Ny forskning som undersøker den tekniske infrastrukturen bak flere store løsepengevirusoperasjoner, inkludert INC Ransom, Lynx, MedusaLocker og LockBit-relatert aktivitet, har funnet at til tross for at de opererer under forskjellige merkenavn, er disse gruppene avhengige av slående like angrepsmønstre. Denne konsistensen er viktig for alle som prøver å forstå løsepengevirus, fordi det betyr at verktøyene og taktikkene forsvarere bruker for å fange én gjeng ofte fungerer mot flere andre samtidig.

Delt infrastruktur bak ulike løsepengevirusmerker

Løsepengevirus dekkes ofte som om hver navngitte gruppe er en helt separat kriminell virksomhet med sin egen unike plan. Virkeligheten som denne forskningen avdekker er mer rotete og på noen måter mer nyttig for forsvar. Ved å spore infrastrukturen, altså serverne, kommando-og-kontroll-kanalene og staging-systemene som brukes i angrep knyttet til INC Ransom, Lynx, MedusaLocker og LockBit, fant forskerne tilbakevendende tekniske fingeravtrykk på tvers av angivelig urelaterte kampanjer.

Denne overlappingen gjenspeiler en bredere trend som allerede er synlig andre steder i løsepengevirusøkosystemet. Som dekket i rapporteringen om hvordan løsepengegrupper nådde rekordhøye 93 aktive grupper, har det kriminelle undergrunnsmiljøet fragmentert til et stort antall navngitte operasjoner, selv om kjerneteknikker, og i noen tilfeller faktisk infrastruktur, gjenbrukes eller deles. Ransomware-as-a-service-tilknyttede aktører flytter ofte mellom merker, og lekkede eller videresolgte verktøysett betyr at forskjellige «grupper» kan ende opp med å se ganske like ut under overflaten.

Stjel først, krypter senere: Standarden for dobbel utpressing

Et av de tydeligste mønstrene som kom frem av forskningen er timing. Før de i det hele tatt låser ned en offersystemer, eksfiltrerer de fleste løsepengevirusoperasjonene som ble studert, sensitiv data i stillhet først. Kryptering, den delen av angrepet som blir lagt merke til fordi systemer plutselig slutter å fungere, er ofte det siste trinnet snarere enn det første.

Denne sekvenseringen er ryggraden i dobbel utpressing: angripere stjeler data i stillhet, krypterer deretter filer, og truer så med å lekke de stjålne dataene offentlig hvis løsepengene ikke betales. Det gir ofrene to separate grunner til å betale, og gir angripere innflytelse selv om en bedrift kan gjenopprette systemene sine fra sikkerhetskopier uten å betale for en dekrypteringsnøkkel. Denne taktikken har blitt så standard at fraværet nå ville være unntaket snarere enn regelen, og den stemmer overens med separate funn om hvordan utpressingstaktikker endrer seg når løsepengebetalinger når rekordlave nivåer, noe som presser grupper mot hardere pressmidler når ofre nekter å betale.

Hvorfor tidlig oppdagelse nå er det beste forsvaret

Fordi datatyveri vanligvis skjer godt før kryptering, finnes det ofte et vindu, noen ganger dager eller uker, der et kompromiss pågår, men ennå ikke har utviklet seg til en fullstendig krise. Infrastrukturmønstrene som er identifisert i denne forskningen gir forsvarere en måte å oppdage det vinduet på: tilbakevendende kommando-og-kontroll-atferd, staging-teknikker og nettverkssignaturer som dukker opp på tvers av INC Ransom, Lynx, MedusaLocker og LockBit-koblet aktivitet.

Dette er viktig fordi det første innbruddet i økende grad er den svakeste lenken angripere utnytter. Separat forskning dekket på dette nettstedet fant at 79 % av løsepengevirushendelser starter med stjålne påloggingsopplysninger snarere enn sofistikerte utnyttelser. Kombiner det med infrastruktur som oppfører seg forutsigbart når angripere først er inne, og et klarere bilde dannes: de fleste løsepengevirusangrep er ikke ustopperlige zero-day-mesterstykker. De er avhengige av stjålet tilgang og gjenbrukt verktøy, som begge etterlater sporbare spor hvis organisasjoner vet hva de skal se etter.

Hva dette betyr for deg

For vanlige brukere er denne forskningen en påminnelse om at løsepengevirus sjelden kommer ut av ingenting. Det følger vanligvis etter et stjålet passord, en phishing-e-post eller et eksponert fjernaksesspunkt, og det stjeler vanligvis data lenge før noe blir låst eller en løsepengeerklæring dukker opp. For bedrifter og IT-team er lærdommen mer direkte: overvåking for infrastrukturmønstrene som deles på tvers av store løsepengevirusfamilier kan fange en inntrengning i datatyverifasen, før kryptering i det hele tatt skjer.

For enkeltpersoner er det praktiske forsvaret det samme som det alltid har vært: unike passord, flerfaktorautentisering og forsiktighet rundt uventede påloggingsforespørsler eller forespørsler om påloggingsinformasjon. Løsepengegrupper er avhengige av stjålet tilgang for å komme inn døren, så å stenge det tilgangspunktet fjerner mye av fordelen deres før de mer avanserte infrastrukturtaktikkene i det hele tatt kommer i spill.

Viktige punkter

  • Løsepengegrupper med forskjellige navn deler ofte underliggende infrastruktur og taktikker, noe som betyr at deteksjonsverktøy bygget for én gjeng ofte gjelder for andre.
  • Datatyveri skjer vanligvis før kryptering, noe som skaper et deteksjonsvindu forsvarere kan handle på.
  • Stjålne påloggingsopplysninger forblir et av de viktigste inngangspunktene, noe som gjør passordhygiene og flerfaktorautentisering til noen av de mest effektive forsvarene som er tilgjengelige.
  • Organisasjoner bør prioritere overvåking for tidlige tegn på inntrengning, ikke bare løsepengevirusets siste, mest synlige fase.

Å forstå hvordan løsepengevirusinfrastruktur faktisk fungerer, i stedet for å behandle hvert angrep som en isolert hendelse, gir både enkeltpersoner og organisasjoner en klarere vei til å fange trusler før de eskalerer. Å holde seg informert om disse delte mønstrene er en av de enkleste måtene å ligge et skritt foran.