Što se promijenilo u drugom valu Jadepuffera

Ransomware skupine posljednjih su nekoliko godina usvojile jedan jedinstveni obrazac: prvo ukrasti podatke, zatim ih šifrirati, a potom prijetiti da će sve objaviti ako žrtva odbije platiti. To se naziva dvostruka iznuda i postalo je zadani model rada gotovo svake ozbiljne ransomware skupine. Jadepuffer je upravo odstupio od tog obrasca.

Najnovija verzija zlonamjernog softvera, dokumentirana u izvješćima o njegovu povratku, potpuno preskače korak krađe podataka. Nema eksfiltracije, nema ukradenih datoteka na stranicama za objavu, nema druge prijetnje naslagane na prvu. Umjesto toga, Jadepuffer ide izravno na šifriranje. Datoteke na kompromitiranom sustavu postaju zaključane, pojavljuje se poruka s otkupninom, a jedino što napadač ima kao utjecaj jest obećanje (ili prijetnja) ključem za dešifriranje. To je sve. Nema ukradenih podataka o klijentima, nema procurjelih ugovora, nema dražbi na dark webu.

Na prvi pogled, to zvuči kao korak unatrag za napadače. Dvostruka iznuda postoji jer funkcionira: čak i organizacije s pouzdanim sigurnosnim kopijama ponekad plate samo kako bi spriječile da ukradeni podaci postanu javni. Odustajanje od te poluge trebalo bi, u teoriji, učiniti Jadepuffer manje učinkovitim. No izvješća sugeriraju suprotno: ova druga verzija opisuje se kao veća i opakija od prve, što postavlja važno pitanje braniteljima. Ako se Jadepuffer ne oslanja na izlaganje podataka kako bi pritisnuo žrtve, na što se onda oslanja?

Zašto je iznuda samo šifriranjem još uvijek opasna

Odgovor je jednostavan i neugodan: samo šifriranje često je dovoljno. Za svaku organizaciju bez testiranih, izvanmrežnih sigurnosnih kopija, situacija u kojoj su sve datoteke na mreži šifrirane preko noći predstavlja događaj koji zaustavlja poslovanje, bez obzira na to jesu li podaci istovremeno i ukradeni. Sustavi obračuna plaća prestaju raditi. Zdravstveni kartoni postaju nedostupni. Proizvodne linije koje ovise o softveru za upravljanje povezanom na mrežu utihnu. Izostanak prijetnje objavom čini prekid rada ništa manje stvarnim.

O ovome vrijedi razmisliti jer se velik dio izvještavanja o ransomwareu, razumljivo, fokusira na aspekt krađe podataka: što je ukradeno, tko je pogođen, pojavljuje li se to na stranici za objavu. Jadepufferov zaokret natrag na model čistog šifriranja podsjetnik je da sama operativna smetnja može biti dovoljna za iznudu otkupnine. Skupine koje preskaču eksfiltraciju također se brže kreću i ostavljaju manji trag unutar mreže žrtve, budući da ne moraju trošiti vrijeme na lociranje, pakiranje i prijenos osjetljivih datoteka prije pokretanja šifriranja. Brzina i prikrivenost postaju kompromis za odricanje od poluge objave na stranici.

Ova verzija Jadepuffera dio je šireg obrasca koji je skupina pokazala u povijesti svojih alata. Ranije izvješće o prvom AI-vođenom ransomware napadu JadePuffera opisalo je operaciju značajnu po tome koliko je upada bilo automatizirano, a ne ručno vođeno. Srodni alat istog aktera, Encforge, na svoj je način odstupio od standardnog ransomware obrasca. Čitatelji koji žele potpuniji uvid u to kako se alatni skup ove skupine razvijao, uključujući Encforgeovo iskorištavanje ranjivosti Langflowa za dolazak do AI infrastrukture, pronaći će koristan kontekst u tim ranijim izvješćima.

Što otkrivaju identifikatori žrtava i poruke s otkupninom

Jedan detalj na koji vrijedi obratiti pozornost jest koliko je sama poruka s otkupninom metodična. Svaka žrtva dobiva jedinstveni identifikator, a poruka uključuje upozorenje vezano uz ključ za dešifriranje. Ta struktura nije slučajna. Jedinstveni ID-jevi omogućuju operaterima da prate koja je žrtva koja tijekom komunikacije, povežu uplate s određenim ključevima za dešifriranje i upravljaju većim brojem istovremenih incidenata bez zabune. To je vrsta infrastrukture kakvu biste očekivali od skupine koja ovo provodi kao ponovljivu operaciju, a ne jednokratni napad.

Za timove za odgovor na incidente i obavještajne analize prijetnji, format poruke s otkupninom, struktura identifikatora i upute za plaćanje također su korisni artefakti. Oni mogu pomoći potvrditi je li incident doista povezan s poznatim akterom poput Jadepuffera, za razliku od imitatora koji koristi procurene ili kupljene alate, što je važno za donošenje odluka o tome kako odgovoriti i što očekivati dalje.

Smanjivanje izloženosti: mrežna segmentacija, VPN-ovi i strategija sigurnosnih kopija

Praktični odgovor na ransomware koji samo šifrira nije se puno promijenio čak ni kako se alati razvijaju. Izvanmrežne, testirane sigurnosne kopije ostaju najpouzdaniji način da incident šifriranja postane preživljiv bez plaćanja. Sigurnosne kopije koje se nalaze na istoj mreži kao i produkcijski sustavi često bivaju šifrirane zajedno sa svim ostalim, pa je izolacija jednako važna kao i sama kopija.

Mrežna segmentacija ograničava dokle napadač može doprijeti nakon što stekne uporište, što ograničava radijus eksplozije događaja šifriranja čak i kada je početni pristup uspio. Ograničavanje alata za udaljeni pristup, praćenje neobičnog lateralnog kretanja i korištenje sigurnih metoda udaljenog pristupa (uključujući VPN-ove konfigurirane sa strogim kontrolama pristupa umjesto širokog mrežnog povjerenja) smanjuju šanse da jedna kompromitirana vjerodajnica preraste u prekid rada cijele organizacije.

Što to znači za vas

Ako vaša organizacija obrađuje osjetljive podatke ili ovisi o umreženim sustavima za svakodnevno poslovanje, drugi val Jadepuffera podsjetnik je da ransomware ne mora ukrasti vaše podatke da bi vam naudio. Samo šifriranje, provedeno u velikim razmjerima, funkcionalan je poslovni model za napadače. To znači da strategija sigurnosnih kopija i mrežna segmentacija zaslužuju istu pozornost kao i sprječavanje gubitka podataka, a ne manju. Preispitivanje toga koliko brzo bi vaša organizacija mogla obnoviti poslovanje iz izvanmrežnih sigurnosnih kopija, bez ikakvog doticanja poruke s otkupninom, produktivnija je vježba od pokušaja predviđanja sljedećeg poteza bilo koje pojedine skupine.

Ključni zaključci

  • Najnovija verzija Jadepuffera u potpunosti preskače krađu podataka, oslanjajući se isključivo na šifriranje kao polugu iznude.
  • Napadi samo šifriranjem mogu biti jednako ometajući kao i dvostruka iznuda ako sigurnosne kopije nisu izolirane od produkcijske mreže.
  • Jedinstveni identifikatori žrtava u poruci s otkupninom ukazuju na strukturiranu, ponovljivu operaciju, a ne na improvizirani napad.
  • Izvanmrežne, testirane sigurnosne kopije i mrežna segmentacija ostaju najučinkovitija obrana od ovakvog stila napada.
  • Preispitivanje konfiguracija udaljenog pristupa i VPN-ova radi ostvarivanja pristupa s najmanjim ovlastima može ograničiti koliko daleko uljez prođe prije početka šifriranja.