Hoe de inbraak-naar-ransomware-toegangsmarkt werkt

Een Russischtalige hacker heeft organisaties over de hele wereld gehackt, inloggegevens gestolen en die gestolen toegang verpakt voor verkoop aan ransomwaregroepen, volgens een nieuw rapport. Dezelfde actor hield naar verluidt ook Oekraïense militaire websites in de gaten, wat financieel gemotiveerde cybercriminaliteit combineerde met schijnbare spionageactiviteiten die verband houden met het lopende conflict.

Deze zaak is een duidelijke illustratie van hoe moderne ransomware-aanvallen daadwerkelijk beginnen. Krantenkoppen richten zich meestal op de malware die uiteindelijk de bestanden van een bedrijf versleutelt, maar de voordeur wordt meestal door iemand anders geopend: een initial access broker. Dit zijn specialisten die één taak goed uitvoeren. Ze breken in netwerken in, controleren of de toegang werkt en verkopen die vervolgens, vaak op ondergrondse forums, aan ransomware-operators die het afpersingsgedeelte van de zaak afhandelen. Het is een taakverdeling die ransomware-campagnes sneller, schaalbaarder en moeilijker te herleiden tot één enkele groep heeft gemaakt.

Deze inbraak-naar-ransomware-toegangsmarkt betekent dat een enkel gecompromitteerd wachtwoord een lange weg kan afleggen. De persoon die het steelt, zal misschien zelf nooit ransomware inzetten. In plaats daarvan fungeert hij als leverancier, en de daadwerkelijke schade – een ziekenhuissysteem dat offline wordt gehaald, de activiteiten van een fabrikant die stilvallen, de gegevens van een schooldistrict die worden versleuteld – wordt uitgevoerd door een volledig aparte koper verderop in de keten.

Welke inloggegevens en netwerktoegang werden gestolen en verkocht

Volgens het rapport draaide de operatie van de hacker om het verzamelen van inloggegevens van wereldwijde organisaties en het gereedmaken van die toegang voor doorverkoop. In plaats van elk gecompromitteerd systeem onmiddellijk te misbruiken, leek de actor gestolen logins als inventaris te behandelen: iets om te catalogiseren, te valideren en over te dragen aan kopers die gespecialiseerd zijn in de volgende fase van een aanval. Naast deze commerciële activiteit werd de hacker ook geobserveerd terwijl hij Oekraïense militaire websites in de gaten hield, een detail dat suggereert dat er overlappende motieven zijn buiten pure winst.

Dit patroon, financieel gedreven diefstal van inloggegevens die parallel loopt met geopolitiek gemotiveerde surveillance, komt steeds vaker voor bij Russischtalige dreigingsactoren. Het onderstreept ook waarom verdedigers niet kunnen aannemen dat een incident met diefstal van inloggegevens "slechts" een financieel misdrijfprobleem is. Dezelfde gestolen toegang die uiteindelijk aan een ransomwarebende wordt verkocht, kan net zo gemakkelijk worden gebruikt voor spionage – of voor beide.

Waarom gestolen VPN- en externe-toegangsgegevens hoofddoelen zijn voor access brokers

Access brokers richten zich graag op inloggegevens die het meeste terrein ontsluiten met de minste inspanning. VPN-logins, externe bureaubladaccounts en andere tools voor externe toegang staan bovenaan die lijst, omdat ze zijn ontworpen om een gebruiker van de buitenwereld rechtstreeks naar het interne netwerk te brengen. Eén enkel geldig VPN-inloggegevens kan perimeterverdedigingen volledig omzeilen, waardoor een aanvaller een legitiem lijkende voet aan de grond krijgt die niet dezelfde alarmen activeert als een traditionele inbraak.

Dat is precies waarom VPN-aanbieders en de inloggegevens die zij beheren zelf aantrekkelijke doelwitten zijn geworden. Niet alleen zakelijke VPN-gateways lopen risico. Ook bij consumenten-VPN-diensten zijn interne databases blootgesteld, wat ongemakkelijke vragen oproept over de vraag of "geen-logs"-beloften standhouden onder controle. De SplitVPN-inbraak is een goed voorbeeld: een grote database die naar verluidt aan de aanbieder is gekoppeld, verscheen op een crimineel forum, wat de privacyclaims van het bedrijf ondermijnde en gebruikers eraan herinnerde dat de eigen beveiligingshouding van een VPN net zo belangrijk is als de versleuteling die het adverteert.

Hoe VPN, 2FA en wachtwoordhygiëne het risico op laterale beweging verminderen

Het goede nieuws is dat het grootste deel van de frictie in deze aanvalspijplijn opnieuw kan worden toegevoegd door organisaties en individuen die bereid zijn een paar consistente stappen te nemen. Multi-factor authenticatie is de meest effectieve beveiligingsmaatregel tegen gestolen inloggegevens, aangezien een wachtwoord alleen veel minder bruikbaar wordt voor een koper als het niet kan worden gecombineerd met een tweede verificatiestap. Het regelmatig roteren van inloggegevens, het vermijden van hergebruik van wachtwoorden op verschillende diensten en het monitoren van blootgestelde logins via meldingsdiensten voor datalekken, verkleinen allemaal de tijdsperiode waarin gestolen toegang waardevol blijft voor een broker.

Voor externe toegang specifiek: het kiezen van een VPN-aanbieder met een verifieerbaar, geaudit geen-logs-beleid, in plaats van alleen een marketingclaim, verkleint de kans dat uw eigen inloggegevens de volgende dataset worden die te koop wordt aangeboden. Combineer dat met 2FA op elk extern-toegangspunt en segmenteer netwerken zodat één gecompromitteerd account niet overal bij kan, dan beperkt u hoe ver een aanvaller zich kan verplaatsen, zelfs als hij binnenkomt.

Wat dit voor u betekent

Als u IT beheert voor een bedrijf, is deze zaak een herinnering dat diefstal van inloggegevens door een initial access broker vaak het echte startpunt is van een ransomware-incident, niet de ransomware zelf. Investeren in wachtwoordhygiëne, MFA en bewaking van externe toegang doet meer om deze aanvallen te stoppen dan welk anti-malwaremiddel dan ook. Als u een individuele gebruiker bent, is het een duwtje in de rug om te controleren of uw VPN- of externe-toegangsaanbieder een staat van dienst heeft in het beschermen van zijn eigen gegevens, aangezien uw inloggegevens slechts zo veilig zijn als de dienst die ze opslaat.

Uitvoerbare conclusies:

  • Schakel multi-factor authenticatie in voor elk VPN-, extern bureaublad- en beheerdersaccount, niet alleen voor e-mail.
  • Vermijd hergebruik van wachtwoorden voor verschillende diensten, met name voor tools voor externe toegang.
  • Onderzoek de beveiligingsgeschiedenis en onafhankelijke audits van een VPN-aanbieder voordat u vertrouwt op de geen-logs-claims.
  • Monitor of uw inloggegevens verschijnen in datalekdatabases en wijzig ze onmiddellijk als ze worden gevonden.
  • Segmenteer netwerken zodat één enkel gestolen inloggegevens geen brede laterale toegang kan bieden.