En ny Cl0p-kampanje retter seg mot flere organisasjoner

Sikkerhetsforskere sporer en ny bølge av datainnbrudd knyttet til Cl0p-ransomware-gjengen, og flere organisasjoner har nå bekreftet at de undersøker potensielle kompromitteringer. Ifølge medlemmer av Ransom-ISAC, et anti-ransomware-fellesskap, ser kampanjen ut til å ha startet rundt 20. juli, da gruppen begynte å sende e-poster til flere brukere hos målrettede organisasjoner fra tilfeldig kompromitterte e-postkontoer.

Ransom-ISAC-forsker Brandon Parsons, som har fulgt aktiviteten tett, beskrev operasjonen som et koordinert utpressingsforsøk snarere enn et opportunistisk engangsangrep. Bruken av kompromitterte kontoer til å sende e-poster til flere mottakere i hver offerorganisasjon tyder på at Cl0p kastet et vidt nett internt når de først hadde fått fotfeste, sannsynligvis for å maksimere sjansene for å etablere utholdenhet før forsvarerne la merke til noe uvanlig.

Dette er ikke første gang Cl0p har gjennomført en masseeksploiteringskampanje mot bedriftsprogramvare snarere enn individuelle enheter. Gruppen har en dokumentert historie med å målrette mye brukte filoverførings- og bedriftsapplikasjoner, ved å bruke en enkelt sårbarhet til å kompromittere dusinvis eller til og med hundrevis av organisasjoner samtidig. Denne siste bølgen følger samme oppskrift: finn en svakhet i programvare mange selskaper er avhengige av, utnytt den i stor skala, og arbeid deretter gjennom den resulterende tilgangen i ro og mak.

Inne i angrepskjeden: Webshells, RCE og datatyveri

Ifølge Ransom-ISAC-analysen gjorde forholdene hos berørte organisasjoner det mulig for trusselaktørene å distribuere webshells, oppnå uautentisert ekstern kjøring av kode (RCE) og eksfiltrere offerdata. I praksis betyr dette at angriperne ikke trengte gyldige legitimasjonsopplysninger eller et phishing-klikk fra en ansatt for å komme inn. En sårbarhet i eksponert programvare ga dem en direkte vei til å kjøre kommandoer på selve serveren.

Når de først var inne, ga webshells (små skript plantet på en kompromittert server) angriperne en vedvarende, lite synlig vei tilbake inn i miljøet, selv om den opprinnelige sårbarheten senere ble lappet. Derfra kunne dataeksfiltrering skje stille, ofte før organisasjonens sikkerhetsteam hadde noen indikasjon på at noe var galt. Denne sekvensen – innledende eksploitering, distribusjon av webshells, stille datatyveri – har blitt noe av et kjennetegn for Cl0ps større kampanjer, og det er nettopp derfor oppdagelse ofte ligger uker bak selve innbruddet.

Hvorfor perimeter-sikkerhet alene ikke var nok

Den røde tråden på tvers av disse hendelsene er at de berørte organisasjonene var avhengige av internettvendt bedriftsprogramvare som, på tidspunktet for eksploiteringen, ikke var lappet mot feilen Cl0p brukte. Tradisjonelle perimeter-sikkerhetsmodeller antar at hvis den ytre muren (brannmurer, lappet programvare, tilgangskontroller) holder, er det interne nettverket relativt trygt. Cl0ps tilnærming demonstrerer gjentatte ganger feilen i denne antakelsen: når en enkelt eksponert applikasjon er kompromittert, finner angripere ofte minimal intern segmentering mellom det fotfestet og sensitive data på tvers av det bredere nettverket.

Dette mønsteret er ikke unikt for Cl0p. Det nylige innbruddet som rammet den britiske utdanningsdepartementet, som eksponerte 607 000 skoleansattes og universitetsregistre, illustrerer hvor raskt et enkelt kompromitteringspunkt kan utløse en storstilt dataeksponeringshendelse når tilgangskontrollene inne i nettverket er utilstrekkelige. I begge tilfeller er lærdommen den samme: perimeterforsvar kan svikte, og når de gjør det, avhenger det som skjer videre helt av hvor godt det interne nettverket er segmentert og overvåket.

Forsvarstiltak: Segmentering, null-tillits-tilgang og overvåking

Organisasjoner som ønsker å redusere sin eksponering mot kampanjer som denne, bør behandle nettverkssegmentering og tilgangskontroll like alvorlig som lappestyring. Noen praktiske steg skiller seg ut:

  • Lapp internettvendt programvare aggressivt. Cl0ps kampanjer retter seg konsekvent mot samme klasse eksponerte bedriftsapplikasjoner. Prioriter lapping for alt som er tilgjengelig fra det offentlige internett.
  • Ta i bruk null-tillits-nettverkstilgang (ZTNA) i stedet for flat nettverkstillit. I stedet for å anta at alt inni brannmuren er trygt, verifiserer ZTNA og moderne bedrifts-VPN-arkitekturer hver tilkoblingsforespørsel, noe som begrenser hva en kompromittert server eller konto kan nå.
  • Segmenter sensitive datalagre. Selv om en angriper får fotfeste, begrenser skikkelig segmentering lateral bevegelse mot dataene som betyr mest.
  • Overvåk for webshell-indikatorer og uvanlig utgående trafikk. Siden eksfiltrering ofte skjer stille, kan overvåking av utgående datastrøm fange opp det perimeterverktøyene overser.

Hva dette betyr for deg

Hvis organisasjonen din kjører internettvendt bedriftsprogramvare, spesielt filoverførings-, samarbeids- eller ekstern tilgangsplattformer, er dette et nyttig tidspunkt for å gjennomgå lappestatus og interne tilgangskontroller. Beskyttelse mot Cl0p-ransomware-angrep handler ikke bare om å stoppe det første innbruddet; det handler om å begrense hva en angriper kan gjøre hvis de kommer forbi inngangsdøren. Enkeltpersoner som er berørt av arbeidsgiverbrudd bør også være oppmerksomme på phishing-forsøk som bruker stjålne data, siden eksfiltrert informasjon ofte dukker opp igjen i oppfølgingssvindler.

Viktige lærdommer

  • Cl0ps nyeste bølge begynte rundt 20. juli og involverte kompromitterte kontoer som sendte masse-e-poster internt i offerorganisasjoner.
  • Angriperne oppnådde uautentisert ekstern kjøring av kode og distribuerte webshells for å opprettholde tilgang og eksfiltrere data stille.
  • Perimeter-sikkerhet alene stoppet ikke denne kampanjen; intern segmentering og null-tillits-tilgangskontroller er essensielle komplement.
  • Organisasjoner bør prioritere lapping av internettvendt programvare, ta i bruk null-tillits-VPN-tilgang, og overvåke for tegn på lateral bevegelse.

Etter hvert som etterforskningen av denne Cl0p-bølgen fortsetter, vil flere detaljer om spesifikke ofre og den nøyaktige utnyttede sårbarheten sannsynligvis komme frem. I mellomtiden bør ikke organisasjoner vente på full attribusjon før de styrker det grunnleggende: lapp eksponert programvare, begrens implisitt tillit på tvers av nettverket, og anta at ethvert enkelt system til slutt kan bli kompromittert.