Server koji je razotkrio prekogranični lanac kibernetičkog kriminala
Pogrešno konfiguriran ili na drugi način izložen server otkrio je pozadinu djelovanja ruskog inicijalnog pristupnog brokera (IAB), vrste kibernetičkog kriminalca koji se specijalizirao za provalu u korporativne mreže i potom prodaju tog pristupa najboljem ponuđaču. Prema izvještajima o otkriću, server je razotkrio razgranatu operaciju koja služi dvostrukoj svrsi: potiče napade ransomwareom na organizacije diljem svijeta, dok se istovremeno koristi za špijuniranje meta u Ukrajini.
Inicijalni pristupni brokeri zauzimaju jedinstvenu i često zanemarenu ulogu u ekonomiji kibernetičkog kriminala. Umjesto da sami šalju ransomware, oni djeluju kao dobavljači, probijajući mreže putem phishinga, popunjavanja vjerodajnica (credential stuffing), izloženih alata za udaljeni pristup ili nezakrpanih ranjivosti, a potom taj pristup pakiraju za preprodaju. Bande koje stoje iza ransomwarea, koje često nemaju strpljenja ni vještine za početni prodor, kupuju taj pristup i odmah prelaze na šifriranje datoteka i traženje otkupnine. Ova podjela rada učinila je ekosustav ransomwarea bržim, skalabilnijim i težim za ometanje, budući da uklanjanje jedne ransomware grupe gotovo ništa ne čini brokerima koji održavaju protok žrtava.
Kada se kibernetički kriminal i kibernetička špijunaža preklapaju
Ono što ovaj slučaj čini značajnim jest dvostruka namjena operacije. Ista infrastruktura i ukradeni pristup koji su očito korišteni za opskrbljivanje ransomware grupa također su povezani s nadzornim aktivnostima usmjerenim protiv Ukrajine. Ovo stapanje financijski motiviranog kibernetičkog kriminala s onim što nalikuje državno povezanoj ili geopolitički vođenoj špijunaži obrazac je koji se pojavljivao i u sličnim istragama, uključujući ranije izvješće o ruskom hakeru koji prodaje ukradeni korporativni pristup i špijunira Ukrajinu. Bez obzira na to jesu li uključene osobe samostalni kriminalci koji povremeno rade za obavještajne svrhe, ili operateri s labavijim vezama s državnim interesima, učinak je isti: alati i pristup koji se koriste za iznudu nad poslovnim subjektima mogu se jednako lako prenamijeniti za nadzor ratnog protivnika.
Za organizacije koje postanu žrtve ovakvih brokera, ovo preklapanje znatno podiže ulog. Provala koja bi se inače mogla tretirati kao rutinski ransomware incident – obuzdavanje, vraćanje iz sigurnosnih kopija, obavještavanje pogođenih strana – mogla bi također značiti da su osjetljivi podaci, komunikacije ili mrežna uporišta bili izloženi akterima sa širim geopolitičkim motivima. Ta razlika je važna za timove za odgovor na incidente koji odlučuju koliko ozbiljno shvatiti kompromitaciju i s koliko pažnje ispitati što je bilo pristupljeno prije nego što je ransomware uopće aktiviran.
Zašto su inicijalni pristupni brokeri važni običnim korisnicima interneta
Lako je pretpostaviti da su tržišta pristupnih brokera isključivo problem velikih poduzeća s vrijednim mrežama koje treba zaštititi. U stvarnosti, vjerodajnice i uporišta koje ti brokeri prodaju često potječu iz mnogo prizemnijih izvora: ponovno korištenih lozinki, phishing poruka koje otvori jedan zaposlenik ili zaboravljenih veza za udaljenu radnu površinu ostavljenih otvorenima prema internetu. Pojedinci koji ponovno koriste lozinke na osobnim i poslovnim računima, ili koji nasjednu na uvjerljive phishing pokušaje, mogu nesvjesno predati napadačima upravo ono uporište koje će se mjesecima kasnije upakirati i prodati nekom ransomware partneru.
Razotkriveni server u ovom slučaju podsjetnik je da infrastrukturu iza velikih ransomware napada ne vode uvijek tajanstvene, iznimno sofisticirane državne hakerske jedinice. Ponekad je to jedan broker s loše osiguranim serverom, koji ironično završi tako što istraživačima i novinarima otkrije detalje o vlastitoj operaciji.
Što to znači za vas
Za većinu čitatelja ova priča nije razlog za paniku, ali je koristan prozor u to kako ransomware napadi zapravo započinju. Davno prije nego što tvrtka objavi da je pogođena ransomwareom, netko je, negdje, vjerojatno prodao pristup toj mreži na kriminalnom forumu ili kroz privatni brokerski odnos. Jačanje osnova osobne i organizacijske sigurnosti izravno prekida taj lanac opskrbe.
Ako upravljate IT sustavima ili radite u ulozi osviještenoj o sigurnosti, shvatite ovo kao potvrdu za ulaganje u higijenu vjerodajnica, višefaktorsku autentifikaciju i praćenje izloženih usluga udaljenog pristupa. Ako ste običan korisnik, poruka je jednostavnija: jedinstvene lozinke, upravitelj lozinki i skepticizam prema neočekivanim zahtjevima za prijavu ili phishing porukama – sve to smanjuje šansu da vaše vjerodajnice završe u katalogu pristupnog brokera.
Ključni zaključci
- Inicijalni pristupni brokeri, poput ovoga ovdje razotkrivenog, djeluju kao posrednici, prodajući ukradeni mrežni pristup ransomware bandama umjesto da sami izvode napade.
- Čini se da je ova konkretna operacija služila dvostrukoj svrsi, podupirući i ransomware kriminal i nadzorne aktivnosti povezane s Ukrajinom.
- Omogućite višefaktorsku autentifikaciju na svim ključnim računima i izbjegavajte ponovno korištenje lozinki na različitim uslugama.
- Organizacije bi trebale redovito provjeravati alate za udaljeni pristup i sustave izložene internetu jer su to i dalje uobičajene ulazne točke za brokere.
- Ostanite informirani o tome kako funkcioniraju lanci opskrbe ransomwareom; razumijevanje uloge pristupnih brokera pomaže u davanju prioriteta obrani na točki početne kompromitacije, a ne tek nakon što je ransomware već aktiviran.
