En løsepengegjeng med 483 ofre og et voksende verktøysett

En løsepengevirusoperasjon kjent som The Gentlemen har angivelig kompromittert 483 ofre ved å kombinere to distinkte deler ondsinnet verktøy: et forsvarsunndragelsesverktøy kalt GentleKiller og en ekstern tilgangstrojaner kalt EtherRAT. Sammen lar disse verktøyene gruppen deaktivere sikkerhetsprogramvare på en målmaskin og opprettholde skjult kommando-og-kontroll-kommunikasjon som er vanskeligere for forsvarere å slå av.

Gruppen, som sikkerhetsforskere også har knyttet til angrep på organisasjoner som det nederlandske isstadionet omtalt i vår rapport om The Gentlemen-løsepengegjengens angrep på Thialf, har jevnt utvidet sin rekkevidde. I stedet for å stole på en enkelt nyutviklet exploit, ser gjengens suksess ut til å komme fra å stable flere velkjente unndragelsesteknikker inn i én automatisert pakke, og deretter gjenbruke den pakken på tvers av et stort antall mål.

Hvordan GentleKiller beseirer sikkerhetsprogramvare

I kjernen av denne kampanjen ligger GentleKiller, et verktøy bygget rundt en teknikk som vanligvis kalles BYOVD, eller «Bring Your Own Vulnerable Driver». Enkelt forklart installerer angripere en legitim, men feilbeheftet maskinvare- eller programvaredriver på en victims datamaskin. Fordi den driveren ofte er digitalt signert og klarert av Windows, kan den kjøre med dype systemnivåprivilegier. Angriperne utnytter deretter en kjent svakhet i den driveren til å slå av eller blinde sikkerhetsprogramvare som kjører på maskinen, og gjør dermed et klarert programvareelement om til et våpen mot selve verktøyene som skal stoppe det.

Ifølge rapportering om denne kampanjen har GentleKiller blitt brukt til å beseire 48 forskjellige sikkerhetsleverandørers produkter. Det tallet betyr noe fordi det antyder at verktøyet ikke ble designet for å unndra seg ett eller to spesifikke antivirusprogrammer. I stedet ble det bygget som et bredt, gjenbrukbart rammeverk i stand til å nøytralisere en stor del av endpoint-beskyttelsesmarkedet. Dette gjenspeiler et mønster vi har sporet før i vår dekning av hvordan The Gentlemen-løsepengeviruset blender EDR-verktøy, der gruppens operatører har vist en konsistent interesse for å deaktivere deteksjon før de distribuerer sin faktiske krypteringsnyttelast.

EtherRAT og blokkjede-vrien

Den andre komponenten, EtherRAT, håndterer kommando-og-kontroll (C2)-kommunikasjon, kanalen angripere bruker for å sende instruksjoner til infiserte maskiner og motta stjålne data eller statusoppdateringer tilbake. Det som skiller EtherRAT ut er dens rapporterte bruk av blokkjedeinfrastruktur til dette formålet. Tradisjonelle C2-servere kan identifiseres og tas ned av forskere eller rettshåndhevelse når de oppdages. Ved å rute kommunikasjon gjennom blokkjederelaterte mekanismer gjør angripere den typen nedtaking betydelig vanskeligere, siden blokkjededata er distribuert og motstandsdyktig mot et enkelt nedstengningspunkt.

Denne kombinasjonen, en driverbasert forsvarsdreper kombinert med en motstandsdyktig C2-kanal, gjenspeiler en bredere trend blant løsepengevirus-som-tjeneste-operasjoner: bygg én gang, selg eller lisensier bredt, og la tilknyttede aktører kjøre storskala kampanjer mot en rekke mål, inkludert små og mellomstore bedrifter som i økende grad blir pekt ut av grupper som konkurrerer om markedsandel, slik vi detaljerte i vår artikkel om Qilin og The Gentlemen som eskalerer SMB-angrep.

Hva dette betyr for deg

Hvis du administrerer IT-systemer for en bedrift, eller til og med bare bryr deg om hjemmenettverkets sikkerhet, er kjernelærdommen her ikke spesifikk for The Gentlemen. Det handler om begrensningene ved å stole på et enkelt sikkerhetsprodukt. Et verktøy som kan beseire 48 forskjellige leverandører demonstrerer at antivirus- eller endpoint-deteksjonsprogramvare alene ikke kan behandles som et fullstendig forsvar.

For enkeltpersoner er den praktiske risikoen lavere, men ikke null: løsepengegjenger får ofte innledende tilgang gjennom phishing-e-poster, eksponerte eksterne tilgangstjenester eller uoppdatert programvare, de samme inngangspunktene som setter personopplysninger og hjemmenettverk i fare. Å holde systemer oppdatert, bruke unike passord og være forsiktig med uønskede vedlegg forblir grunnleggende beskyttelse uansett hvor sofistikert bakenden ondsinnet programvare blir.

For organisasjoner er denne kampanjen en påminnelse om at det å betale løsepenger ikke garanterer sikkerhet fremover. Som omtalt i vår tidligere analyse av en Proofpoint-studie om løsepengebetalere, blir omtrent én av tre bedrifter som betaler løsepenger, målrettet igjen. Lagdelte forsvar, offline-sikkerhetskopier og allow-listing-policyer for drivere som begrenser hvilke kjernenivådrivere som kan lastes, er langt mer varige beskyttelser enn å håpe at et enkelt sikkerhetsverktøy vil fange hver trussel.

Viktige punkter

  • Ikke stol på ett sikkerhetsprodukt; lagdelte forsvar betyr mer når angripere spesifikt designer verktøy for å omgå individuelle leverandører.
  • Begrens hvilke drivere som kan lastes på systemene dine, siden BYOVD-angrep er avhengige av å installere eksterne drivere med kjern tilgang.
  • Hold offline, testede sikkerhetskopier slik at en løsepengevirusinfeksjon ikke tvinger frem en betalingsbeslutning.
  • Behandle uventede e-poster, lenker og forespørsler om ekstern tilgang med mistenksomhet, siden innledende tilgang fortsatt vanligvis starter med grunnleggende sosial manipulering eller uoppdatert programvare.
  • Hold deg informert om grupper som The Gentlemen-løsepengevirusoperasjonen, siden deres verktøy og mål fortsetter å utvikle seg.