Az Akira zsarolóvírus biztonságos módos trükkje visszafelé sült el, és megölte magát

Egy zsarolóvírus-támadás, amely önmagát semmisítette meg

A zsarolóvírus-támadásokat általában abból a szempontból szokták leírni, hogy mi romlik el az áldozat számára: titkosított fájlok, zárolt rendszerek, váltságdíjat követelő üzenetek. Egy nemrég jelentett incidens az Akira zsarolóvírus-csoporttal kapcsolatban felülírja ezt a forgatókönyvet. A jelentések szerint az Akira egy ravasz kijátszási manővert kísérelt meg, biztonságos módba indította újra a célpont rendszerét, hogy kicselezze a végpont-észlelési és -válaszadási (EDR) eszközöket, de a trükk olyan rosszul sült el, hogy eltörte a zsarolóvírus saját titkosítóját. A Microsoft Defender ezután megjelölte és karanténba helyezte a kártékony csomagot, így a támadóknak semmi sem maradt a behatolásból.

Ritka, szinte antiklimatikus kimenetel ez egy olyan fenyegetettségi környezetben, ahol a zsarolóvírus-bandák általában azok, akik a kárt okozzák. Az eset azonban több mint egyszerű érdekesség. Hasznos ablakot nyújt arra, hogyan próbálják a támadók letiltani a biztonsági védelmeket, és mi történik, amikor ezek a kísérletek félrecsúsznak.

Hogyan működik a biztonságos módos trükk, és miért vallott kudarcot

A feltört gép biztonságos módba indítása ismert technika a zsarolóvírus-üzemeltetők körében. A biztonságos mód a Windows rendszert a nélkülözhetetlen illesztőprogramjaira és szolgáltatásaira csupaszítja le, ami egyúttal számos harmadik féltől származó EDR- és vírusirtó eszközt is letilt, amelyek a normál rendszerindítási folyamatra támaszkodnak a betöltéshez. Ez a támadók számára egy olyan időablakot teremt, amikor a biztonsági szoftverek nem figyelnek, így könnyebb észrevétlenül telepíteni a titkosítót.

Ebben az esetben ugyanez a lecsupaszított környezet úgy tűnik, hogy megzavarta a titkosító azon képességét, hogy megfelelően fusson. A zsarolóvírus-kártékony csomagok gyakran támaszkodnak bizonyos rendszerösszetevőkre, könyvtárakra vagy szolgáltatásokra a titkosítási rutinjaik zökkenőmentes végrehajtásához. Amikor ezek a függőségek nem elérhetők, mert a biztonságos mód letiltotta őket, a kártevő összeomolhat vagy teljesen meghibásodhat. Gyakorlatilag ez történt itt: a védekezők megvakítására szánt taktika végül magát a támadást vakította meg.

A sérelemhez sérelem, a Microsoft Defender így is képes volt észlelni és karanténba helyezni a kártékony csomagot, ami arra utal, hogy a kijátszási kísérlet még a fő célját sem érte el, hogy rejtve maradjon a Microsoft beépített védelmei elől.

Miért van még mindig előnyben a támadók oldala, a baklövés ellenére

Hiba lenne ezt az incidenst annak bizonyítékaként olvasni, hogy a zsarolóvírus-védelem nyerésben van a nagyobb küzdelemben. Az olyan csoportok, mint az Akira, továbbra is aktívak és kitartóak, és ez a fajta kudarc a kivétel, nem a szabály. A zsarolóvírus-üzemeltetők folyamatosan finomítják eszközeiket, új kijátszási technikákat tesztelnek, és tanulnak az ehhez hasonló hibákból. Egy mai sikertelen támadás nem jelenti azt, hogy ugyanazt a technikát holnap ne javítanák ki és ne telepítenék újra sikeresen.

Amit ez az incidens valóban kiemel, az a többrétegű védelem és a gyors észlelés fontossága. Még akkor is, ha egy támadónak sikerül megzavarnia vagy letiltania a védelem egyik rétegét, más eszközök, például a Defender incidens utáni észlelési képessége, továbbra is elkaphatják a kártékony tevékenységet, mielőtt az tartós kárt okozna. Ez az oka annak is, hogy a fenyegetettségi hírszerzés megosztása miért olyan fontos az iparágak között. Az olyan erőfeszítések, mint az FBI felhívása az egészségügyi szervezetekhez a zsarolóvírus-fenyegetettségi adatok megosztására, azt a növekvő felismerést tükrözik, hogy a támadói viselkedésre való rálátás, beleértve a kudarcaikat is, segít a védekezőknek előre látni a következő lépést, nem csak reagálni rá.

Mit jelent ez az Ön számára

A hétköznapi felhasználók és kisvállalkozások számára ez a történet arra emlékeztet, hogy a zsarolóvírus nem megállíthatatlan erő, de nem is fog eltűnni. A konkrét technikai hiba itt, hogy egy kijátszási trükk eltörte a kártevő saját működését, nagyobbrészt szerencsés véletlen volt az áldozat számára, nem pedig a felsőbbrendű védelem eredménye. Nem szabad arra hagyatkozni, hogy a támadók hibáznak az adatai védelme érdekében.

Amit Ön kontrollálhat, az az, hogy csökkenti a sikeres célzás esélyét az elején. Ez azt jelenti, hogy naprakészen tartja a rendszereket, biztosítja, hogy az EDR- vagy vírusirtó eszközök megfelelően legyenek konfigurálva és felügyelve, valamint offline vagy módosíthatatlan biztonsági másolatokat tart fenn, hogy még egy sikeres titkosítási kísérlet se jelentsen végleges adatvesztést. A szervezeteknek rendelkezniük kell incidensválasz-tervekkel is, amelyek számolnak a szokatlan rendszerviselkedéssel, például a váratlan biztonságos módú újraindításokkal, mivel ezek egy aktív behatolás korai figyelmeztető jelei lehetnek, nem pedig rutin karbantartás.

Fő tanulságok

Az olyan zsarolóvírus-csoportok, mint az Akira, továbbra is új módszereket fejlesztenek ki a biztonsági eszközök letiltására a kártékony csomagok telepítése előtt, és a biztonságos módú indítás az egyik ilyen technika. Ebben az esetben a taktika visszafelé sült el, összeomlasztotta a titkosítót, és lehetővé tette a Defendernek, hogy utána elkapja a kártékony csomagot. De ez a kimenetel körülményes volt, nem garantált. Az egyének és szervezetek számára az igazi tanulság az, hogy tartsák naprakészen a biztonsági eszközöket, tartsanak fenn erős biztonsági másolati gyakorlatokat, és legyenek éberek a szokatlan rendszerviselkedésre. A zsarolóvírus elleni védelem nem arról szól, hogy reméljük, a támadók kudarcot vallanak; hanem arról, hogy ellenálló képességet építsünk ki, hogy akár sikerrel járnak, akár nem, a kár korlátozott maradjon.