Egy BitLocker zsarolóvírus-támadás, amely kihagyja a kártevőt
Biztonsági kutatók egy új zsarolócsoportot azonosítottak, amely nyugtalanító egyszerűsítéssel kerüli meg a hagyományos zsarolóvírus-fejlesztést: egyedi titkosító kártevő írása helyett a támadók a Windowsba beépített BitLocker lemeztitkosítást használják arra, hogy az áldozatokat kizárják saját fájljaikból. Miután a meghajtókat lezárták, a csoport a lehető leganalógabb módon jelenti be a támadást: egyenesen az irodai nyomtatóra küldi a váltságdíj-üzenetet.
A megbízható Windows-funkció és a fizikai, szemtől-szembe kommunikáló értesítési módszer kombinációja jelentős elmozdulást jelez abban, ahogyan a zsarolóbandák működnek. Emellett kemény kérdéseket vet fel azoknál az IT-csapatoknál, akik éveket töltöttek a végpontok megerősítésével a rosszindulatú futtatható fájlok ellen, csak hogy most olyan támadókkal találják szemben magukat, akik olyan eszközöket használnak, amelyeket korábban soha nem bélyegeztek veszélyesnek.
Hogyan fegyverzik fel a támadók a BitLockert, hogy kizárják az áldozatokat
A BitLocker egy legitim, Microsoft által biztosított titkosító eszköz, amelyet arra terveztek, hogy megvédje az adatokat, ha egy laptopot vagy meghajtót elveszítenek vagy ellopnak. A legtöbb modern Windows telepítés része, és az IT-részlegek világszerte megbíznak benne. Pontosan ez a bizalom teszi hasznos fegyverré azok számára, akik már megszerezték a rendszergazdai hozzáférést egy hálózathoz.
Ahelyett, hogy olyan egyedi titkosító csomagot telepítenének, amelyet a vírusirtó szoftver esetleg észrevesz, ez a zsarolócsoport egyszerűen bekapcsolja a BitLockert az áldozat saját meghajtóin, és túszul ejti a helyreállítási kulcsot. Az eredmény gyakorlatilag megegyezik egy hagyományos zsarolóvírus-fertőzéssel: a fájlok elérhetetlenné válnak, a rendszerek leállnak, és a szervezet egy olyan kulcsért kénytelen alkudozni, amelynek mindvégig a saját ellenőrzése alatt kellett volna állnia. Mivel a BitLocker egy natív, digitálisan aláírt Microsoft összetevő, az ismert rosszindulatú aláírások észlelésére támaszkodó biztonsági eszközöknek alig van okuk beavatkozni.
Miért jelez új zsarolási taktikát a váltságdíj-üzenetek nyomtatása
A hagyományos zsarolóvírus-csoportok általában egy szövegfájlt ejtenek az asztalra, vagy egy zárolási képernyőt jelenítenek meg, amely fizetést követel. Ez a csoport viszont a váltságdíj-követelését közvetlenül egy hálózati nyomtatóra küldi, fizikai dokumentumot hozva létre, amelyet a dolgozók a pihenőszobában vagy az asztalukon találnak meg.
A taktika kevésbé a technikai kifinomultságról, és inkább a pszichológiáról szól. Egy nyomtatott üzenetet nehezebb figyelmen kívül hagyni, mint egy felugró ablakot, és azt jelzi az épületben tartózkodó összes alkalmazott – nem csupán az IT-személyzet – számára, hogy a szervezetet feltörték. Ez egy nyilvános, kézzelfogható eszkaláció, amelynek célja, hogy nyomást gyakoroljon az áldozatokra a gyorsabb fizetés érdekében, és egy szélesebb tendenciát visszhangoz, amelyben a zsarolócsoportok szokatlan, a billentyűzeten túlmutató nyomásgyakorlási módszerekkel kísérleteznek. Az FBI korábban már figyelmeztetett hasonlóan kreatív megközelítésekre, beleértve azokat az eseteket, amikor a Silent Ransom Group fizikailag IT-munkatársaknak adta ki magát ügyvédi irodáknál, hogy megszerezzék a szükséges hozzáférést, mielőtt a zsarolás egyáltalán elkezdődött volna.
A „living-off-the-land” támadások kockázata a vírusirtó eszközök megkerülésére
A biztonsági szakemberek ezt a megközelítést „living off the land” (a terepen élés) néven emlegetik: a támadók a célrendszeren már jelen lévő szoftvereket és segédprogramokat használják ahelyett, hogy új, észlelhető kártevőt vezetnének be. A BitLockerrel való visszaélés tankönyvi példa erre. Mivel az eszközt a Microsoft írta alá, és várhatóan vállalati gépeken fut, tevékenysége gyakran nem váltja ki ugyanazokat a riasztásokat, mint egy ismeretlen futtatható fájl.
Pontosan ez teszi veszélyessé a taktikát azoknál a szervezeteknél, amelyek elsősorban aláírás-alapú vírusirtóra vagy a nyilvánvalóan rosszindulatú fájlok észlelésére hangolt végpontvédelmi rendszerekre támaszkodnak. Ha a támadók már rendelkeznek a titkosítás engedélyezéséhez és a helyreállítási kulcsok visszatartásához szükséges rendszergazdai jogosultságokkal, a támadás kizárólag a szabványos Windows-funkciók használatával is végrehajtható, ami sokkal nehezebbé teszi a jogszerű IT-tevékenységtől való megkülönböztetést, amíg nem késő.
Hogyan erősítsük meg a Windows rendszereket a beépített eszközökkel való visszaélés ellen
Az ilyen típusú támadások elleni védekezés megköveteli a fókusz eltolását a „milyen szoftver fut” kérdésről a „kinek van engedélye futtatni” kérdésre. Néhány gyakorlati lépés itt számít. A szervezeteknek szigorúan korlátozniuk kell azokat a fiókokat, amelyek BitLocker-beállításokat engedélyezhetnek vagy módosíthatnak, és biztosítaniuk kell, hogy a helyreállítási kulcsok automatikusan letétbe kerüljenek az Active Directoryban vagy az Azure AD-ben, ne pedig csak azok számára legyenek elérhetők, akik helyi rendszergazdai jogokkal rendelkeznek. A váratlan BitLocker-aktiválási események figyelése, különösen a normál karbantartási időszakokon kívül, szintén elkaphatja a támadást még azelőtt, hogy a titkosítás a teljes gépparkra kiterjedne.
A BitLockeren túlmenően az alapvető tanulság a jogosultságkezelésről szól. Az állandó rendszergazdai hozzáférés korlátozása, a hálózatok szegmentálása és az offline, tesztelt biztonsági mentések fenntartása mind csökkentik a robbanási sugarat, amikor a támadók megvetik a lábukat, függetlenül attól, hogy végül melyik eszközt használják fel a fájlok zárolására.
Mit jelent ez Önnek
A hétköznapi felhasználók számára ez a konkrét BitLocker zsarolóvírus-támadás elsősorban vállalati probléma, mivel attól függ, hogy a támadóknak már van rendszergazdai hozzáférésük egy hálózathoz. De hasznos emlékeztető arra, hogy a védelmünkre készült titkosító eszközök ellenünk fordíthatók, ha a fiókok biztonsága gyenge. Az IT-rendszergazdák és a kisvállalkozások tulajdonosai számára a tanulság közvetlenebb: vizsgálják felül, ki kezelheti a titkosítási beállításokat a rendszereiken, ellenőrizzék, hogy a helyreállítási kulcsokról biztonsági mentés készült-e olyan helyre, amelyet a támadók nem érhetnek el, és kezeljék a váratlan titkosítási eseményeket ugyanolyan sürgősséggel, mint egy kártevő-riasztást.
Főbb tanulságok
Ez az incidens illeszkedik abba a mintába, amelyben a zsarolócsoportok eltávolodnak az egyedi kártevőktől a legitim eszközökkel való visszaélés és a szokatlan nyomásgyakorlási taktikák felé – ez a tendencia azokban az esetekben is látható, amikor a Silent Ransom Group IT-munkatársaknak adta ki magát, hogy megbízható hozzáférést szerezzen a csapás előtt. Függetlenül attól, hogy a belépési pont egy hamis telefonhívás vagy egy kompromittált rendszergazdai fiók, a védelem ugyanaz: erős hozzáférés-szabályozás, figyelt rendszergazdai tevékenység és olyan biztonsági mentések, amelyek nem függnek a támadó jóindulatától. A szervezet BitLocker kulcskezelésének és végpontfigyelésének felülvizsgálata most sokkal jobb időzítés, mint azután, hogy egy váltságdíj-üzenet jön ki a nyomtatóból.
