittäjille näkyvyyden siihen, miten kampanjat etenevät, kun taas integroitu LiveChat-portaali hoitaa prosessin epämukavimman osan suoraan: neuvottelut uhrien kanssa. Tällaisesta sisäänrakennetusta viestintätyökalusta on tullut modernin ransomware-toiminnan tunnusmerkki, joka antaa kiristysryhmille mahdollisuuden painostaa uhreja reaaliajassa ilman kolmannen osapuolen viestisovelluksia tai sähköpostia.

Eclipsen takana olevat kehittäjät turvautuvat myös kaksoiskiristykseen, taktiikkaan josta on tullut oletusarvo ransomware-kentällä. Sen sijaan, että he vain salaavat tiedostoja ja vaativat maksua salauksenpurkuavaimesta, hyökkääjät ensin varastavat yrityksen tietoja ja uhkaavat julkaista ne julkisesti, jos lunnaita ei makseta. Tämä antaa uhreille kaksi erillistä syytä suostua, vaikka heillä olisi varmuuskopiot, jotka muuten mahdollistaisivat palautumisen ilman maksamista.

Kohdentamalla erityisesti Windows-, Linux- ja ESXi-ympäristöihin Eclipse asemoituu iskemään infrastruktuuriin, joka kannattelee useimpia moderneja yritysverkkoja. Erityisesti ESXi on suosittu kohde ransomware-ryhmille, koska yksi vaarantunut hypervisor-isäntä voi johtaa kymmenien virtuaalikoneiden salaamiseen kerralla, mikä moninkertaistaa yhden onnistuneen tunkeutumisen aiheuttaman vahingon.

Miksi RaaS-alustat lisääntyvät jatkuvasti

RaaS-malli alentaa merkittävästi kyberrikollisuuteen osallistumisen kynnystä. Sen sijaan, että kumppanien täytyisi rakentaa salausvälineet, neuvotteluinfrastruktuuri ja maksujärjestelmät tyhjästä, he voivat vuokrata pääsyn vakiintuneelle alustalle ja keskittyä puhtaasti verkkoihin tunkeutumiseen. Kehittäjät puolestaan ottavat osuuden tuotoista, mikä luo jatkuvan tulovirran, joka kannustaa jatkuvaan ominaisuuksien kehittämiseen — täsmälleen samanlainen dynamiikka, joka on ajanut ransomwaren ammattimaistumista viime vuosien aikana.

Tämä on osa laajempaa kaavaa, jossa myös työkalut, joilla verkkoja alun perin vaarannetaan, kehittyvät nopeasti. Korjaamattomat haavoittuvuudet laajalti käytetyissä ohjelmistoissa ovat edelleen yksi yleisimmistä tuloväylistä ransomware-kumppaneille. Viimeaikaisia esimerkkejä ovat tutkija, joka pudotti jälleen yhden Windowsin nollapäivän ilman saatavilla olevaa toimittajan korjausta, sekä erillinen tapaus, jossa Windowsin nollapäivä nimeltä Legacyhive vuodettiin turhautuneen tietoturvatutkijan toimesta. Jokainen korjaamaton puute edustaa potentiaalista ovea juuri sellaisille kumppaniryhmille, joita Eclipsen kaltaiset alustat on suunniteltu tukemaan.

Microsoftin oma korjausrytmi korostaa puolustajien kohtaaman haasteen mittakaavaa. Yhtiö julkaisi äskettäin ennätykselliset 570 tietoturvakorjausta yhdessä Patch Tuesday -julkaisussa, mukaan lukien korjauksia aktiivisesti hyväksikäytettyihin nollapäiviin. Tämä haavoittuvuuksien määrä, joka saapuu lähes jatkuvasti, antaa ransomware-kumppaneille tasaisen tarjonnan mahdollisia hyökkäyspolkuja, erityisesti organisaatioissa, joilla on vaikeuksia pitää korjausaikataulut ajan tasalla suurissa Windows- ja Linux-ympäristöissä.

Mitä tämä tarkoittaa sinulle

Jos hallinnoit IT-infrastruktuuria, oli kyseessä sitten pieni yritys tai suurempi organisaatio, Eclipse Ransomwaren ilmestyminen on muistutus siitä, että ransomware-palveluna-alustat alentavat hyökkääjien osaamiskynnystä samalla kun ne nostavat itse hyökkäysten toiminnallista hienostuneisuutta. Eclipsen käyttävien kumppanien ei tarvitse olla haittaohjelmakehittäjiä — he tarvitsevat vain jonkin tavan päästä sisään.

Yksityishenkilöille suora altistuminen yritysten RaaS-alustalle, kuten Eclipse, on rajallista, mutta heijastevaikutukset eivät ole. Ransomware-hyökkäykset sairaaloihin, palveluntarjoajiin ja yrityksiin, jotka säilyttävät asiakastietoja, johtavat rutiininomaisesti henkilökohtaisten tietojen julkaisemiseen tai myymiseen, kun kaksoiskiristysvaatimuksia ei makseta. Tämä tarkoittaa, että tiedot, jotka olet jakanut minkä tahansa Windows-, Linux- tai ESXi-infrastruktuuria käyttävän organisaation kanssa, voivat päätyä tulevan tietoturvaloukkauksen uhriksi tämän tai vastaavan alustan kautta.

Käytännön toimia, joihin kannattaa ryhtyä

Organisaatioiden, jotka käyttävät ESXi-isäntiä tai sekoitettuja Windows- ja Linux-ympäristöjä, tulisi kohdella korjausten hallintaa prioriteettina eikä rutiinitehtävänä, koska korjaamattomat järjestelmät ovat edelleen yleisin tuloväylä ransomware-kumppaneille. Verkon segmentointi niin, että yksi vaarantunut isäntä ei voi aiheuttaa koko ympäristön haltuunottoa, on yhtä tärkeää, erityisesti virtualisointi-infrastruktuurissa, jossa yksi hypervisor-turvaloukkaus voi vaikuttaa kymmeniin koneisiin.

Offline-varmuuskopioiden ylläpito ja testaaminen on edelleen yksi harvoista luotettavista puolustuksista näiden hyökkäysten salauspuolta vastaan, vaikka se ei suojaa tietovuodon uhalta, johon kaksoiskiristys perustuu. Siksi internetiin yhteydessä oleviin järjestelmiin tallennettujen arkaluonteisten tietojen rajaaminen ja sen salaaminen, mitä on pakko säilyttää, on yhtä tärkeää kuin varmuuskopiointistrategia.

Tavallisille käyttäjille paras puolustus on epäsuora mutta silti merkityksellinen: käytä yksilöllisiä salasanoja eri palveluissa, ota monivaiheinen tunnistautuminen käyttöön siellä, missä sitä tarjotaan, ja kiinnitä huomiota tietoturvaloukkausilmoituksiin yrityksistä, joiden kanssa asioit. Eclipse Ransomware RaaS -alusta on uusi tulokas tungoksella täytetyllä kentällä, mutta perusteet sen välillisten vaikutusten torjumiseksi eivät ole muuttuneet.