Nieuw onderzoek naar de technische infrastructuur achter verschillende grote ransomware-operaties, waaronder INC Ransom, Lynx, MedusaLocker en LockBit-gerelateerde activiteit, heeft aangetoond dat deze groepen, ondanks dat ze onder verschillende merknamen opereren, vertrouwen op opvallend vergelijkbare aanvalspatronen. Die consistentie is belangrijk voor iedereen die ransomware probeert te begrijpen, want het betekent dat de tools en tactieken die verdedigers gebruiken om de ene bende te pakken vaak tegelijkertijd tegen meerdere anderen werken.

Gedeelde infrastructuur achter verschillende ransomware-merken

Ransomware wordt vaak behandeld alsof elke genoemde groep een volledig afzonderlijke criminele onderneming is met een eigen uniek draaiboek. De realiteit die dit onderzoek blootlegt, is rommeliger en in sommige opzichten nuttiger voor verdediging. Door de infrastructuur te volgen, dat wil zeggen de servers, command-and-control-kanalen en staging-systemen, die worden gebruikt bij aanvallen die verband houden met INC Ransom, Lynx, MedusaLocker en LockBit, vonden onderzoekers terugkerende technische vingerafdrukken across ogenschijnlijk niet-gerelateerde campagnes.

Deze overlap weerspiegelt een bredere trend die al elders in het ransomware-ecosysteem zichtbaar is. Zoals besproken in berichtgeving over hoe ransomware-groepen een recordaantal van 93 actieve crews bereikten, is het criminele ondergrondse circuit gefragmenteerd geraakt in een groot aantal genoemde operaties, zelfs terwijl kerntechnieken, en in sommige gevallen daadwerkelijke infrastructuur, worden hergebruikt of gedeeld. Ransomware-as-a-service-affiliates wisselen vaak tussen merken, en gelekte of doorverkochte toolkits betekenen dat verschillende "groepen" er onder de motorkap heel veel op elkaar kunnen lijken.

Eerst stelen, later versleutelen: de standaard van dubbele afpersing

Een van de duidelijkste patronen die uit het onderzoek naar voren komen, is timing. Voordat ze ooit de systemen van een slachtoffer vergrendelen, exfiltreren de meeste onderzochte ransomware-operaties stilletjes eerst gevoelige gegevens. Versleuteling, het deel van de aanval dat opvalt omdat systemen plotseling stoppen met werken, is vaak de laatste stap in plaats van de eerste.

Deze volgorde is de ruggengraat van dubbele afpersing: aanvallers stelen stilletjes gegevens, versleutelen vervolgens bestanden en dreigen dan de gestolen gegevens openbaar te maken als het losgeld niet wordt betaald. Het geeft slachtoffers twee afzonderlijke redenen om te betalen en geeft aanvallers hefboomwerking, zelfs als een bedrijf zijn systemen kan herstellen vanuit back-ups zonder te betalen voor een decryptiesleutel. Deze tactiek is zo standaard geworden dat de afwezigheid ervan nu de uitzondering zou zijn in plaats van de regel, en het sluit aan bij afzonderlijke bevindingen over hoe afpersingstactieken verschuiven nu losgeldbetalingen recorddieptepunten bereiken, waardoor groepen naar hardere druktactieken worden geduwd wanneer slachtoffers weigeren te betalen.

Waarom vroege detectie nu de beste verdediging is

Omdat gegevensdiefstal doorgaans ruim vóór versleuteling plaatsvindt, is er vaak een venster, soms dagen of weken, waarin een compromis gaande is maar nog niet is uitgegroeid tot een volledige crisis. De infrastructuurpatronen die in dit onderzoek zijn geïdentificeerd, geven verdedigers een manier om dat venster te herkennen: terugkerend command-and-control-gedrag, staging-technieken en netwerksignaturen die opduiken across INC Ransom-, Lynx-, MedusaLocker- en LockBit-gerelateerde activiteit.

Dit is belangrijk omdat de initiële inbraak steeds vaker de zwakste schakel is die aanvallers uitbuiten. Afzonderlijk onderzoek dat op deze site werd besproken, vond dat 79% van de ransomware-incidenten begint met gestolen inloggegevens in plaats van met geavanceerde exploits. Combineer dat met infrastructuur die voorspelbaar gedrag vertoont zodra aanvallers binnen zijn, en er ontstaat een duidelijker beeld: de meeste ransomware-aanvallen zijn geen onstopbare zero-day-meesterwerken. Ze vertrouwen op gestolen toegang en hergebruikte tooling, die beide detecteerbare sporen achterlaten als organisaties weten waar ze op moeten letten.

Wat dit voor jou betekent

Voor alledaagse gebruikers is dit onderzoek een herinnering dat ransomware zelden uit het niets komt. Het volgt meestal op een gestolen wachtwoord, een phishing-e-mail of een blootgesteld toegangspunt op afstand, en het steelt meestal gegevens lang voordat er iets wordt vergrendeld of een losgeldbriefje verschijnt. Voor bedrijven en IT-teams is de conclusie directer: het monitoren van de infrastructuurpatronen die grote ransomware-families delen, kan een inbraak tijdens de fase van gegevensdiefstal onderscheppen, voordat versleuteling ooit plaatsvindt.

Voor individuen is de praktische verdediging dezelfde als altijd: unieke wachtwoorden, multi-factor-authenticatie en voorzichtigheid rond onverwachte inlogprompts of verzoeken om inloggegevens. Ransomware-groepen zijn afhankelijk van gestolen toegang om binnen te komen, dus het afsluiten van dat toegangspunt neemt een groot deel van hun voordeel weg voordat de meer geavanceerde infrastructuurtactieken ooit in het spel komen.

Belangrijkste punten

  • Ransomware-groepen met verschillende namen delen vaak onderliggende infrastructuur en tactieken, wat betekent dat detectietools die voor de ene bende zijn gebouwd vaak ook op andere van toepassing zijn.
  • Gegevensdiefstal vindt doorgaans plaats vóór versleuteling, waardoor een detectievenster ontstaat waarop verdedigers kunnen handelen.
  • Gestolen inloggegevens blijven een belangrijk toegangspunt, waardoor wachtwoordhygiëne en multi-factor-authenticatie tot de meest effectieve beschikbare verdedigingsmiddelen behoren.
  • Organisaties moeten prioriteit geven aan het monitoren van vroege tekenen van inbraak, niet alleen aan de laatste, meest zichtbare fase van ransomware.

Begrijpen hoe ransomware-infrastructuur daadwerkelijk werkt, in plaats van elke aanval als een geïsoleerde gebeurtenis te behandelen, geeft zowel individuen als organisaties een duidelijker pad om bedreigingen te onderscheppen voordat ze escaleren. Op de hoogte blijven van deze gedeelde patronen is een van de eenvoudigste manieren om een stap voor te blijven.