Helix ransomware grupa cilja Uber Freight

Ransomware grupa koja sebe naziva Helix preuzela je odgovornost za kibernetički napad na Uber Freight, logistički odjel diva za prijevoz putnika, objavivši detalje navodnog proboja početkom kolovoza. Prema izvještajima o prijetnjama koji prate ovaj incident, grupa tvrdi da je pristupila internim SharePoint sustavima i iznijela veliku količinu datoteka, a neki izvještaji navode brojke koje se približavaju milijun dokumenata. Uber Freight je potvrdio da istražuje incident, iako tvrtka nije potvrdila opseg niti autentičnost svega što napadači tvrde da posjeduju.

Vrijedi napomenuti da u sigurnosnom razgovoru trenutno postoji još jedan, nepovezani "Helix": sustav za nadzor Tajne službe SAD-a koji kombinira podatke o prepoznavanju lica i registarskim tablicama, a koji je izazvao vlastitu skrb o privatnosti. Podudaranje imena je slučajno, ali je dobar podsjetnik da prije donošenja zaključaka provjerite na koji "Helix" se naslov zapravo odnosi.

Taktike dvostruke iznude i RaaS poslovni model

Ono što ovaj incident čini značajnim nije samo meta, već i taktike. Obavještajne informacije o prijetnjama povezane s grupom Helix opisuju obrazac dosljedan modernim operacijama ransomware-as-a-service (RaaS): šifriranje operativnih sustava, zahtijevanje otkupnine i prijetnja javnom objavom ukradenih podataka ako žrtva ne plati. Ovaj model "dvostruke iznude" postao je standardni scenarij za ransomware bande tijekom posljednjih nekoliko godina, jer napadačima daje polugu čak i kada žrtva ima solidne sigurnosne kopije i može obnoviti rad bez plaćanja.

RaaS grupe također imaju tendenciju brzog djelovanja nakon što uspostave pristup. Istraživači prijetnji koji prate šire aktivnosti grupe Helix primjećuju da kada iskoristivi tehnički detalji ili dokaz koncepta postanu dostupni, militarizirani napadi mogu uslijediti u roku od nekoliko dana, ponekad i samo 24 do 72 sata. Taj skraćeni vremenski okvir dio je razloga zašto ransomware ostaje tako uporan problem za velika poduzeća: sigurnosni timovi često imaju vrlo uzak prozor između otkrivanja ranjivosti i aktivnog iskorištavanja da bi zakrpali, izolirali ili na drugi način smanjili izloženost.

Koji podaci mogu biti ugroženi

Budući da je navodni upad navodno dotaknuo interne alate za suradnju poput SharePointa, rizik izloženosti ovdje više naginje korporativnim i operativnim dokumentima nego potvrđenim podacima korisničkih računa. Ipak, logističke platforme poput Uber Freighta rutinski obrađuju osjetljive poslovne zapise: otpremnice, ugovore s prijevoznicima, detalje naplate i internu komunikaciju, od kojih neki mogu uključivati osobne ili financijske podatke koji pripadaju zaposlenicima, vozačima i poslovnim partnerima. Dok se istraga Uber Freighta ne zaključi, puni opseg onoga čemu je pristupljeno i proteže li se to na sustave okrenute korisnicima ostaje nepotvrđen.

Ta neizvjesnost sama po sebi predstavlja lekciju. U slučajevima dvostruke iznude, žrtve često ne znaju pravi opseg curenja podataka sve dok se ukradeni podaci zaista ne pojave na forumu na dark webu ili stranici za objavu curenja, što se može dogoditi tjednima ili mjesecima nakon prvotne tvrdnje.

Što to znači za vas

Ako na bilo koji način koristite usluge Ubera ili Uber Freighta, bilo kao putnik, vozač ili poslovni partner, praktični odgovor je isti onaj koji se primjenjuje na većinu tvrdnji o probojima u poduzeća: pretpostavite da je neka izloženost moguća dok se ne dokaže suprotno i poduzmite nekoliko mjera opreza s malim naporom umjesto da čekate službenu potvrdu.

Započnite pregledom aktivnosti svog računa radi bilo čega neobičnog i promijenite lozinku ako je niste nedavno ažurirali, osobito ako je ponovno koristite negdje drugdje. Omogućite višefaktorsku autentifikaciju ako već niste. Ako ste poslovni partner ili vozač čiji bi financijski ili porezni podaci mogli biti pohranjeni na pogođenim sustavima, pratite svoje bankovne i kreditne izvatke radi nepoznate aktivnosti u nadolazećim tjednima.

S tehničke strane, ovaj incident koristan je podsjetnik zašto je slojevita obrana važna za organizacije bilo koje veličine. Alati za otkrivanje na krajnjim točkama mogu uhvatiti ransomware ponašanje prije nego što se šifriranje proširi, segmentacija mreže ograničava koliko daleko se uljez može kretati nakon ulaska, a VPN-ovi s jakim kontrolama autentifikacije smanjuju šanse da pristup temeljen na vjerodajnicama uopće bude početna ulazna točka. Nijedna od ovih mjera ne čini organizaciju imunom na ransomware, ali zajedno smanjuju površinu napada i kupuju braniteljima više vremena za odgovor.

Provedivi zaključci

  • Promijenite lozinke povezane s bilo kojim računom Ubera ili Uber Freighta i izbjegavajte njihovo ponovno korištenje na različitim uslugama.
  • Uključite višefaktorsku autentifikaciju gdje god se nudi.
  • Pratite bankovne izvatke i kreditna izvješća ako ste vozač, zaposlenik ili poslovni partner čiji bi financijski podaci mogli biti pohranjeni na pogođenim sustavima.
  • Oprezno postupajte s neprovjerenim tvrdnjama sa stranica za objavu curenja ransomwarea, ali ih nemojte odbaciti; potvrde ažuriranja pratite izravno od Uber Freighta kako njegova istraga napreduje.
  • Za organizacije, dajte prioritet brzom zakrpavanju poznatih ranjivosti, s obzirom na to da RaaS grupe poput Helixa mogu militarizirati otkrivene nedostatke u roku od nekoliko dana.

Tvrdnja Helix ransomwarea protiv Uber Freighta još se razvija, a ključni detalji, uključujući je li plaćena otkupnina ili koji su podaci doista izneseni, ostaju nepotvrđeni. Kao i u većini ransomware priča, odgovoran je potez ostati informiran, odmah osigurati vlastitu sigurnost računa i pratiti službena ažuriranja umjesto reagiranja samo na neprovjerene tvrdnje.