Većina naslova o ransomwareu fokusira se na istu šačicu poznatih imena, ali tiša kategorija aktera prijetnji pokazuje se jednako razornom. Manje poznate ransomware skupine sve više napuštaju goleme partnerske mreže koje su grupe poput LockBita i Cl0pa učinile zloglasnima, odlučujući se umjesto toga za male, disciplinirane timove u koje je teže infiltrirati se i koje je teže predvidjeti. Royal, skupina koja se pojavila oko rujna, jedan je od najjasnijih primjera ovog pomaka i nudi korisnu studiju slučaja o tome zašto manje ne znači sigurnije za tvrtke koje te skupine napadaju.
Drugačiji poslovni model: zatvorene ekipe umjesto partnera
Većina velikih ransomware operacija funkcionira po partnerskom modelu, odnosno modelu ransomwarea kao usluge. Ključni developeri grade i održavaju zlonamjerni softver, a zatim ga licenciraju rotirajućoj skupini partnera koji provode same upade u zamjenu za dio otkupnine. To je učinkovita struktura koja omogućuje da se jedan komad zlonamjernog softvera skalira na desetke ili stotine istovremenih napada, ali stvara i slabe točke. Partneri postaju nemarni, cure im detalji ili bivaju uhićeni, a provedba zakona bilježila je stvarne uspjehe u razotkrivanju tih mreža idući za najslabijom karikom.
Royal potpuno preskače taj model. Umjesto regrutiranja široke baze partnera, skupina djeluje s manjim, čvršćim ključnim timom za koji se vjeruje da uključuje bivše članove Contija, jedne od najplodnijih i tehnološki najsofisticiranijih ransomware operacija prije nego što se raspala. To podrijetlo je važno. Skupina izgrađena oko iskusnih operatera koji već znaju kako se kretati korporativnim mrežama, izbjeći detekciju i pregovarati o otkupninama ne treba razmjer da bi bila učinkovita. Treba disciplinu, a zatvorenu strukturu lakše je održati discipliniranom.
Za branitelje, ovo je značajna promjena u krajoliku prijetnji. Skupine vođene partnerima često ostavljaju trag nedosljednih taktika jer toliko različitih ljudi koristi isti alat. Zatvorena ekipa poput Royala, nasuprot tome, obično djeluje dosljednije i s većom operativnom sigurnošću, što njezinu aktivnost može učiniti težom za prepoznavanje i pripisivanje u ranim fazama upada.
Dvostruka iznuda ostaje zajednička nit
Unatoč strukturnim razlikama, Royal dijeli jednu taktiku s gotovo svakom drugom aktivnom ransomware skupinom danas: dvostruku iznudu. Umjesto da jednostavno šifriraju žrtvine datoteke i zahtijevaju plaćanje za ključ za dešifriranje, skupina prvo eksfiltrira osjetljive podatke iz mreže. Ako se otkupnina ne plati, prijetnja nisu samo zaključane datoteke, nego javno objavljivanje ukradenih podataka, što može uključivati zapise o kupcima, financijske informacije ili internu komunikaciju.
Ova dvokraka kampanja pritiska postala je industrijski standard jer funkcionira. Čak i organizacije sa solidnim sustavima sigurnosnih kopija koje bi mogle obnoviti šifrirane podatke bez plaćanja, suočavaju se s reputacijskim i regulatornim posljedicama curenja podataka. To je taktika koja se pojavljuje diljem ransomware ekosustava neovisno o veličini ili poznatosti skupine. Manji, noviji akteri koriste je jednako spremno kao i etablirana imena. Nedavni slučaj M3RX ransomwarea koji tvrdi da je napao španjolsku softversku tvrtku i ukrao stotine gigabajta podataka slijedi istu igru: infiltrirati se, eksfiltrirati, šifrirati i prijetiti otkrivanjem dok se ne izvrši plaćanje.
Ono što ovaj obrazac govori tvrtkama jest da su veličina ili slava ransomware skupine loš pokazatelj rizika. Relativno nepoznata ekipa s nekolicinom vještih operatera može izvesti isti napad dvostruke iznude, s istim posljedicama, kao skupina koja dominira naslovima.
Što to znači za vas
Za sigurnosne timove i vlasnike tvrtki, lekcija iz Royala i sličnih skupina jest da je praćenje prijetnji izgrađeno oko gledanja kratkog popisa poznatih ransomware imena nepotpuno. Manje poznate ransomware skupine često su popunjene iskusnim operaterima iz raspuštenih ili preimenovanih organizacija, što znači da njihove sposobnosti mogu parirati onima većih imena čak i bez velikog javnog otiska.
To također ima izravne implikacije na to kako organizacije razmišljaju o mrežnom pristupu. Budući da dvostruka iznuda ovisi o tome da se napadači mogu kretati mrežom i izvući podatke prije nego što pokrenu šifriranje, ograničavanje lateralnog kretanja jedna je od najučinkovitijih dostupnih obrana. Jaka segmentacija mreže, stroge kontrole pristupa i praćenje neuobičajenih odlaznih prijenosa podataka mogu uhvatiti upad prije nego što se eksfiltracija dovrši, čak i ako se početni prodor ne zaustavi. Alati za siguran daljinski pristup, uključujući pravilno konfigurirane VPN-ove s višefaktorskom autentifikacijom, ostaju jedan od najjednostavnijih načina za smanjenje izložene napadne površine na koju se skupine poput Royala oslanjaju za stjecanje početnog uporišta.
Primjenjivi zaključci
Tvrtke ne moraju pratiti svaku opskurnu ransomware skupinu po imenu da bi se zaštitile, ali moraju pretpostaviti da je svaki nezakrpani sustav ili izložena točka daljinskog pristupa potencijalan ulaz za skupine za koje nikada nisu čule. Nekoliko praktičnih koraka čini stvarnu razliku: držite alate za daljinski pristup zakrpanima i zaštićenima višefaktorskom autentifikacijom, segmentirajte mreže tako da jedan kompromitirani račun ne može dosegnuti osjetljive podatke, pratite velike ili neuobičajene odlazne prijenose podataka koji bi mogli ukazivati na eksfiltraciju u tijeku i održavajte izvanmrežne sigurnosne kopije koje se redovito testiraju, a ne samo pohranjuju.
Manje poznate ransomware skupine nisu fusnota uz veća imena koja dominiraju vijestima. Kako Royal i druge manje, zatvorene ekipe pokazuju, smanjena vidljivost često dolazi s povećanom operativnom vještinom, a ne smanjenim rizikom. Tretiranje svake skupine, poznate ili ne, s istom razinom obrambene rigoroznosti najpouzdaniji je način da ostanete korak ispred njih.
