Tietoturvatutkijat ovat tunnistaneet uuden SynkLoader-nimisen haittaohjelmaperheen, joka yhdistää vanhan koulukunnan kaappausmenetelmän moderniin ominaisuuspakettiin, ja analyytikot uskovat sen voivan luoda pohjaa tuleville kiristysohjelmakampanjoille. Löytö lisää jälleen yhden merkinnän kasvavaan monitoimihaittaohjelmapakettien listaan, jotka yhdistävät sosiaalisen manipuloinnin, tunnistetietojen varastamisen ja salakavalat suoritusmenetelmät, jotka on suunniteltu livahtamaan yritysten puolustusten ohi.
Mikä on SynkLoader ja miten se toimii
SynkLoader erottuu joukosta, koska se ei luota yhteen ainoaan tartuntamenetelmään. Sen sijaan se paketoi useita ominaisuuksia yhdeksi joustavaksi työkaluksi, mikä antaa sen käyttäjille vaihtoehtoja siitä, miten kohdeympäristöön murtaudutaan. Kampanjaa koskevat raportit kuvaavat hyökkääjien käyttävän väärennettyjä IT-tukikeskusteluja, jotka toimitetaan työpaikan chat-alustojen, kuten Microsoft Teamsin, kautta huijatakseen työntekijöitä myöntämään pääsyn tai suorittamaan haitallisia komentoja. Päästyään sisään haittaohjelma voi suorittaa koodia suoraan muistissa PowerShellin avulla – tekniikka, joka auttaa sitä välttämään selkeiden jälkien jättämistä levylle, joita virustorjuntatyökalut voisivat havaita.
Tämänkaltainen henkilöityshyökkäys toimii, koska se hyödyntää luottamusta eikä teknistä haavoittuvuutta. Työntekijä, joka vastaanottaa viestin, joka näyttää tulevan omalta IT-osastolta, kyseenalaistaa sen huomattavasti epätodennäköisemmin kuin viestin tuntemattomalta ulkoiselta lähettäjältä. Juuri siksi tukipalvelu- ja tuki-aiheinen tietojenkalastelu on muodostunut niin luotettavaksi sisäänpääsykeinoksi hyökkääjille monissa viimeaikaisissa kampanjoissa.
Vanha temppu saa modernin päivityksen
Mikä tekee SynkLoaderista erityisen huomionarvoisen, on sen käyttämä näytönkaappaus (screen hijacking), tekniikka, joka on jäänyt pois yleisestä käytöstä hyökkääjien siirtyessä kehittyneempiin etäkäyttötyökaluihin. Näytönkaappaus käytännössä antaa hyökkääjän tarkkailla tai hallita, mitä uhri näkee ja tekee koneellaan, mikä tekee siitä tehokkaan tavan kerätä kirjautumistunnuksia niiden syötön tai näyttämisen aikana. Tämän lähestymistavan elvyttäminen uudempien ominaisuuksien rinnalla viittaa siihen, että SynkLoaderin takana olevat kehittäjät ammentavat laajasta valikoimasta tekniikoita, sekä vanhoja että uusia, maksimoidakseen käyttökelpoisten tunnistetietojen varastamisen mahdollisuudet.
Vanhojen temppujen yhdistäminen nykyaikaisiin toimitustapoihin on kuviota, jota kannattaa seurata. Hyökkääjien ei tarvitse keksiä jotain täysin uutta ollakseen tehokkaita; heidän tarvitsee usein vain paketoida todistetut tekniikat uudelleen tavalla, joka väistää nykyiset havaitsemistyökalut. Julkisesti kiertävä jatkuva hyödyntämiskoodin tarjonta, kuten äskettäinen tapaus, jossa GitHub-käyttäjä julkaisi 204 zero-day-haavoittuvuutta kerralla, tekee haittaohjelmakehittäjille vain helpommaksi lisätä uusia ominaisuuksia olemassa oleviin työkalupaketteihin, kuten SynkLoaderiin.
Kiristysohjelmayhteys
Se, mikä huolestuttaa tutkijoita eniten, ei ole vain se, mitä SynkLoader tekee tänään, vaan se, mitä se saattaa valmistella huomista varten. Työkalun suunnittelu, erityisesti sen keskittyminen tunnistetietojen varastamiseen ja salakavalaan pysyvyyteen, peilaa varhaisen vaiheen taktiikoita, joita nähdään yleisesti ennen kiristysohjelman käyttöönottoa. Hyökkääjät tarvitsevat tyypillisesti kelvolliset tunnistetiedot ja jalansijan verkossa ennen kuin he voivat liikkua sivuttain ja lopulta levittää salauskuormat organisaation järjestelmiin. Monitoimityökalu, kuten SynkLoader, joka pystyy keräämään salasanoja hiljaa sulautuen samalla normaaliin verkkotoimintaan, sopii tuohon varhaisen vaiheen profiiliin tarkasti.
Tämä ei tarkoita, että jokainen SynkLoader-tartunta päättyisi kiristysohjelmahyökkäykseen, mutta tekniikoiden päällekkäisyys riittää siihen, että analyytikot liputtavat sen mahdollisena edeltäjänä. Organisaatioiden, jotka havaitsevat SynkLoader-toimintaa, tulisi kohdella sitä vakavana tapahtumana, joka vaatii täyden tutkinnan, eikä rutiininomaisena haittaohjelman puhdistuksena.
Mitä tämä tarkoittaa sinulle
Sekä tavallisille käyttäjille että IT-tiimeille SynkLoader on muistutus siitä, että sosiaalinen manipulointi on edelleen yksi tehokkaimmista tavoista, joilla hyökkääjät saavat alkuperäisen pääsyn. Tekninen hienostuneisuus ei merkitse mitään, jos työntekijä saadaan luovuttamaan tunnistetiedot tai suorittamaan haitallinen skripti, koska pyyntö näytti tulevan sisäisestä IT-tuesta. Tukipyyntöjen vahvistaminen erillisen kanavan kautta sen sijaan, että luottaisi chat-viestiin sellaisenaan, on edelleen yksi yksinkertaisimmista ja tehokkaimmista puolustuskeinoista.
Teknisellä puolella päätepisteiden suojauksen pitäminen ajan tasalla ja epätavallisen PowerShell-toiminnan seuranta voivat auttaa havaitsemaan muistissa tapahtuvan suorituksen ennen kuin se eskaloituu. Kaikille, jotka ovat huolissaan tunnistetietojen altistumisesta etätyössä tai jaetuissa verkoissa, suojattujen yhteyksien käyttäminen on myös tärkeää. Nykyaikaisten vaihtoehtojen vertailu, kuten WireGuard vs OpenVPN -artikkelissa esitetyt erot, voi auttaa yksilöitä ja organisaatioita valitsemaan VPN-protokollan, joka tasapainottaa nopeuden ja turvallisuuden sopivasti heidän tarpeisiinsa.
Pysyminen askeleen edellä SynkLoaderin kaltaisista työkaluista
SynkLoader havainnollistaa, miten haittaohjelmakehitys kehittyy jatkuvasti sekoittamalla vanhoja tekniikoita uusiin toimitustapoihin sen sijaan, että keksittäisiin pyörä kokonaan uudelleen. Sen ilmeiset yhteydet kiristysohjelman edeltäjäkäyttäytymiseen tekevät siitä uhan, jota kannattaa seurata tarkasti, erityisesti organisaatioille, jotka tukeutuvat vahvasti chat-pohjaiseen IT-tukeen.
Käytännön opit ovat yksinkertaisia: kouluta työntekijöitä vahvistamaan odottamattomat IT-pyynnöt tunnetun, erillisen kanavan kautta; seuraa epäilyttävää PowerShell- tai muistissa tapahtuvaa suoritustoimintaa; ja pidä tietoturvatyökalut ajan tasalla, jotta uudet monitoimihaittaohjelmat voidaan havaita varhain. Näihin kuvioihin valppaana pysyminen nyt voi olla ero tunnistetietojen varastamisyrityksen kiinni saamisen ja myöhemmän täysimittaisen kiristysohjelmatapauksen välillä.
