Ransomware banda s 483 žrtve i rastućim alatnim kompletom

Ransomware operacija poznata kao The Gentlemen navodno je kompromitirala 483 žrtve kombinirajući dva različita zlonamjerna alata: uslužni program za izbjegavanje obrane pod nazivom GentleKiller i udaljeni pristupni trojanac nazvan EtherRAT. Zajedno, ovi alati omogućuju grupi da onemogući sigurnosni softver na ciljanom računalu i održava prikrivenu komunikaciju zapovijedanja i kontrole koju je braniteljima teže prekinuti.

Grupa, koju su sigurnosni istraživači također povezali s napadima na organizacije poput nizozemskog ledenog stadiona obrađenog u našem izvješću o napadu ransomware bande The Gentlemen na Thialf, postupno širi svoj doseg. Umjesto da se oslanja na jedan novi exploit, uspjeh bande očito proizlazi iz slaganja nekoliko dobro poznatih tehnika izbjegavanja u jedan automatizirani paket, koji zatim ponovno koristi na velikom broju meta.

Kako GentleKiller pobjeđuje sigurnosni softver

U središtu ove kampanje je GentleKiller, alat izgrađen oko tehnike koja se obično naziva BYOVD, ili "Bring Your Own Vulnerable Driver" (donesi vlastiti ranjivi upravljački program). Jednostavno rečeno, napadači instaliraju legitiman, ali manjkav hardverski ili softverski upravljački program na žrtvino računalo. Budući da je taj upravljački program često digitalno potpisan i da mu Windows vjeruje, može se izvršavati s dubokim privilegijama na razini sustava. Napadači zatim iskorištavaju poznatu slabost u tom upravljačkom programu kako bi ugasili ili zaslijepili sigurnosni softver koji radi na računalu, effectively pretvarajući pouzdani dio softvera u oružje protiv upravo onih alata namijenjenih da ga zaustave.

Prema izvješćima o ovoj kampanji, GentleKiller je korišten za poraz proizvoda 48 različitih sigurnosnih dobavljača. Taj je broj važan jer sugerira da alat nije dizajniran za izbjegavanje jednog ili dva specifična antivirusna programa. Umjesto toga, izgrađen je kao širok, višekratno upotrebljiv okvir sposoban neutralizirati širok dio tržišta endpoint zaštite. To odražava obrazac koji smo pratili i ranije u našem izvješću o tome kako The Gentlemen ransomware zasljepljuje EDR alate, gdje su operateri grupe pokazali dosljedan interes za onemogućavanje detekcije prije implementacije svog stvarnog šifrirnog payloada.

EtherRAT i blockchain zaplet

Druga komponenta, EtherRAT, upravlja komunikacijom zapovijedanja i kontrole (C2), kanalom koji napadači koriste za slanje uputa zaraženim računalima i primanje ukradenih podataka ili statusnih ažuriranja natrag. Ono što EtherRAT izdvaja jest njegovo navodno korištenje blockchain infrastrukture u tu svrhu. Tradicionalni C2 poslužitelji mogu biti identificirani i uklonjeni od strane istraživača ili policije nakon što budu otkriveni. Usmjeravanjem komunikacije kroz mehanizme temeljene na blockchainu, napadači takvo uklanjanje čine znatno težim, budući da je blockchain podatkovni sustav distribuiran i otporan na jednostavno gašenje.

Ova kombinacija, ubojica obrane temeljen na upravljačkom programu uparen s otpornim C2 kanalom, odražava širi trend među ransomware-as-a-service operacijama: izgradi jednom, prodaj ili licenciraj široko, i pusti partnere da vode kampanje velikih razmjera protiv raznih meta, uključujući mala i srednja poduzeća koja sve više izdvajaju grupe koje se natječu za tržišni udio, kao što smo detaljno opisali u našem članku o Qilin i The Gentlemen eskaliraju napade na SMB-ove.

Što to znači za vas

Ako upravljate IT sustavima za tvrtku, ili vas čak samo zanima sigurnost vaše kućne mreže, ključna lekcija ovdje nije specifična za The Gentlemen. Radi se o ograničenjima oslanjanja na bilo koji pojedinačni sigurnosni proizvod. Alat sposoban poraziti 48 različitih dobavljača pokazuje da se antivirusni softver ili softver za detekciju endpointa sam po sebi ne može smatrati potpunom obranom.

Za pojedince je praktični rizik manji, ali ne i nula: ransomware grupe često dobivaju početni pristup putem phishing e-pošte, izloženih usluga udaljenog pristupa ili softvera bez zakrpa, istih ulaznih točaka koje ugrožavaju osobne podatke i kućne mreže. Održavanje sustava ažurnima, korištenje jedinstvenih zaporki i oprez s neželjenim privicima ostaje temeljna zaštita bez obzira na to koliko pozadinski malware postane sofisticiran.

Za organizacije je ova kampanja podsjetnik da plaćanje otkupnine ne jamči sigurnost u budućnosti. Kao što je obrađeno u našoj ranijoj analizi Proofpoint studije o platiteljima otkupnine, otprilike jedno od tri poduzeća koja plate otkupninu ponovno bude napadnuto. Višeslojne obrane, izvanmrežne sigurnosne kopije i politike dopuštenih upravljačkih programa koje ograničavaju koji se upravljački programi na razini jezgre mogu učitati daleko su trajnije zaštite od nade da će jedan sigurnosni alat uhvatiti svaku prijetnju.

Ključni zaključci

  • Ne oslanjajte se na jedan sigurnosni proizvod; višeslojne obrane postaju važnije kada napadači posebno dizajniraju alate za zaobilaženje pojedinih dobavljača.
  • Ograničite koje se upravljačke programe mogu učitati na vašim sustavima, budući da BYOVD napadi ovise o instaliranju vanjskih upravljačkih programa s pristupom jezgri.
  • Održavajte izvanmrežne, testirane sigurnosne kopije kako ransomware infekcija ne bi prisilila na odluku o plaćanju.
  • Prema neočekivanoj e-pošti, poveznicama i zahtjevima za udaljeni pristup postupajte sa sumnjom, budući da početni pristup još uvijek obično počinje osnovnim socijalnim inženjeringom ili softverom bez zakrpa.
  • Ostanite informirani o grupama poput ransomware operacije The Gentlemen, budući da se njihovi alati i mete nastavljaju razvijati.