Qilin és The Gentlemen: a zsarolóvírus-bandák fokozzák a kkv-k elleni támadásokat

A kisvállalkozások elleni zsarolóvírus-támadások drámaian súlyosbodtak. Két kiberbűnözői csoport, a Qilin és a The Gentlemen a hírek szerint a zsarolóvírus-szolgáltatások (Ransomware-as-a-Service) piacán verseng az elsőbbségért, és ennek kereszttüzébe a kis- és középvállalkozások (kkv-k) kerültek. Ahelyett, hogy egyetlen domináns banda szedné áldozatait, a biztonsági kutatók most két agresszív műveletet figyelnek, amelyek versenyt futnak a hálózatok feltöréséért, adatlopásért és váltságdíjkövetelésért – gyakran olyan szervezetektől, amelyek a legkevésbé engedhetik meg maguknak a fennakadást.

Ez a rivalizálás azért számít, mert megváltoztatja a támadók ösztönző rendszerét. Amikor két csoport a zsarolóvírus-gazdaságban piaci részesedésért verseng, mindkettőnek érdeke, hogy gyorsabban mozogjon, szélesebb hálót vessen ki, és könnyebb célpontokat keressen a lehető legnagyobb váltságdíj kivárása helyett. A kkv-k, amelyek jellemzően szűkebb informatikai csapattal és régebbi infrastruktúrával dolgoznak, tökéletesen illenek ebbe a profilba.

Miért veszik célba a Qilin és a The Gentlemen a kkv-kat?

A nagyvállalatok általában komolyan fektetnek be észlelési eszközökbe, dedikált biztonsági személyzetbe és incidenskezelési szerződésekbe. A kisebb cégeknek erre általában nincs lehetőségük. Egy zsarolóvírus-üzemeltető, aki mérlegeli, hova fordítsa korlátozott idejét és erőforrásait, gyakran a legkisebb ellenállás útját választja, és ez az út egyre inkább a kkv-khoz vezet.

A bandák, mint a Qilin és a The Gentlemen közötti verseny felgyorsítani látszik ezt a trendet. Amikor a zsarolóvírus-szolgáltatási modellben részt vevő leányvállalatokat arra ösztönzik, hogy minél több áldozatot találjanak, azok a gyengébb védelemmel rendelkező, kisebb tárgyalási és önálló helyreállítási képességű szervezetek felé fordulnak. Az eredmény egy mennyiségvezérelt megközelítés, amelyben a kkv-k válnak alapértelmezett célponttá, nem pedig utógondolattá.

Hogyan jutnak be ezek a zsarolóvírus-bandák?

A zsarolóvírus-üzemeltetőknek ritkán van szükségük kifinomult, egyedi kártevők írására a bejutáshoz. Az iparágban követett kampányok többségében a kezdeti hozzáférés sokkal hétköznapibb gyengeségekből származik: kitett vagy rosszul védett távoli hozzáférési pontok, ellopott vagy újrafelhasznált hitelesítő adatok, foltozatlan szoftverek, valamint adathalász e-mailek, amelyek rávesznek egy alkalmazottat a bejelentkezési adatok átadására.

Amint bejutottak, a támadók jellemzően oldalirányban mozognak a hálózaton, jogosultságokat emelnek, és megkeresik a mentési rendszereket, mielőtt bevetnék a tényleges titkosító csomagot. Ha a mentések elérhetők ugyanarról a feltört hálózatról, vagy ha a távoli asztali és VPN-hozzáférést nem szabályozzák szigorúan, a támadóknak mindenük megvan, ami a működés leállításához és a váltságdíj követeléséhez kell. Az adatlopás gyakran ezzel párhuzamosan zajlik, ami egy második nyomást gyakorló eszközt ad a bandáknak: fizess, vagy a nyilvánosság elé kerülnek az ellopott fájlok. A World Leaks Mediaworks incidens tökéletesen illusztrálja, mennyire pusztító lehet ez a második szakasz, amint az ellopott adatok felkerülnek egy kiszivárogtató oldalra, ahonnan bárki letöltheti őket.

Egy zsarolóvírus-támadás valós költsége egy kisvállalkozás számára

Egy nagyvállalat számára egy zsarolóvírus-incidens fájdalmas, de túlélhető. Egy kisvállalkozás számára létfenyegető lehet. A helyreállítás alatti leállás bevételkiesést jelent, mindenféle puffert nélkülözve. Az ügyfelek bizalma gyorsan meginog, amikor bérszámfejtési adatok, ügyfélnyilvántartások vagy egészségügyi információk kerülnek nyilvánosságra. A jogi és szabályozási kötelezettségek a cég méretétől függetlenül érvényesek, és a kriminalisztikai vizsgálat, a rendszerek újjáépítése és az esetleges váltságdíj költsége felemésztheti azokat a tartalékokat, amelyekre sok kkv a talpon maradáshoz támaszkodik.

A Qilin és a The Gentlemen közötti rivalizálás itt sürgetővé teszi a helyzetet. Amikor a csoportok a sebességre és a mennyiségre mennek a szelektivitás helyett, azok a cégek, amelyek azt feltételezik, hogy túl kicsik ahhoz, hogy megérje a támadók idejét, egyre gyakrabban csalatkoznak.

Rétegezett védelem: VPN-ek, mentések és hozzáférés-szabályozás, ami valóban segít

A kkv-knak nincs szükségük nagyvállalati méretű költségvetésre a kockázat érdemi csökkentéséhez, de be kell zárniuk azokat a réseket, amelyekre a támadók leginkább támaszkodnak.

• Biztonságos távoli hozzáférés. Ha a munkavállalók vagy beszállítók távolról csatlakoznak, a hozzáférésnek megfelelően konfigurált VPN-en vagy zero-trust hozzáférési eszközön keresztül kell történnie, többtényezős hitelesítéssel, nem pedig egy szabadon hagyott, az internet felé nyitott távoli asztali porton.
• Elkülönített és tesztelt mentések. A termelési rendszerekkel azonos hálózaton tárolt mentések nem biztonsági hálót, hanem kockázatot jelentenek. Az offline vagy megváltoztathatatlan mentések, amelyek visszaállítását rendszeresen tesztelik, teszik lehetővé, hogy egy cég váltságdíj fizetése nélkül álljon talpra.
• Korlátozott privilegizált hozzáférés. Nincs szüksége minden alkalmazottnak rendszergazdai jogokra. A hozzáférés korlátozása csökkenti, milyen messzire juthat egy támadó, amint megvetette a lábát.
• Folyamatos javítás. Sok zsarolóvírus-betörés ismert sebezhetőségeket használ ki, amelyekhez már elérhető javítás. A rendszeres frissítési ciklus bezárja azokat az ajtókat, amelyeket a támadók aktívan pásztáznak.

Mit jelent ez Önnek?

Ha Ön egy kisvállalkozás informatikai vezetője vagy rendszergazdája, a Qilin és a The Gentlemen rivalizálása arra emlékeztet, hogy a zsarolóvírus-csoportok aktívan vadásznak pontosan az Önéhez hasonló szervezetekre. Feltételezni, hogy túl kicsi ahhoz, hogy felkeltse a figyelmüket, ma már nem biztonságos fogadás. Azok a cégek, amelyek a leggyorsabban épülnek fel a zsarolóvírus-incidensekből, szinte mindig azok, amelyek már a támadás előtt kiépítették az offline mentéseket, korlátozták a hozzáféréseket és biztosították a távoli kapcsolatokat – nem utólag.

Főbb tanulságok

• A kisvállalkozások elleni zsarolóvírus-támadások fokozódnak, ahogy a rivális bandák a célpontokért és a sebességért versengenek.
• A gyenge távoli hozzáférés és a hitelesítő adatok rossz higiéniája marad a leggyakoribb belépési pont.
• Az offline, tesztelt mentések jelentik a legmegbízhatóbb módját annak, hogy elkerüljük a váltságdíj fizetését.
• A privilegizált hozzáférés korlátozása lassítja a támadókat még a behatolás után is.
• Az adatlopás gyakran kíséri a titkosítást, ami azt jelenti, hogy a proaktív biztonság akkor is számít, ha soha nem tervezünk váltságdíjat fizetni.

A zsarolóvírus-támadások előtt maradni a kisvállalkozások számára nem igényel hatalmas biztonsági költségvetést. Azt igényli, hogy bezárjuk azokat az alapvető réseket, amelyeket a Qilinhez és a The Gentlemenhez hasonló bandák jelenleg is aktívan kihasználnak.