Što se dogodilo: Napad Spirals ransomwarea
Novootkrivena ransomware operacija nazvana Spirals privukla je pozornost ne svojom sofisticiranošću, već brzinom. Prema izvještaju SC Medije, napadači koji koriste Spirals ransomware uspjeli su od početnog pristupa mreži do potpunog šifriranja datoteka na sustavima žrtve proći za manje od 24 sata. Taj sažeti vremenski okvir ključna je poruka: cijela ransomware operacija – izviđanje, lateralno kretanje i šifriranje – izvršena je u vremenu kraćem nego što je većini organizacija potrebno za rutinsku sigurnosnu provjeru.
Ransomware kampanje povijesno su se odvijale danima ili čak tjednima. Napadači bi obično probili mrežu, tiho istražili njezinu strukturu, identificirali vrijedne podatke i tek onda aktivirali šifriranje nakon što su čvrsto učvrstili svoj položaj. Incident Spirals razbija taj obrazac. Sažimanje cijelog lanca napada u jedan dan braniteljima ostavlja gotovo nikakav prozor za otkrivanje upada, izolaciju pogođenih sustava ili intervenciju prije nego šteta nastane.
Zašto brzina mijenja računicu privatnosti
Brzina ovakvog napada ima izravne implikacije na privatnost, ne samo operativne. Kada ransomware operatori djeluju brzo, skraćuju vrijeme koje sigurnosni timovi imaju da utvrde jesu li osjetljivi podaci – evidencije kupaca, podaci o zaposlenicima, financijske pojedinosti – bili pristupljeni ili kopirani prije početka šifriranja. U mnogim ransomware slučajevima krađa podataka događa se usporedno ili prije šifriranja, što znači da organizacije možda ne razumiju u potpunosti što je bilo izloženo sve dok incident ne završi.
Tu se slučaj Spirals povezuje sa širim obrascem ransomware iznude. Napadači sve češće kombiniraju šifriranje s krađom podataka, koristeći ukradene informacije kao dodatnu polugu za pritisak na žrtve da plate. Ta dinamika odigrala se u slučaju američke vladine agencije koja je platila otprilike milijun dolara grupi za iznudu Kairos nakon što je ukradeno otprilike 2 TB podataka. Bez obzira na to je li krađa podataka potvrđena u incidentu Spirals, šira lekcija vrijedi: brzi ransomware napad ne prijeti samo dostupnosti sustava, prijeti i povjerljivosti svih informacija koje su se nalazile na tim sustavima u satima prije nego što je šifriranje sve zaključalo.
Za pojedince čije podatke drži pogođena organizacija – bilo da je riječ o tvrtki, zdravstvenom pružatelju ili vladinoj agenciji – ta brzina je važna jer smanjuje razmak između "otkrili smo nešto sumnjivo" i "naši podaci možda su već nestali". Tradicionalni planovi odgovora na incidente izgrađeni oko višednevnog vremenskog okvira jednostavno nisu primjenjivi kada napadači mogu dovršiti posao prije nego većina upozorenja uopće stigne do ljudskog analitičara.
Brza izolacija kao novi standard
Temeljna poruka sigurnosnih istraživača koji prate Spirals jest da sposobnost brze izolacije više nije opcionalna. Organizacije koje se oslanjaju isključivo na ručno otkrivanje i odgovor – čekajući da analitičar pregleda zapise, potvrdi incident i zatim djeluje – strukturno su nesposobne držati korak s napadom koji se dovršava za manje od jednog dana. Automatizirano otkrivanje, segmentacija mreže koja ograničava lateralno kretanje i unaprijed testirani planovi odgovora na incidente postaju razlika između obuzdanog incidenta i potpunog proboja.
Ova promjena također mijenja izgled "dobre" sigurnosne posture za manje organizacije koje možda nemaju namjenske sigurnosno-operativne timove. Osnovna higijena – zakrpe poznatih ranjivosti, ograničavanje administratorskih privilegija i održavanje izvanmrežnih sigurnosnih kopija – i dalje je iznimno važna, ali mora biti uparena s bržim alatima za otkrivanje jer se prozor za odgovor efektivno urušio.
Što to znači za vas
Ako ste donositelj odluka u IT-u ili sigurnosti, slučaj Spirals podsjetnik je da testirate vlastite vremenske okvire odgovora. Zapitajte se koliko bi realno vašem timu trebalo da otkrije neobično lateralno kretanje na vašoj mreži i izolira pogođene sustave. Ako je iskreni odgovor izražen u danima, a ne satima, taj je jaz sada značajna odgovornost.
Ako ste pojedinac čije osobne podatke pohranjuje tvrtka, zdravstveni pružatelj, škola ili vladina agencija, ovakav napad naglašava zašto obavijesti o povredi podataka ponekad stižu tjednima nakon što je incident prvotno otkriven. Istražiteljima često treba vremena da utvrde što je zapravo uzeto, čak i kad se samo šifriranje dogodilo gotovo trenutačno. Obraćanje pozornosti na obavijesti o povredi, praćenje vaših računa zbog neobičnih aktivnosti te korištenje snažnih, jedinstvenih lozinki i višefaktorske autentifikacije ostaju vaša najbolja pojedinačna obrana bez obzira na brzinu bilo kojeg pojedinačnog napada.
Provedbeni zaključci
Za organizacije: dajte prioritet automatiziranim alatima za otkrivanje prijetnji i odgovor koji ne ovise o ručnom pregledu, testirajte svoj plan odgovora na incidente uz pretpostavku sažetog vremenskog okvira i održavajte segmentirane mreže i izvanmrežne sigurnosne kopije koje ograničavaju koliko daleko brzi ransomware napad može prodrijeti.
Za pojedince: ozbiljno shvatite obavijesti o povredi čak i ako stignu naknadno, uključite višefaktorsku autentifikaciju gdje god je ponuđena i povremeno pregledajte aktivnost računa povezanih s organizacijama koje drže vaše osjetljive podatke.
Slučaj Spirals ransomwarea jasan je signal da se prijetnja ransomwarea ubrzava. I organizacije i pojedinci imaju koristi od pretpostavke da se prozori za otkrivanje smanjuju i planiranja obrane u skladu s tim, umjesto da čekaju sljedeći brzi napad da ponovno dokaže tu tvrdnju.
