A Cl0p zsarolóvírus-támadás egyetlen fájl zárolása nélkül sújt nagy globális vállalatokat

A Cl0p zsarolóvírus-csoporthoz kötődő támadások új hulláma világszerte nagyvállalatokat érintett, és a módszer arról nevezetes, amit nem tesz. A hagyományos zsarolóvírusokkal ellentétben a Cl0p egyáltalán nem titkosítja az áldozatok rendszereit. Ehelyett a csoport csendben másolja le az érzékeny fájlokat, majd azzal fenyegetőzik, hogy közzéteszi azokat egy dedikált szivárogtató oldalon, hacsak az áldozat nem fizet. Nincsenek összekuszált adatbázisok, nincs váltságdíjat követelő üzenet dekódoló kulcsért – csak a nyilvánosságra hozatal fenyegetése.

Ezt a megközelítést gyakran adatlopási zsarolásnak nevezik, és ez lett a Cl0p védjegye. A globális vállalatok elleni legújabb támadási hullám megmutatja, milyen hatékony lehet ez még a rendszerek zárolásából eredő zavarok nélkül is.

Mi teszi a Cl0p taktikáját különlegessé

A legtöbb zsarolóvírus-csoport ismert forgatókönyvet követ: behatol a hálózatba, a lehető legtöbb fájlt titkosítja, majd fizetséget követel a dekódoló kulcsért. Ez a modell az üzemeltetési káoszra épít. Amikor a kórházak nem férnek hozzá a betegnyilvántartásokhoz, vagy a gyárak nem tudják működtetni a gyártósorokat, a fizetésre irányuló nyomás azonnali és súlyos.

A Cl0p nagyrészt felhagyott ezzel a megközelítéssel. A titkosítás teljes kihagyásával a csoport elkerüli, hogy nyilvánvaló rendszerhibákkal figyelmeztesse az áldozatokat. Az adatokat napokon vagy heteken át lehet kiszivattyúzni, mielőtt bárki észrevenné, hogy valami nincs rendben. A zsarolás ezután jön, gyakran miután a támadók már átnézték, mit loptak, és azonosították a legkárosabb anyagot, amivel fenyegetőzhetnek.

Ez nem új taktika a csoport számára. A Cl0p-nak jól dokumentált múltja van abban, hogy széles körben használt vállalati szoftvereket céloz meg, nem pedig egyes vállalatokat egyenként. Korábbi kampányok PTC Windchill és FlexPLM rendszereket vettek célba, amelyek a gyártás és terméktervezés iparágaiban használt vállalati platformok. Egy külön hullám kifejezetten PTC Windchillre épülő termékéletciklus-kezelő platformokat célzott meg, világos mintát mutatva: keress egy sebezhető, széles körben telepített szoftvert, majd támadd meg az összes szervezetet, amely azt futtatja.

Miért növeli a szoftverek – nem csak a vállalatok – célzása a kár mértékét

Ez különbözteti meg a Cl0pot az alkalmi zsarolóvírus-csoportoktól. A csoport ahelyett, hogy egyesével választana célpontokat, gyakran egyetlen sebezhetőséget használ ki olyan szoftverekben, amelyeket több száz vagy ezer szervezet használ egyszerre. Ez azt jelenti, hogy egyetlen sikeres kihasználás tucatnyi áldozatot eredményezhet teljesen független iparágakból, a gyártástól a logisztikán át a professzionális szolgáltatásokig.

A jelenlegi hullámban érintett globális vállalatok valószínűleg kevés közös vonást mutatnak azon kívül, hogy ugyanazt a sebezhető szoftvert vagy kitett rendszereket futtatják. Ez a lényeg. A Cl0p modellje számjátékként kezeli az adatlopást: vess ki széles hálót a megosztott infrastruktúrán keresztül, majd döntsd el, mely áldozatokat érdemes nyomás alá helyezni, miután az adat már a kezedben van.

Miért számít az adatlopás ugyanúgy, mint a titkosítás

Évekig a zsarolóvírusokkal kapcsolatos tudósítások elsősorban a titkosításra összpontosítottak, mert ez volt a támadás látható, zavaró része. De a Cl0p felemelkedése emlékeztet arra, hogy az ellopott adat maga a modern kiberbűnözés igazi fizetőeszköze. Még egyetlen rendszer zárolása nélkül is kinyerhetnek a támadók ügyféladatokat, pénzügyi információkat, szellemi tulajdont vagy belső kommunikációt, majd a nyilvános kitettség fenyegetését használhatják nyomásgyakorlásra.

Ez azért fontos, mert az adatlopási támadás következményei nem érnek véget a zsarolási követelés rendezésével. Az ellopott adatokat eladhatják, fizetés ellenére is kiszivárogtathatják, vagy utólagos csalásokhoz és személyazonosság-lopáshoz használhatják fel jóval azután, hogy a címlapsztorik elülnek.

Mit jelent ez az Ön számára

Ha Ön egy olyan vállalat alkalmazottja, ügyfele vagy partnere, amely az ilyen kampányok által érintett vállalati szoftvereket használ, személyes vagy pénzügyi adatai veszélybe kerülhetnek, még akkor is, ha sosem lép közvetlen kapcsolatba a támadókkal. Az adatlopási zsaroláshoz nem szükséges, hogy szervezete látható leállást szenvedjen ahhoz, hogy az Ön adatai kockázatnak legyenek kitéve.

Szervezetek számára ez az elmozdulás rávilágít arra, hogy az adatkitettséget a rendszer rendelkezésre állásával azonos szintű, kiemelt fenyegetésként kell kezelni. A titkosítás elleni védekezés, például a biztonsági mentések, nem állítják meg azt a csoportot, amely eleve nem nyúl a fájlok integritásához. A sebezhetőségkezelés – különösen a széles körben használt harmadik féltől származó szoftverek esetében – valamint a szokatlan kimenő adatforgalom figyelése fontosabb, mint valaha.

Gyakorlati tanulságok

Legyen éber a biztonsági incidensről szóló értesítésekkel kapcsolatban minden olyan szolgáltatásnál, amelyet használ, még azoknál is, amelyek nem említik kifejezetten a titkosítást vagy a zsarolóvírust. Engedélyezze a többtényezős hitelesítést mindenhol, ahol elérhető, mivel az ellopott hitelesítő adatok gyakran ezeknek a kampányoknak a belépési pontjai. Rendszeresen tekintse át, milyen személyes adatokat osztott meg a szállítókkal, és fontolja meg a szükségtelen kitettség minimalizálását. A szervezeteknek előnyben kell részesíteniük az internetre nyitott vállalati szoftverek gyors javítását, mivel a Cl0p története azt mutatja, hogy ezeket a rendszereket részesíti előnyben belépési pontként nagy léptékben. Ahogy az adatlopási zsarolás egyre kedveltebb taktikává válik a zsarolóvírus-tájképen, a tájékozottság arról, hogy mely platformok és szállítók érintettek, az egyik legpraktikusabb lépés, amelyet magánszemélyek és vállalkozások egyaránt megtehetnek.