Egy zsarolóvírus-támadás, amelyet még a terjedés előtt elfojtottak

A Microsoft Defender nemrégiben bemutatta, milyen gyorsan képesek az automatizált biztonsági eszközök leállítani egy zsarolóvírus-támadást, amikor a QNET-nél 128 másodperc alatt fojtott el egy behatolást az első észlelés pillanatától a teljes eszközelkülönítésig. A támadás egy rosszindulatú fájllal kezdődött, amely az mshta.exe-t, egy legitim Windows-segédprogramot használt ki arra, hogy csendben letöltsön egy kártékony adatterhelést. Innen a támadók megpróbáltak állandó jelenlétet kiépíteni, hitelesítő adatokat lopni, és továbbterjedni a hálózaton. A Defender automatikus válasza elvágta ezt a folyamatot, mielőtt az teljes körű zsarolóvírus-eseménnyé eszkalálódhatott volna.

Ez az incidens nem csupán a gyorsaság miatt figyelemre méltó, hanem azért is, mert egy szélesebb körű átalakulást szemléltet abban, ahogyan a modern biztonsági eszközöket úgy tervezik, hogy emberi elemző beavatkozása nélkül reagáljanak a fenyegetésekre.

Hogyan bontakozott ki a támadás

A QNET elleni behatolás egy olyan mintát követett, amely egyre gyakoribbá vált a zsarolóvírus-kampányokban. A támadók ahelyett, hogy nyilvánvalóan rosszindulatú futtatható fájlt telepítettek volna, az mshta.exe-re támaszkodtak, egy Windows-binárisra, amelyet általában HTML-alkalmazások futtatására használnak. Mivel az mshta.exe egy megbízható, aláírt rendszereszköz, átcsúszhat néhány hagyományos biztonsági ellenőrzésen, amelyek az ismeretlen vagy aláíratlan fájlokra összpontosítanak.

Amint a rosszindulatú fájl lefutott az mshta.exe-n keresztül, letöltött egy másodlagos adatterhelést, amelynek célja az volt, hogy a támadók megvethessék a lábukat a fertőzött eszközön. Innentől a cél az állandó jelenlét kiépítése, a hitelesítő adatok begyűjtése és a hálózaton való továbbterjedés volt – ugyanazok az építőelemek, amelyek számos zsarolóvírus-műveletben megfigyelhetők, és amelyek végül széleskörű titkosításhoz és zsaroláshoz vezetnek. A hitelesítő adatok ellopása különösen kritikus szakasz, mivel a megszerzett bejelentkezési adatok lehetővé teszik a támadók számára, hogy legitim felhasználóknak adják ki magukat, és olyan rendszerekhez férjenek hozzá, amelyek egyébként védettek lennének. Ugyanez a lopott hitelesítő adatokra való támaszkodás jelent meg más közelmúltbeli incidensekben is, beleértve egy olyan kampányt, amelyben orosz állami kötődésű hackerek egy Zimbra nulladik napi sebezhetőséget használtak ki kétfaktoros hitelesítési kódok ellopására, ami aláhúzza, milyen gyakran a hitelesítőadat-hozzáférés a támadók valódi célpontja.

Miért számít a 128 másodperces válaszidő

Ez az incidens nem magától a támadási technikától vált különlegessé – amely egy jól dokumentált módszer –, hanem attól, hogy milyen gyorsan semlegesítették. A Microsoft Defender automatikus eszközelkülönítési funkciója észlelte a rosszindulatú tevékenységet, és az első magas súlyosságú riasztást követő nagyjából két percen belül elvágta a fertőzött eszköz hálózati kapcsolatát. Ez az elkülönítés megakadályozta, hogy a támadók oldalirányban más rendszerekre terjedjenek át – ez jellemzően az a szakasz, amikor a zsarolóvírus-üzemeltetők azonosítják az értékes adatokat, letiltják a biztonsági mentéseket, és előkészítik a titkosítási adatterhelések telepítését az egész környezetben.

Számos zsarolóvírus-esetben a kezdeti fertőzés és a hálózati szintű hatás közötti idősáv órákig vagy akár napokig is elhúzódhat, ami időt ad a biztonsági csapatoknak a vizsgálatra, de a támadóknak is arra, hogy mélyebben beágyazódjanak. Az automatizált elkülönítés ezt az idősávot drámaian lerövidíti. Ahelyett, hogy egy elemző megvárná egy riasztás áttekintését, más jelekkel való összevetését, majd manuálisan karanténba helyezne egy eszközt, a rendszer maga hajtja végre ezt a behatárolási lépést abban a pillanatban, amikor az észlelés megbízhatósága elég magas.

Mit jelent ez Önnek

A hétköznapi felhasználók és a dedikált biztonsági műveleti csapattal nem rendelkező kisebb szervezetek számára ez a fajta automatizált válasz vitathatatlanul értékesebb, mint bármilyen egyedi észlelési fejlesztés. A zsarolóvírusok ritkán azért sikeresek, mert a támadók észrevehetetlenek. Azért sikeresek, mert gyakran késlekedés van az észlelés és a cselekvés között, és ez a késlekedés ad teret a támadóknak a terjedésre. Azok az eszközök, amelyek automatikusan elkülönítenek egy fertőzött eszközt, ezt a teret szinte a semmire zsugorítják.

Ez egy olyan pontot is megerősít, amely gyakran elsikkad a zsarolóvírusok kapcsán: a megelőzés fontos, de ugyanilyen fontos a károk hatókörének korlátozása, amikor a megelőzés kudarcot vall. Egyetlen rendszer sem tökéletesen védett egy ügyesen álcázott rosszindulatú fájllal szemben, különösen, ha az egy megbízható Windows-eszközt, például az mshta.exe-t használja ki. Ami elválaszt egy behatárolt incidenst egy költséges adatszivárgástól, az gyakran az, hogy milyen gyorsan választják le a fertőzött eszközt minden másról.

Az egyének számára a gyakorlati tanulság kevésbé a konkrét eszközről, inkább az olyan végpontvédelem értékéről szól, amely automatikus válaszadási képességeket is tartalmaz, nem csupán észlelést és riasztást. Ha egy kisvállalkozás vagy otthoni hálózat eszközeit kezeli, olyan biztonsági szoftvert keressen, amely képes önállóan elkülöníteni egy eszközt, ahelyett, hogy kizárólag olyan értesítésekre hagyatkozna, amelyekre aztán valakinek cselekednie kell.

Gyakorlati teendők

Tartsa a végpontvédelmet és az operációs rendszereket teljes mértékben frissítve, mivel a támadók gyakran támaszkodnak elavult védelemre, hogy a rosszindulatú fájlok átcsússzanak az észlelésen. Legyen óvatos a váratlan fájlletöltésekkel vagy e-mail mellékletekkel, mivel az ilyen esetekben a kezdeti hozzáférés gyakran egyetlen rosszindulatú fájllal kezdődik. Ahol lehetséges, használjon olyan biztonsági eszközöket, amelyek automatikus elkülönítési vagy behatárolási funkciókat kínálnak a csupán riasztó megfigyelés helyett. Végül, kezelje a hitelesítőadat-lopást kiemelt kockázatként: engedélyezze a többtényezős hitelesítést mindenhol, ahol elérhető, és figyelje a szokatlan bejelentkezési tevékenységeket, mivel a lopott hitelesítő adatok továbbra is az egyik leggyakoribb út, amelyet a támadók használnak a hozzáférés kiterjesztésére, miután bejutottak egy hálózatba.

A QNET eset hasznos emlékeztető arra, hogy a válaszadás sebessége ugyanannyira számíthat, mint a kezdeti védelmek erőssége. Ahogy a zsarolóvírus-taktikák tovább fejlődnek, azok a szervezetek és egyének lesznek a legjobb helyzetben a súlyos károk elkerülésére, akiknek az eszközei másodpercek alatt, nem pedig órák alatt képesek cselekedni.