Jadepuffer palaa: Vain salaukseen perustuva kiristyshaittaohjelma, ei tietovarkautta

Mikä muuttui Jadepufferin toisessa aallossa

Kiristyshaittaohjelmaryhmät ovat viime vuosina yhdenmukaistaneet toimintansa yhteen ainoaan käsikirjoitukseen: varasta tiedot ensin, salaa ne sitten ja uhkaa vuotaa kaikki, jos uhri kieltäytyy maksamasta. Sitä kutsutaan kaksinkertaiseksi kiristykseksi, ja siitä on tullut oletustoimintamalli lähes jokaiselle vakavasti otettavalle kiristyshaittaohjelmajengille. Jadepuffer rikkoi juuri tuon kaavan.

Haittaohjelman uusin versio, joka on kuvattu sen paluuta käsittelevässä raportoinnissa, jättää tietovarkausvaiheen kokonaan väliin. Ei tiedon vuotamista ulos verkosta, ei varastettuja tiedostoja vuotosivustolla, ei toista uhkaa ensimmäisen päälle kerrostettuna. Sen sijaan Jadepuffer etenee suoraan salaukseen. Murretun järjestelmän tiedostot lukittuvat, lunnasviesti ilmestyy, ja hyökkääjän ainoa vipuvarsi on salauksen purkuavaimen lupaus (tai uhka). Siinä kaikki. Ei varastettuja asiakastietoja, ei vuodettuja sopimuksia, ei pimeän verkon huutokauppaa.

Päällisin puolin tämä kuulostaa hyökkääjien kannalta takapakilta. Kaksinkertainen kiristys on olemassa, koska se toimii: jopa organisaatiot, joilla on hyvät varmuuskopiot, maksavat toisinaan vain estääkseen varastettujen tietojen joutumisen julkisuuteen. Tämän vivun hylkäämisen pitäisi teoriassa tehdä Jadepufferista vähemmän tehokas. Raportointi kuitenkin viittaa päinvastaiseen: tätä toista versiota kuvataan suuremmaksi ja ilkeämmäksi kuin ensimmäistä, mikä herättää puolustajille tärkeän kysymyksen. Jos Jadepuffer ei luota tietovuotoon painostaakseen uhreja, mihin se sitten luottaa?

Miksi pelkkään salaukseen perustuva kiristys on yhä vaarallista

Vastaus on yksinkertainen ja epämiellyttävä: pelkkä salaus riittää usein sellaisenaan. Kaikille organisaatioille, joilla ei ole testattuja, verkon ulkopuolisia varmuuskopioita, verkon kaikkien tiedostojen salaaminen yhdessä yössä on liiketoiminnan pysäyttävä tapahtuma riippumatta siitä, varastettiinko tietoja samalla. Palkanlaskentajärjestelmät lakkaavat toimimasta. Potilastiedot muuttuvat saavuttamattomiksi. Verkkoon kytkettyihin ohjausohjelmistoihin nojaavat tuotantolinjat pimenevät. Vuotouhan puuttuminen ei tee käyttökatkosta yhtään vähemmän todellista.

Tätä kannattaa pysähtyä miettimään, sillä suuri osa kiristyshaittaohjelmauutisoinnista keskittyy ymmärrettävästi tietovarkausnäkökulmaan: mitä varastettiin, kehen se vaikuttaa, ilmestyvätkö tiedot vuotosivustolle. Jadepufferin paluu puhtaaseen salausmalliin on muistutus siitä, että pelkkä toiminnan häirintä voi yksin riittää lunnasmaksun kiristämiseen. Ryhmät, jotka jättävät tiedon ulosviennin väliin, liikkuvat myös nopeammin ja jättävät pienemmän jalanjäljen uhrin verkkoon, koska niiden ei tarvitse käyttää aikaa arkaluonteisten tiedostojen paikallistamiseen, pakkaamiseen ja siirtämiseen ennen salauksen käynnistämistä. Nopeudesta ja vaivihkaisuudesta tulee vastine vuotosivuston vipuvarresta luopumiselle.

Tämä Jadepufferin versio on osa laajempaa kaavaa, jota ryhmä on osoittanut työkaluhistoriassaan. Aiempi raportointi JadePufferin ensimmäisestä tekoälypohjaisesta kiristyshaittaohjelmahyökkäyksestä kuvasi operaatiota, joka oli huomionarvoinen siitä, kuinka suuri osa tunkeutumisesta oli automatisoitua eikä manuaalisesti ohjattua. Saman toimijan työkalu, Encforge, poikkesi omalla tavallaan tavanomaisesta kiristyshaittaohjelmien käsikirjoituksesta. Lukijat, jotka haluavat laajemman kuvan siitä, miten tämän ryhmän työkalupakki on kehittynyt, mukaan lukien Encforgen Langflow-haavoittuvuuden hyödyntäminen tekoälyinfrastruktuuriin pääsemiseksi, löytävät hyödyllistä taustaa aiemmasta kattauksesta.

Mitä uhritunnisteet ja lunnasviestit paljastavat

Yksi huomion arvoinen yksityiskohta on se, kuinka järjestelmällinen itse lunnasviesti on. Jokaiselle uhrille annetaan yksilöllinen tunniste, ja viestissä on salauksen purkuavaimeen liittyvä varoitus. Tämä rakenne ei ole sattumaa. Yksilölliset tunnukset antavat operaattoreille mahdollisuuden seurata, kuka uhri on kuka viestinvaihdossa, yhdistää maksut tiettyihin purkuavaimiin ja hallita useita samanaikaisia tapauksia ilman sekaannusta. Se on juuri sellaista infrastruktuuria, jota odottaisi ryhmältä, joka pyörittää tätä toistettavana operaationa eikä kertaluonteisena hyökkäyksenä.

Häiriöihin reagoiville ja uhkatiedustelutiimeille lunnasviestin muotoilu, tunnisterakenne ja maksuohjeet ovat myös hyödyllisiä artefakteja. Ne voivat auttaa vahvistamaan, onko tapaus aidosti kytköksissä tunnettuun toimijaan, kuten Jadepufferiin, vai kopioijaan, joka käyttää vuodettuja tai ostettuja työkaluja, millä on merkitystä päätettäessä, miten reagoida ja mitä odottaa seuraavaksi.

Altistuksen vähentäminen: verkon segmentointi, VPN:t ja varmuuskopiointistrategia

Käytännön vastatoimet pelkkään salaukseen perustuvaa kiristyshaittaohjelmaa vastaan eivät ole juurikaan muuttuneet, vaikka työkalut kehittyvät. Verkon ulkopuoliset, testatut varmuuskopiot ovat edelleen luotettavin tapa selviytyä salaustapahtumasta maksamatta. Samassa verkossa tuotantojärjestelmien kanssa sijaitsevat varmuuskopiot salautuvat usein kaiken muun ohella, joten eristyksellä on yhtä suuri merkitys kuin itse varmuuskopiolla.

Verkon segmentointi rajoittaa sitä, kuinka pitkälle hyökkääjä pääsee saatuaan jalansijaa, mikä supistaa salaustapahtuman vaikutusaluetta silloinkin, kun alkuperäinen pääsy onnistuu. Etäkäyttötyökalujen rajoittaminen, epätavallisen lateraaliliikkeen valvonta ja turvallisten etäkäyttömenetelmien käyttö (mukaan lukien VPN:t, jotka on määritetty tiukoilla käyttöoikeusrajoituksilla laajan verkkoon luottamisen sijaan) vähentävät kaikki todennäköisyyttä, että yksi vaarantunut tunnus muuttuu koko organisaation laajuiseksi käyttökatkoksi.

Mitä tämä tarkoittaa sinulle

Jos organisaatiosi käsittelee arkaluonteisia tietoja tai on päivittäisessä toiminnassaan riippuvainen verkotetuista järjestelmistä, Jadepufferin toinen aalto on muistutus siitä, ettei kiristyshaittaohjelman tarvitse varastaa tietojasi vahingoittaakseen sinua. Pelkkä salaus, mittavassa mittakaavassa tehtynä, on toimiva liiketoimintamalli hyökkääjille. Tämä tarkoittaa, että varmuuskopiointistrategia ja verkon segmentointi ansaitsevat saman huomion kuin tietovuodon estäminen, eivät vähempää. Sen tarkistaminen, kuinka nopeasti organisaatiosi voisi palauttaa toimintansa verkon ulkopuolisista varmuuskopioista koskematta lainkaan lunnasviestiin, on tuottoisampaa kuin yrittää ennustaa minkään yksittäisen ryhmän seuraavaa liikettä.

Keskeiset opit

• Jadepufferin uusin versio jättää tietovarkauden kokonaan väliin ja luottaa pelkkään salaukseen kiristysvivunaan.
• Pelkkään salaukseen perustuvat hyökkäykset voivat olla yhtä häiritseviä kuin kaksinkertainen kiristys, kun varmuuskopioita ei ole eristetty tuotantoverkosta.
• Lunnasviestin yksilölliset uhritunnisteet viittaavat jäsenneltyyn, toistettavaan operaatioon improvisoidun hyökkäyksen sijaan.
• Verkon ulkopuoliset, testatut varmuuskopiot ja verkon segmentointi pysyvät tehokkaimpina puolustuskeinoina tällaista hyökkäystyyppiä vastaan.
• Etäkäytön ja VPN-määritysten tarkistaminen vähimpien oikeuksien periaatteella voi rajoittaa sitä, kuinka laajalle tunkeutuja leviää ennen salauksen alkamista.