Egy új kutatás, amely több jelentős zsarolóvírus-művelet – köztük az INC Ransom, a Lynx, a MedusaLocker és a LockBithez kapcsolódó tevékenység – technikai infrastruktúráját vizsgálta, arra a megállapításra jutott, hogy bár különböző márkanevek alatt működnek, ezek a csoportok feltűnően hasonló támadási mintákra támaszkodnak. Ez a következetesség mindenki számára fontos, aki meg próbálja érteni a zsarolóvírust, mert azt jelenti, hogy az eszközök és taktikák, amelyekkel a védők egy bandát elkapnak, gyakran egyszerre több másik ellen is működnek.
Közös infrastruktúra a különböző zsarolóvírus-márkák mögött
A zsarolóvírusokról gyakran úgy írnak, mintha minden elnevezett csoport egy teljesen különálló bűnözői vállalkozás lenne, saját egyedi forgatókönyvével. A kutatás által feltárt valóság rendezetlenebb, és bizonyos szempontból hasznosabb a védelem szempontjából. Az infrastruktúra – vagyis a szerverek, a parancs- és vezérlési csatornák, valamint az előkészítő rendszerek – nyomon követésével, amelyeket az INC Ransomhoz, a Lynxhez, a MedusaLockerhez és a LockBithez kötődő támadásokban használtak, a kutatók visszatérő technikai ujjlenyomatokat találtak állítólagosan egymástól független kampányokban.
Ez az átfedés a zsarolóvírus-ökoszisztémában máshol is látható szélesebb tendenciát tükrözi. Ahogy arról a zsarolóvírus-csoportok rekordszámú, 93 aktív csapatot értek el című riportban beszámoltunk, a bűnözői földalatti világ nagyszámú elnevezett műveletre töredezett, még akkor is, ha az alapvető technikák, és bizonyos esetekben a tényleges infrastruktúra újrahasznosításra vagy megosztásra kerülnek. A zsarolóvírus-szolgáltatásként működő partnerek gyakran váltogatják a márkákat, a kiszivárgott vagy újraértékesített eszközkészletek pedig azt jelentik, hogy a különböző „csoportok" a felszín alatt nagyon hasonlóvá válhatnak.
Először lopni, aztán titkosítani: a kettős zsarolás standardja
A kutatásból kirajzolódó egyik legvilágosabb minta az időzítés. Mielőtt egyáltalán zárolnák az áldozat rendszereit, a vizsgált zsarolóvírus-műveletek többsége csendben először exfiltrálja az érzékeny adatokat. A titkosítás – a támadás azon része, amely észrevehetővé válik, mert a rendszerek hirtelen leállnak – gyakran az utolsó lépés, nem pedig az első.
Ez a sorrend a kettős zsarolás gerince: a támadók csendben ellopják az adatokat, majd titkosítják a fájlokat, végül azzal fenyegetőznek, hogy nyilvánosan kiszivárogtatják a lopott adatokat, ha nem fizetik ki a váltságdíjat. Ez két külön okot ad az áldozatoknak a fizetésre, és a támadóknak akkor is befolyást biztosít, ha egy vállalat vissza tudja állítani rendszereit biztonsági mentésekből anélkül, hogy fizetne a visszafejtési kulcsért. Ez a taktika annyira általánossá vált, hogy hiánya ma már inkább kivételnek számítana, mintsem szabálynak, és összhangban van azokkal a különálló megállapításokkal, amelyek szerint a zsarolási taktikák változnak, miközben a váltságdíjfizetések rekordalacsony szintet érnek el, ami a csoportokat keményebb nyomásgyakorló taktikák felé tereli, amikor az áldozatok megtagadják a fizetést.
Miért a korai felismerés a legjobb védelem ma
Mivel az adatlopás általában jóval a titkosítás előtt történik, gyakran van egy ablak – néha napok vagy hetek –, amikor egy kompromittálódás folyamatban van, de még nem vált teljes körű válsággá. A kutatásban azonosított infrastruktúraminták módot adnak a védőknek arra, hogy észleljék ezt az ablakot: visszatérő parancs- és vezérlési viselkedés, előkészítési technikák és hálózati aláírások, amelyek az INC Ransomhoz, a Lynxhez, a MedusaLockerhez és a LockBithez kapcsolódó tevékenységben egyaránt megjelennek.
Ez azért fontos, mert a kezdeti betörés egyre inkább a leggyengébb láncszem, amelyet a támadók kihasználnak. Az ezen az oldalon tárgyalt különálló kutatás megállapította, hogy a zsarolóvírus-incidensek 79%-a ellopott hitelesítő adatokkal kezdődik, nem pedig kifinomult sebezhetőségek kihasználásával. Ha ehhez hozzávesszük azt az infrastruktúrát, amely kiszámíthatóan viselkedik, amint a támadók bejutottak, világosabb kép rajzolódik ki: a legtöbb zsarolóvírus-támadás nem megállíthatatlan nulladik napi mestermű. Ellopott hozzáférésre és újrahasznosított eszközökre támaszkodnak, amelyek mindegyike észlelhető nyomokat hagy, ha a szervezetek tudják, mit keressenek.
Mit jelent ez Önnek
A hétköznapi felhasználók számára ez a kutatás emlékeztető arra, hogy a zsarolóvírus ritkán érkezik a semmiből. Általában egy ellopott jelszó, egy adathalász e-mail vagy egy nyitva hagyott távoli hozzáférési pont után következik, és általában jóval azelőtt lop adatokat, hogy bármit zárolnának vagy megjelenne egy váltságdíj-követelés. A vállalkozások és IT-csapatok számára a tanulság közvetlenebb: a jelentős zsarolóvírus-családok között megosztott infrastruktúraminták figyelése képes elkapni egy behatolást az adatlopási szakaszban, még a titkosítás bekövetkezte előtt.
Az egyének számára a gyakorlati védelem ugyanaz, mint mindig: egyedi jelszavak, többtényezős hitelesítés és óvatosság a váratlan bejelentkezési felszólításokkal vagy hitelesítő adatokra vonatkozó kérésekkel szemben. A zsarolóvírus-csoportok az ellopott hozzáférésre támaszkodnak a belépéshez, így e hozzáférési pont elzárása sok előnyüket megszünteti, mielőtt a fejlettebb infrastruktúra-taktikák egyáltalán szóba kerülnének.
Fő tanulságok
- A különböző nevű zsarolóvírus-csoportok gyakran közös infrastruktúrát és taktikákat használnak, ami azt jelenti, hogy az egyik banda ellen kifejlesztett észlelési eszközök gyakran másokra is alkalmazhatók.
- Az adatlopás általában a titkosítás előtt történik, ami egy észlelési ablakot teremt, amelyre a védők cselekedhetnek.
- Az ellopott hitelesítő adatok továbbra is az egyik legfőbb belépési pont, ami a jelszóhigiéniát és a többtényezős hitelesítést a leg hatékonyabb védekezési lehetőségek közé sorolja.
- A szervezeteknek a behatolás korai jeleinek figyelését kell előnyben részesíteniük, nem csak a zsarolóvírus utolsó, legláthatóbb szakaszát.
Ha megértjük, hogyan működik valójában a zsarolóvírus-infrastruktúra, ahelyett hogy minden támadást izolált eseményként kezelnénk, mind az egyének, mind a szervezetek számára világosabb utat kínál a fenyegetések elkapására, mielőtt azok eszkalálódnának. Ezen közös minták ismeretében maradni az egyik legegyszerűbb módja annak, hogy egy lépéssel előrébb járjunk.
