Hiljaisempi tapa sokaista puolustuksesi

Kiristysohjelmaoperaattorit ovat pitkään yrittäneet tappaa tietoturvaohjelmiston ennen hyökkäystä, sulkien virustorjuntatyökalut, päätepisteen havainnointi- ja reagointiagentit (EDR) ja varmuuskopiopalvelut, jotta mikään ei estä salausta. Mutta uudempi työkalusukupolvi, jota joskus kutsutaan "kiristysohjelmien tappajiksi", käyttää hienovaraisempaa lähestymistapaa. Sen sijaan, että prosessi lopetettaisiin kokonaan, nämä työkalut ylikirjoittavat kirurgisesti prosessin muistin jättäen samalla sovelluksen teknisesti käyntiin.

Ero on tärkeämpi kuin miltä se saattaa kuulostaa. Kun tietoturvaprosessi tapetaan, se yleensä katoaa järjestelmän prosessilistalta, ja monilla organisaatioilla on käytössä valvontaa nimenomaan tällaisen katoamisen havaitsemiseksi. Valvontapalvelu, hallintakonsoli tai hälytyssääntö voi huomata hetken, jolloin virustorjuntaprosessi lakkaa vastaamasta ja nostaa hälytyksen. Ylikirjoittamalla prosessin muistin sen sijaan hyökkääjät voivat neutralisoida sen kyvyn havaita tai reagoida uhkiin, samalla kun itse prosessi näyttää edelleen aktiiviselta kenellekään, joka vilkaisee tehtävienhallintaa tai perustason terveystarkistusta.

Miksi muistin ylikirjoittaminen on vaikeampaa havaita

Tämä tekniikka hyödyntää aukkoa sen välillä, mitä tietoturvatyökalut on suunniteltu valvomaan ja mikä todella osoittaa tietomurron. Useimmat puolustuskerrokset on rakennettu oletukselle, että toimiva tietoturva-agentti tarkoittaa suojauksen olevan ehjä. Jos prosessi on olemassa ja käynnissä, oletetaan, että se hoitaa tehtävänsä. Kiristysohjelmien tappajat, jotka manipuloivat muistia suoraan, horjuttavat tätä oletusta laukaisematta sitä selvää signaalia – prosessin kaatumista tai päättymistä – johon monet havaitsemisjärjestelmät tukeutuvat.

Tämä on luonnollinen jatkumo trendille, joka on jo muokannut kiristysohjelmaryhmien toimintaa. Kuten äskettäisessä katsauksessa EDR:n tappaviin kiristysohjelmakehyksiin käsiteltiin, hyökkääjät ovat siirtyneet pois siitä, että kiirehditään salaamaan tiedostot ennen kuin puolustus reagoi, ja kohti puolustusten järjestelmällistä poistamista ensin. Muistin ylikirjoitustekniikat edustavat seuraavaa askelta samassa pelikirjassa: sen sijaan, että työkalu vain poistettaisiin käytöstä, hyökkääjät oppivat saamaan näyttämään siltä, ettei mitään tapahtunut lainkaan.

Tietoturvaryhmille tämä nostaa esiin käytännön ongelman. Havaitsemisstrategiat, jotka nojaavat siihen, "onko tietoturvaprosessi edelleen käynnissä" edustajana sille, "onko päätepiste edelleen suojattu", voidaan hiljaisesti voittaa. Tämä ei tarkoita, että nämä työkalut olisivat hyödyttömiä, mutta se tarkoittaa, että organisaatiot tarvitsevat lisämerkkejä, kuten sen varmistamisen, että prosessi todella toimii normaalisti, eikä vain sitä, että se on olemassa, havaitakseen tällaisen peukaloinnin.

Laajempi kuvio EDR- ja virustorjunnan väistämisestä

Tämä kehitys sopii laajempaan kuvioon, jossa kiristysohjelmaryhmät kohtelevat tietoturvaohjelmistoa ensimmäisenä poistettavana esteenä, eikä jälkiajatuksena. Hyökkääjät ovat yhä useammin rakentaneet omistettuja työkaluja juuri havaitsemistuotteiden poistamiseen tai ohittamiseen ennen varsinaisen kiristysohjelman hyötykuorman asettamista. Siirtyminen muistin manipulointiin suoran lopettamisen sijaan viittaa siihen, että nämä ryhmät sopeutuvat aktiivisesti puolustajiin, jotka ovat parempia havaitsemaan hyökkäyksen karkeamman version. Kun kerrostetut puolustukset, kuten EDR:n tappavien kiristysohjelmakehysten vaatimat, tulevat standardineuvoiksi, hyökkääjät hiovat vastaavasti menetelmiään päästäkseen juuri näiden kerrosten ohi.

Mitä tämä tarkoittaa sinulle

Yksittäisille käyttäjille tällainen hyökkäys ei todennäköisesti kohdistu suoraan, sillä se tähtää yrityksen tietoturvainfrastruktuuriin henkilökohtaisten laitteiden sijaan. Mutta perusoppitunti pätee laajalti: tietoturvatyökalun läsnäolo järjestelmässäsi ei takaa, että se toimii oikein. Kiristysohjelmien tappajat muistuttavat, että hyökkääjät keskittyvät yhä enemmän hiljaiseen suojauksen poistamiseen sen sijaan, että laukaisisivat näkyviä hälytyksiä, minkä vuoksi kannattaa kiinnittää huomiota siihen, toimiiko tietoturvaohjelmistosi todella normaalisti, eikä vain siihen, onko se asennettu ja käynnissä.

IT- ja tietoturvaryhmille tämä tekniikka korostaa tarvetta mennä pidemmälle kuin yksinkertaiset "onko prosessi hengissä" -tarkistukset. Valvonnan tulisi sisältää tietoturvatyökalujen itsensä käyttäytymisen vahvistaminen, sen tarkistaminen, että ne todella skannaavat, päivittyvät ja raportoivat odotetusti, eivätkä vain ole paikalla prosessilistalla. Kerrostetut puolustukset, redundanttinen valvonta ja tietoturvatyökalujen kunnon varmentaminen kaistan ulkopuolelta tulevat kaikki tärkeämmiksi, kun hyökkääjät ovat parempia normaalina esiintymisessä.

Käytännön toimenpiteitä

  • Älä luota pelkästään prosessin olemassaoloon todisteena siitä, että tietoturvaohjelmisto toimii; vahvista käyttäytyminen, ei vain olemassaolo.
  • Varmista, että tietoturvatyökaluilla on eheystarkastukset tai suojauksen peukalointia estävät ominaisuudet käytössä, jos saatavilla.
  • Rakenna valvonta, joka merkitsee epätavallisen muistitoiminnan kriittisten tietoturvaprosessien ympärillä, ei vain kaatumisia tai päättymisiä.
  • Pidä päätepisteen havaitsemistyökalut ajan tasalla, koska valmistajat usein paikkaavat tunnettuja väistötapoja sitä mukaa, kun niitä löydetään.
  • Käsittele mitä tahansa ilmoitusta "kiristysohjelmientappaja"-työkaluista signaalina tarkistaa, miten organisaatiosi todentaa omien puolustustensa kunnon, ei vain sitä, ovatko ne teknisesti käynnissä.

Kun kiristysohjelmaryhmät jatkavat tapojen hiomista neutralisoida tietoturvatyökalut laukaisematta ilmeisiä hälytyksiä, pysyminen ajan tasalla näistä väistötekniikoista on yksi yksinkertaisimmista tavoista pysyä niiden edellä.