Jarenlang was het typische beeld van ransomware dat van versleutelde bestanden en een losgeldbriefje op het scherm. Een nieuwe tactiek beschreven door PortalGeek verandert dat script: de ransomware zonder encryptie living off the land legt bedrijfsnetwerken plat zonder één enkel bestand te versleutelen, met behulp van de eigen tools van de organisatie. Het resultaat blijft hetzelfde, een bedrijf dat stil ligt, maar de weg ernaartoe is moeilijker te detecteren.

Dit artikel legt uit hoe het werkt, waarom het zo moeilijk te vangen is en wat zowel bedrijven als mensen die thuiswerken zouden moeten controleren.

Hoe ransomware zonder encryptie werkt

Volgens de gepubliceerde informatie verlamt deze tactiek de bedrijfsvoering van een bedrijfsnetwerk zonder toevlucht te nemen tot bestandsversleuteling, wat juist is waar veel verdedigingsmechanismen op letten. In plaats van een zeer zichtbaar kwaadaardig programma te implementeren, maakt de aanvaller gebruik van hulpprogramma's die al in de omgeving aanwezig zijn: beheertools zoals PowerShell en software voor externe toegang.

Deze aanpak staat bekend als "living off the land" (van het land leven): de indringer gebruikt wat al geïnstalleerd is. Zonder gegevens te versleutelen, kan hij diensten onderbreken, toegang blokkeren of systemen onbruikbaar maken, en de impact op de bedrijfscontinuïteit is even ernstig. Voor een bedrijf is niet kunnen opereren het kernprobleem, of de bestanden nu versleuteld zijn of niet.

Waarom het gebruik van legitieme tools detectie bemoeilijkt

De sleutel is dat niets van wat de aanvaller uitvoert op het eerste gezicht vreemd lijkt. PowerShell wordt dagelijks gebruikt door systeembeheerders, en software voor externe toegang is een vast onderdeel van technische ondersteuning. Als een aanvaller met geldige inloggegevens dezelfde tools start, kan zijn activiteit worden verward met routinewerk.

Dit heeft verschillende praktische gevolgen:

  • Minder klassieke signalen. Een antivirusprogramma dat zoekt naar bekende kwaadaardige bestanden heeft weinig te blokkeren wanneer legitieme programma's worden gebruikt.
  • De focus verschuift naar inloggegevens. Als de toegang geldig is, is de vraag niet langer "welke software is dit?", maar "wie gebruikt het en van waaruit?".
  • Meer belang van gedrag. Het detecteren van ongebruikelijk gebruik van een tool (op een vreemd tijdstip, vanaf een onverwacht apparaat) wordt nuttiger dan het detecteren van een specifiek bestand.

Het is geen dreiging die met één enkel product wordt opgelost. Het vereist lagen: toegangscontrole, zichtbaarheid en herstelvermogen.

Wat het betekent voor telewerken en thuisnetwerken

Een bedrijfsnetwerk houdt niet op bij het kantoor. Elke laptop die vanaf huis verbinding maakt, elke tool voor externe toegang en elk hergebruikt wachtwoord vergroot het oppervlak waarlangs een aanvaller binnen kan komen. Als de methode afhangt van het gebruik van legitieme toegangen, worden de inloggegevens van wie op afstand werkt een bijzonder waardevolle deur.

In de praktijk beïnvloedt de veiligheid van het thuisnetwerk die van het bedrijf:

  • Een router met het fabriekswachtwoord of met verouderde firmware is een zwak punt.
  • Een wachtwoord dat hergebruikt wordt tussen persoonlijke en zakelijke diensten maakt het makkelijker dat een externe datalek uiteindelijk het werk treft.
  • Een programma voor externe toegang dat is geïnstalleerd en vergeten, of zonder versterkte authenticatie, biedt een directe weg naar het apparaat.

De algemene context is ook belangrijk. Zoals we opnamen in onze analyse over de toename van ransomware-slachtoffers in Spanje en datadiefstal met AI, blijft de dreiging groeien en treft zowel organisaties als de mensen die ermee verbonden zijn.

Praktische maatregelen: MFA, minimale privileges, monitoring en back-ups

Geen van deze maatregelen is nieuw, maar samen verkleinen ze de bewegingsruimte van wie probeert misbruik te maken van legitieme tools aanzienlijk.

  1. Multifactorauthenticatie (MFA). Activeer het in e-mail, op bedrijfs-VPN's, op extern bureaublad en in elk beheerpaneel. Als een wachtwoord uitlekt, voegt MFA een belangrijke hindernis toe.
  2. Minimale privileges. Elk account zou alleen de rechten moeten hebben die het nodig heeft. Als een gewone gebruiker PowerShell niet met verhoogde rechten hoeft uit te voeren, kun je dat beter beperken.
  3. Controle over software voor externe toegang. Houd een inventaris bij van welke tools zijn toegestaan en verwijder degene die niet worden gebruikt.
  4. Monitoring van gedrag. Registreer en controleer de activiteit van beheertools en stel waarschuwingen in bij ongebruikelijk gebruik.
  5. Geïsoleerde en geteste back-ups. Bewaar aparte kopieën buiten het hoofdnetwerk en controleer of ze kunnen worden hersteld. Als systemen worden geblokkeerd, niet alleen bestanden, is een gedocumenteerd herstelplan ook raadzaam.
  6. Hygiëne thuis. Wijzig de inloggegevens van de router, werk de firmware bij, gebruik unieke wachtwoorden met een wachtwoordmanager en houd het besturingssysteem up-to-date.

Conclusie: controleer je configuratie voordat een aanvaller dat doet

De ransomware zonder encryptie living off the land herinnert eraan dat gevaar niet altijd komt in de vorm van een verdacht bestand. Soms komt het met een geldig account en tools die al op je apparaat staan. Daarom bestaat de verdediging uit het beschermen van inloggegevens, het beperken van rechten, het bewaken van gedrag en ervoor zorgen dat je kunt herstellen.

Neem deze week een paar minuten de tijd om je configuratie voor telewerken te controleren: heb je MFA geactiveerd op je belangrijkste accounts? Heb je het beheerderswachtwoord van je router gewijzigd? Zijn je back-ups geïsoleerd en heb je ze getest? Om de omvang van het probleem beter te begrijpen, kun je ons artikel over ransomware-trends in Spanje raadplegen.