Geng Ransomware dengan 483 Korban dan Perlengkapan yang Terus Berkembang

Sebuah operasi ransomware yang dikenal sebagai The Gentlemen dilaporkan telah mengompromikan 483 korban dengan menggabungkan dua perangkat lunak jahat yang berbeda: utilitas penghindaran pertahanan bernama GentleKiller dan trojan akses jarak jauh bernama EtherRAT. Bersama-sama, alat-alat ini memungkinkan kelompok tersebut untuk menonaktifkan perangkat lunak keamanan di mesin target dan mempertahankan komunikasi komando-dan-kontrol yang tersembunyi yang lebih sulit untuk dimatikan oleh para pembela.

Kelompok ini, yang juga dikaitkan oleh para peneliti keamanan dengan serangan terhadap organisasi seperti stadion es Belanda yang dibahas dalam laporan kami tentang serangan geng ransomware The Gentlemen terhadap Thialf, terus memperluas jangkauannya secara stabil. Daripada mengandalkan satu eksploitasi baru, keberhasilan geng ini tampaknya berasal dari menumpuk beberapa teknik penghindaran yang sudah dikenal ke dalam satu paket otomatis, kemudian menggunakan kembali paket tersebut di sejumlah besar target.

Bagaimana GentleKiller Mengalahkan Perangkat Lunak Keamanan

Di pusat kampanye ini adalah GentleKiller, sebuah alat yang dibangun di sekitar teknik yang umum disebut BYOVD, atau "Bring Your Own Vulnerable Driver." Secara sederhana, penyerang menginstal driver perangkat keras atau perangkat lunak yang sah tetapi cacat ke komputer korban. Karena driver tersebut sering kali ditandatangani secara digital dan dipercaya oleh Windows, driver itu dapat berjalan dengan hak istimewa tingkat sistem yang dalam. Penyerang kemudian mengeksploitasi kelemahan yang diketahui dalam driver tersebut untuk mematikan atau membutakan perangkat lunak keamanan yang berjalan di mesin, secara efektif mengubah perangkat lunak tepercaya menjadi senjata melawan alat-alat yang justru dimaksudkan untuk menghentikannya.

Menurut laporan tentang kampanye ini, GentleKiller telah digunakan untuk mengalahkan produk dari 48 vendor keamanan yang berbeda. Angka itu penting karena menunjukkan bahwa alat tersebut tidak dirancang untuk menghindari satu atau dua program antivirus tertentu. Sebaliknya, alat itu dibangun sebagai kerangka kerja yang luas dan dapat digunakan kembali yang mampu menetralkan sebagian besar pasar perlindungan titik akhir. Ini mencerminkan pola yang telah kami lacak sebelumnya dalam liputan kami tentang bagaimana The Gentlemen ransomware membutakan alat EDR, di mana para operator kelompok ini menunjukkan minat yang konsisten dalam menonaktifkan deteksi sebelum menerapkan muatan enkripsi aktual mereka.

EtherRAT dan Twist Blockchain

Komponen kedua, EtherRAT, menangani komunikasi komando-dan-kontrol (C2), saluran yang digunakan penyerang untuk mengirim instruksi ke mesin yang terinfeksi dan menerima data curian atau pembaruan status kembali. Yang membedakan EtherRAT adalah penggunaan infrastruktur blockchain yang dilaporkan untuk tujuan ini. Server C2 tradisional dapat diidentifikasi dan dijatuhkan oleh peneliti atau penegak hukum begitu ditemukan. Dengan merutekan komunikasi melalui mekanisme berbasis blockchain, penyerang membuat jenis penjatuhan semacam itu menjadi jauh lebih sulit, karena data blockchain didistribusikan dan resisten terhadap titik mati tunggal.

Kombinasi ini, pembunuh pertahanan berbasis driver yang dipasangkan dengan saluran C2 yang tangguh, mencerminkan tren yang lebih luas di antara operasi ransomware-as-a-service: bangun sekali, jual atau lisensikan secara luas, dan biarkan afiliasi menjalankan kampanye skala besar terhadap berbagai target, termasuk usaha kecil dan menengah yang semakin menjadi sasaran kelompok yang bersaing untuk pangsa pasar, seperti yang kami rinci dalam artikel kami tentang Qilin dan The Gentlemen yang meningkatkan serangan SMB.

Apa Artinya Ini Bagi Anda

Jika Anda mengelola sistem TI untuk bisnis, atau bahkan hanya peduli tentang keamanan jaringan rumah Anda, pelajaran inti di sini tidak spesifik untuk The Gentlemen. Ini tentang keterbatasan mengandalkan satu produk keamanan mana pun. Alat yang mampu mengalahkan 48 vendor berbeda menunjukkan bahwa antivirus atau perangkat lunak deteksi titik akhir saja tidak dapat diperlakukan sebagai pertahanan yang lengkap.

Untuk individu, risiko praktisnya lebih rendah tetapi tidak nol: kelompok ransomware sering mendapatkan akses awal melalui email phishing, layanan akses jarak jauh yang terbuka, atau perangkat lunak yang tidak diperbarui, titik masuk yang sama yang membahayakan data pribadi dan jaringan rumah. Menjaga sistem tetap diperbarui, menggunakan kata sandi yang unik, dan berhati-hati tentang lampiran yang tidak diminta tetap menjadi perlindungan dasar terlepas dari seberapa canggih malware backend tersebut.

Untuk organisasi, kampanye ini adalah pengingat bahwa membayar tebusan tidak menjamin keamanan ke depan. Seperti yang dibahas dalam analisis kami sebelumnya tentang studi Proofpoint tentang pembayar ransomware, sekitar satu dari tiga perusahaan yang membayar tebusan akan ditargetkan lagi. Pertahanan berlapis, cadangan offline, dan kebijakan daftar putih driver yang membatasi driver tingkat kernel mana yang dapat dimuat adalah perlindungan yang jauh lebih tahan lama daripada berharap satu alat keamanan akan menangkap setiap ancaman.

Kesimpulan

  • Jangan mengandalkan satu produk keamanan; pertahanan berlapis lebih penting ketika penyerang secara khusus merancang alat untuk melewati vendor individual.
  • Batasi driver mana yang dapat dimuat di sistem Anda, karena serangan BYOVD bergantung pada menginstal driver eksternal dengan akses kernel.
  • Simpan cadangan offline yang telah diuji sehingga infeksi ransomware tidak memaksa keputusan pembayaran.
  • Perlakukan email, tautan, dan permintaan akses jarak jauh yang tidak terduga dengan kecurigaan, karena akses awal biasanya masih dimulai dengan rekayasa sosial dasar atau perangkat lunak yang tidak diperbarui.
  • Tetap terinformasi tentang kelompok seperti operasi ransomware The Gentlemen, karena alat dan target mereka terus berkembang.