Új zsarolócsoport veszi célba a pénzügyi szektort
Hedge fundok, magántőke-befektetési cégek és más pénzügyi szervezetek elleni kibertámadási hullámot hoztak összefüggésbe az UNC6671 zsarolócsoporttal, amely a hírek szerint a BlackFile fenyegető szereplőkkel áll kapcsolatban. A BleepingComputer által jelentett összefüggés egy olyan összehangolt kampányra utal, amely egyenesen a pénzügyi iparág néhány legjobban tőkeerős, ám hagyományosan kevésbé szem előtt lévő szegletét vette célba.
A hedge fundok és magántőke-befektetési cégek hatalmas tőkeösszegeket kezelnek, és érzékeny adatokat tárolnak befektetőikről, tranzakciós csatornáikról és portfóliócégeikről. A nagy értékű információk és a sok esetben a nagybankokénál karcsúbb biztonsági csapatok kombinációja vonzó célponttá teszi őket az olyan csoportok számára, amelyek a hagyományos zsarolóvírus-titkosítás helyett inkább a zsarolásra specializálódtak.
Kik azok az UNC6671 és a BlackFile?
Az UNC6671 elnevezés e sajátos behatolási sorozat nyomon követésére szolgál, a BlackFile-hoz fűződő jelentett kapcsolata pedig közös eszköztárra, infrastruktúrára vagy műveleti forgatókönyvre utal a kettő között. Az ilyen zsarolócsoportok jellemzően ismerős mintát követnek: hozzáférést szereznek egy hálózathoz, csendben kiszivárogtatják az érzékeny fájlokat, majd a lopott adatok nyilvános kiszivárogtatásának fenyegetésével fizetésre kényszerítik az áldozatot. Ellentétben a klasszikus zsarolóvírus-üzemeltetőkkel, akik a rendszerek titkosítására és a visszafejtési kulcsért cserébe fizetség követelésére összpontosítanak, a zsarolásra fókuszáló csoportok gyakran teljesen kihagyják a titkosítást, és pusztán a nyilvánosságra hozatal fenyegetésére támaszkodnak, amit a védekezők nehezebben észlelhetnek, amíg a kár már meg nem történt.
Ez a megközelítés hasonlít ahhoz, ami más friss incidensekben is lezajlott. A Stadler Rail adatszivárgásánál például az Everest banda egy adatcsere-platform feltöréséhez kapcsolódó többmillió dolláros váltságdíjat követelt, nem pedig rendszerszintű lezárást. A zsarolásközpontú taktikák egyre gyakoribbá váltak az iparágakban, éppen azért, mert kevesebb technikai ráfordítást igényelnek, mint a zsarolóvírus-payloadok telepítése és kezelése, miközben így is jelentős nyomást tudnak gyakorolni az áldozatokra, akik tartanak a reputációs és szabályozási következményektől.
Miért elsődleges célpontok a pénzügyi cégek?
A hedge fundok és magántőke-befektetési cégek egyedülálló helyet foglalnak el a fenyegetettségi térképen. Bizalmas befektetői információkat, nem nyilvános üzleti feltételeket és olyan pénzügyi adatokat kezelnek, amelyek nemcsak zsarolásra, hanem kiszivárgás vagy eladás esetén akár bennfentes kereskedelemre vagy versenyhírszerzésre is értékesek lehetnek. A szabályozott bankokhoz képest e cégek közül sok kisebb belső biztonsági csapattal működik, és nagymértékben támaszkodik harmadik feles beszállítókra, felhőplatformokra és távoli hozzáférési eszközökre – mindezek belépési pontként szolgálhatnak a támadók számára.
Ez összhangban áll az idei évben a fenyegetettségi környezetben megfigyelhető szélesebb trenddel, amely szerint a támadók egyre gyakrabban veszik célba a határponti eszközöket és a távoli hozzáférési infrastruktúrát a megvetés érdekében. A SonicWall SMA 1000 zero-day hibáját kihasználó INC ransomware és az aktív támadás alatt álló Cisco FMC zero-day kampányok egyaránt jól mutatják, milyen gyorsan lépnek a fenyegető szereplők, amint egy széles körben telepített vállalati hardver sérülékenysége ismertté válik. Egyelőre nem részletezték, hogy az UNC6671 hasonló infrastruktúra-szintű hozzáférésre, vagy inkább célzott adathalászatra és social engineeringre támaszkodott-e, de a mögöttes tanulság ágazatokon átívelő: a peremvédelmi rendszer csak annyira erős, amennyire a leggyengébb, legkevésbé monitorozott belépési pontja.
Mit jelent ez Önnek?
Ha Ön egy hedge fundnál, magántőke-befektetési cégnél vagy bármilyen pénzügyi szolgáltatónál dolgozik, vagy azokon keresztül fektet be, ez a kampány emlékeztetőül szolgál arra, hogy személyes és pénzügyi adatai olyan szervezeteken haladhatnak keresztül, amelyeket a zsarolócsoportok egyre inkább puha célpontoknak tekintenek. A befektetőknek jellemzően kevés rálátásuk van arra, hogy egy alap mennyire védi az ügyfél-átvilágítás, a kockázatfelmérés vagy a folyamatos jelentéstétel során gyűjtött adatokat.
Az ezeknél a cégeknél dolgozó munkavállalók számára a kockázat még közvetlenebb. A zsarolócsoportok gyakran kompromittált hitelesítő adatok, adathalász e-mailek vagy javítatlan távoli hozzáférési szoftverek révén szerzik meg a kezdeti hozzáférést, nem kizárólag kifinomult zero-day hibákkal. Ez azt jelenti, hogy az alapvető higiénia – mint a többtényezős hitelesítés, a gondos e-mail-ellenőrzés és a gyors javítás – még mindig lezárja a lehetséges belépési pontok nagy részét.
A zsarolásvezérelt támadások előtt maradva
Az UNC6671 és a BlackFile kapcsolata aláhúzza, hogy a zsarolási taktikák a pénzügyi szektor fenyegető szereplőinek előnyben részesített stratégiájává váltak, ahol önmagában a reputációs kockázat is elég lehet a fizetés kikényszerítéséhez. A többi friss incidenshez – például a PAN-OS megkerülő hibát kihasználó Qilin zsarolóvírushoz – hasonlóan a minta következetes: a támadók a legkisebb ellenállás útját keresik az értékes hálózatokba, majd a fennakadás helyett az adatok nyilvánosságra hozatalára támaszkodva kényszerítenek válaszlépésre.
Ha Ön hedge funddal, magántőke-befektetési céggel vagy hasonló pénzügyi intézménnyel áll kapcsolatban, tegyen fel közvetlen kérdéseket arról, hogyan védik adatait, használnak-e titkosítást az érzékeny nyilvántartásokhoz, és milyen incidenskezelési tervekkel rendelkeznek. Maguknak a cégeknek pedig az olyan zsarolócsoportok, mint az UNC6671, a hagyományos zsarolóvírustól elkülönülő, sajátos és növekvő kockázati kategóriaként való kezelése elengedhetetlen lépés azon rések bezárásához, amelyeket ezek a támadók aktívan kihasználnak.
