De meeste krantenkoppen over ransomware gaan over dezelfde handvol bekende namen, maar een stilere categorie dreigingsactoren blijkt net zo schadelijk. Minder bekende ransomware-groepen laten steeds vaker de uitgestrekte affiliaatnetwerken los die groepen als LockBit en Cl0p berucht maakten, en kiezen in plaats daarvan voor kleine, gedisciplineerde teams die moeilijker te infiltreren en moeilijker te voorspellen zijn. Royal, een groep die rond september opdook, is een van de duidelijkste voorbeelden van deze verschuiving, en biedt een nuttige casestudy over waarom kleiner niet betekent veiliger voor de bedrijven die deze groepen als doelwit nemen.

Een ander bedrijfsmodel: gesloten crews in plaats van affiliaten

De meeste grote ransomware-operaties draaien op een affiliaat- of ransomware-as-a-service-model. De kernontwikkelaars bouwen en onderhouden de malware en licentiëren die vervolgens aan een wisselende cast van affiliaten die de daadwerkelijke intrusies uitvoeren in ruil voor een deel van het losgeld. Het is een efficiënte structuur waarmee één stuk malware kan opschalen naar tientallen of honderden gelijktijdige aanvallen, maar het creëert ook zwakke plekken. Affiliaten worden slordig, lekken details of worden gearresteerd, en wetshandhaving heeft reëel succes geboekt met het ontrafelen van deze netwerken door de losste schakel te achtervolgen.

Royal slaat dat model volledig over. In plaats van een brede affiliaatbasis te rekruteren, opereert de groep met een kleiner, hechter kernteam waarvan wordt aangenomen dat het voormalige leden van Conti omvat, een van de meest productieve en technisch geavanceerde ransomware-operaties voordat deze uiteenviel. Die afkomst is belangrijk. Een groep die is opgebouwd rond ervaren operators die al weten hoe ze door bedrijfsnetwerken moeten bewegen, detectie moeten omzeilen en losgeld moeten onderhandelen, heeft geen schaal nodig om effectief te zijn. Die heeft discipline nodig, en een gesloten structuur is gemakkelijker gedisciplineerd te houden.

Voor verdedigers is dit een betekenisvolle verandering in het dreigingslandschap. Affiliaatgestuurde groepen laten vaak een spoor van inconsistente tactieken achter omdat zoveel verschillende mensen dezelfde toolkit gebruiken. Een gesloten crew zoals Royal daarentegen opereert doorgaans met meer consistentie en meer operationele beveiliging, wat de activiteit moeilijker te fingerprinten en toe te schrijven kan maken in de vroege stadia van een intrusie.

Dubbele afpersing blijft de rode draad

Ondanks de structurele verschillen deelt Royal één tactiek met vrijwel elke andere actieve ransomware-groep vandaag: dubbele afpersing. In plaats van simpelweg de bestanden van een slachtoffer te versleutelen en betaling te eisen voor een ontsleutelingssleutel, exfiltreert de groep eerst gevoelige gegevens uit het netwerk. Als het losgeld niet wordt betaald, is de dreiging niet alleen vergrendelde bestanden, maar de openbare vrijgave van gestolen gegevens, die klantgegevens, financiële informatie of interne communicatie kunnen omvatten.

Deze tweeledige drukcampagne is de industriestandaard geworden omdat ze werkt. Zelfs organisaties met solide back-upsystemen die versleutelde gegevens kunnen herstellen zonder te betalen, worden nog steeds geconfronteerd met de reputatieschade en regelgevende gevolgen van een datalek. Het is een tactiek die in het hele ransomware-ecosysteem voorkomt, ongeacht de grootte of bekendheid van een groep. Kleinere, nieuwere spelers gebruiken het net zo gemakkelijk als gevestigde namen. De recente zaak van M3RX ransomware die aanspraak maakt op een Spaans softwarebedrijf en honderden gigabytes aan gegevens steelt, volgt hetzelfde draaiboek: infiltreren, exfiltreren, versleutelen en dreigen met openbaarmaking totdat er wordt betaald.

Wat dit patroon bedrijven vertelt, is dat de grootte of bekendheid van een ransomware-groep een slechte maatstaf is voor risico. Een relatief onbekende crew met een handvol bekwame operators kan dezelfde dubbele-afpersingsaanval uitvoeren, met dezelfde gevolgen, als een groep die de krantenkoppen domineert.

Wat dit voor u betekent

Voor beveiligingsteams en bedrijfseigenaren is de les van Royal en vergelijkbare groepen dat dreigingsmonitoring die is gebouwd rond het volgen van een korte lijst van beroemde ransomware-namen onvolledig is. Minder bekende ransomware-groepen worden vaak bemand door ervaren operators uit ontbonden of omgedoopte organisaties, wat betekent dat hun capaciteiten kunnen wedijveren met die van grotere namen, zelfs zonder een grote publieke voetafdruk.

Dit heeft ook directe implicaties voor hoe organisaties denken over netwerktoegang. Omdat dubbele afpersing afhangt van het vermogen van aanvallers om door een netwerk te bewegen en gegevens eruit te halen voordat versleuteling wordt geactiveerd, is het beperken van laterale beweging een van de meest effectieve beschikbare verdedigingen. Sterke netwerksegmentatie, strikte toegangscontroles en monitoring op ongebruikelijke uitgaande gegevensoverdrachten kunnen een intrusie onderscheppen voordat exfiltratie is voltooid, zelfs als de eerste inbreuk niet wordt gestopt. Veilige tools voor externe toegang, waaronder correct geconfigureerde VPN's met multi-factor-authenticatie, blijven een van de eenvoudigste manieren om het blootgestelde aanvalsoppervlak te verkleinen waarop groepen zoals Royal vertrouwen om een eerste voet aan de grond te krijgen.

Bruikbare conclusies

Bedrijven hoeven niet elke obscure ransomware-groep bij naam te volgen om zichzelf te beschermen, maar ze moeten wel aannemen dat elk ongepatcht systeem of blootgesteld toegangspunt voor externe toegang een potentiële ingang is voor groepen waarvan ze nog nooit hebben gehoord. Een paar praktische stappen maken een reëel verschil: houd tools voor externe toegang gepatcht en achter multi-factor-authenticatie, segmenteer netwerken zodat één gecompromitteerd account geen toegang krijgt tot gevoelige gegevens, monitor op grote of ongebruikelijke uitgaande gegevensoverdrachten die kunnen wijzen op exfiltratie die gaande is, en onderhoud offline back-ups die regelmatig worden getest, niet alleen opgeslagen.

Minder bekende ransomware-groepen zijn geen voetnoot bij de grotere namen die het nieuws domineren. Zoals Royal en andere kleinere, gesloten-crew-operaties aantonen, gaat verminderde zichtbaarheid vaak gepaard met verhoogde operationele vaardigheid, niet met verminderd risico. Elke groep, bekend of niet, met hetzelfde niveau van verdedigingsrigor behandelen is de meest betrouwbare manier om hen voor te blijven.