Settra ransomware grupa: Objašnjen rizik dvostruke iznude podataka

Što je Settra ransomware grupa i kako djeluje

Ransomware grupa praćena pod imenom Settra evidentirana je od strane sigurnosnih istraživača kao aktivni akter prijetnje koji vodi tekuću kampanju iznude. Prema podacima o praćenju koje je prikupio Ransomnews, Settra slijedi ono što je postalo standardni scenarij za moderne ransomware operacije: šifrira datoteke žrtve i, odvojeno, prijeti objavljivanjem ukradenih podataka na javnoj stranici za curenje podataka ako žrtva odbije platiti. Novi zahtjevi žrtava kontinuirano se objavljuju kao dio ove kampanje, što je obrazac karakterističan za grupe koje iznudu tretiraju kao ponovljiv poslovni proces, a ne kao jednokratni napad.

Ovaj operativni model, poznat kao dvostruka iznuda, postao je standard za ransomware skupine tijekom posljednjih nekoliko godina. Nije jedinstven za Settru, ali kontinuirana aktivnost grupe koristan je podsjetnik da je ransomware evoluirao daleko iznad pukog zaključavanja računala neke tvrtke. Postao je problem izloženosti podataka s posljedicama koje sežu mnogo dalje od početne organizacije žrtve.

Kako dvostruka iznuda pretvara šifriranje u incident izloženosti privatnosti

Tradicionalni ransomware napadi slijedili su jednostavnu formulu: šifriraj datoteke žrtve, zahtijevaj plaćanje za ključ za dešifriranje i nadaj se da meta nema upotrebljive sigurnosne kopije. Taj model davao je braniteljima jasan protumjeru. Ako je tvrtka održavala solidne sigurnosne kopije, mogla je obnoviti svoje sustave bez plaćanja, oduzimajući napadaču velik dio poluge.

Dvostruka iznuda razbija tu obranu. Prije nego što uopće pokrenu šifriranje, grupe poput Settre obično eksfiltriraju, odnosno kopiraju, osjetljive datoteke iz mreže žrtve. Tek nakon što su podaci već napustili zgradu, događa se korak šifriranja. To znači da čak i organizacija s savršenim sigurnosnim kopijama i dalje se suočava s prijetnjom: napadač već ima kopije podataka i može ih objaviti bez obzira na to je li otkupnina plaćena ili su sustavi obnovljeni.

Ova promjena je važna jer mijenja ono što je zapravo u pitanju. Ransomware incident više nije samo pitanje zastoja sustava ili izgubljene produktivnosti. Postaje incident privatnosti podataka u trenutku kada su datoteke ukradene, često uključujući evidenciju zaposlenika, podatke o kupcima, financijske dokumente ili vlasničke poslovne podatke. Sama stranica za curenje podataka funkcionira kao javni pritisak: sat koji odbrojava i djelomični uzorak podataka osmišljen da potakne žrtvu na plaćanje prije nego što se ostatak datoteka objavi.

Koga pogađa kada ukradeni podaci završe na stranici za curenje podataka

Organizacija koja je napadnuta rijetko je jedina pogođena strana. Kada ransomware grupa objavi ukradene datoteke, ili zaprijeti da će to učiniti, izloženost se često širi prema van na ljude koji nikada nisu imali izravan odnos s napadačem i, u mnogim slučajevima, ograničenu sposobnost da uopće spriječe proboj.

Zaposlenici čija se personalna evidencija nalazi na kompromitiranom poslužitelju mogu imati izložene brojeve socijalnog osiguranja, adrese ili zdravstvene podatke. Kupci čije su podatke pohranjivali probijeni dobavljači mogu otkriti da su njihovi osobni ili financijski podaci objavljeni javno, ponekad pretraživi, ponekad prodani ili ponovno korišteni od strane drugih kriminalaca. Poslovni partneri i dobavljači čiji su ugovori ili komunikacija zahvaćeni krađom također mogu otkriti da su osjetljivi komercijalni detalji izloženi.

To je ključni razlog zašto su zabrinutosti o privatnosti podataka kod ransomwarea s dvostrukom iznudom porasle zajedno sa samim napadima. Jedan uspješan upad može generirati nizvodnu štetu za stotine ili tisuće pojedinaca koji nisu imali utjecaja na sigurnosno stanje ciljne organizacije, a često ni neposredan način da saznaju da su njihovi podaci bili uključeni sve dok se ne pojavi unos na stranici za curenje podataka ili ne stigne obavijest o proboju.

Što pojedinci i tvrtke mogu učiniti da smanje izloženost ransomwareu

Za tvrtke, praktična lekcija od grupa koje djeluju poput Settre jest da same sigurnosne kopije više nisu dovoljna obrana. Sprječavanje početnog upada i otkrivanje eksfiltracije podataka prije nego što dođe do šifriranja postalo je prioritet. Sigurnosni timovi sve se više oslanjaju na alate za nadzor osmišljene da rano uhvate abnormalno kretanje podataka i bihevioralne znakove kompromitacije, idealno prije nego što napadači stignu do faze krađe i šifriranja. Pristupi poput AI vođenog lova na prijetnje usmjerenog na hvatanje ransomwarea prije šifriranja odražavaju taj pomak: cilj je uočiti upad dok se podaci još pripremaju za eksfiltraciju, a ne nakon što su već napustili mrežu.

Za pojedince, koraci koji se mogu poduzeti su ograničeniji, ali još uvijek značajni. Korištenje jedinstvenih lozinki za svaki račun, omogućavanje višefaktorske autentifikacije gdje god je dostupna i praćenje financijskih i kreditnih računa na neuobičajene aktivnosti sve smanjuje štetu ako vaši podaci ipak završe na stranici za curenje podataka. Obraćanje pozornosti na obavijesti o proboju od tvrtki s kojima poslujete, umjesto da ih odbacite, daje vam prednost u zaključavanju računa ili zamrzavanju kredita ako je potrebno.

Što to znači za vas

Bez obzira na to imate li interakciju s organizacijom koja je meta grupe poput Settre, bilo kao zaposlenik, kupac ili partner, model dvostruke iznude znači da bi vaši podaci mogli biti izloženi čak i ako ta organizacija plati otkupninu i normalno obnovi svoje sustave. Događaj šifriranja često je najmanje važan dio priče sa stajališta privatnosti. Ono što se događa s ukradenom kopijom vaših podataka je dio koji vrijedi pratiti.

Ključni zaključci

Ransomware grupe s dvostrukom iznudom poput Settre učinile su krađu podataka, a ne samo prekid rada sustava, središnjom prijetnjom ransomware napada. To znači da sigurnosne kopije i obnova sustava više sami po sebi ne neutraliziraju rizik. Tvrtke bi trebale dati prioritet otkrivanju upada i kretanja podataka prije nego što dođe do šifriranja, uključujući istraživanje alata izgrađenih oko otkrivanja prijetnji prije šifriranja. Pojedinci bi trebali ozbiljno shvatiti obavijesti o proboju, osigurati svoje račune jakom autentifikacijom i pratiti znakove da su se njihovi podaci pojavili negdje drugdje. Kako dvostruka iznuda postaje norma, a ne iznimka, informiranost o tome kako ove kampanje funkcioniraju jedan je od najjednostavnijih načina da ostanete korak ispred posljedica.