Hvilke løsepengevirusgrupper driver de økte angrepene mot SMB-er?

To løsepengevirus-som-en-tjeneste-operasjoner, Qilin og The Gentlemen, konkurrerer om dominans og retter seg begge aktivt mot små og mellomstore bedrifter.

Hvorfor blir små og mellomstore bedrifter et primært mål for disse løsepengevirusgjengene?

Konkurransen presser begge gjengene til å bevege seg raskere og jakte på enklere mål, og SMB-er passer til denne profilen fordi de typisk har mindre IT-team, eldre infrastruktur og færre forsvarsverk.

Hva gjør angriperne etter at de først bryter seg inn i et nettverk?

De beveger seg sideveis, eskalerer privilegier og lokaliserer sikkerhetskopieringssystemer før de distribuerer krypteringsnyttelasten, ofte mens de stjeler data parallelt for å skape en ny utpressingsmekanisme.

Hvilket ekstra press bruker løsepengevirusgjenger utover å kryptere filer?

De stjeler data før kryptering og truer med å publisere dem på en lekkasjeside, slik man så i World Leaks Mediaworks-bruddet, noe som gir dem en ny måte å presse ofre til å betale på.

Qilin, The Gentlemen Løsepengevirusgjenger trapper opp angrep mot SMB-er

Q: Hvordan skaffer Qilin og The Gentlemen oftest innledende tilgang til et offers nettverk?

De stoler på trivielle svakheter som eksponerte eksterne tilgangspunkter, stjålne eller gjenbrukte påloggingsdetaljer, upatchet programvare og phishing-e-poster som lurer ansatte til å utlevere påloggingsinformasjonen sin.

Løsepengevirusangrep mot små bedrifter har tatt en skarp vending til det verre. To cyberkriminelle operasjoner, kjent som Qilin og The Gentlemen, konkurrerer angivelig om dominans innen løsepengevirus-som-en-tjeneste-området, og små og mellomstore bedrifter (SMB-er) havner i kryssilden. I stedet for en enkelt dominerende gjeng som presser ofre, ser sikkerhetsforskere nå to aggressive operasjoner som kappes om å kompromittere nettverk, stjele data og kreve betaling, ofte fra organisasjoner som minst har råd til forstyrrelsen.

Denne rivaliseringen betyr noe fordi den endrer insentivstrukturen for angripere. Når to grupper konkurrerer om markedsandeler i løsepengevirusøkonomien, har begge grunn til å bevege seg raskere, kaste et bredere nett og jakte på enklere mål i stedet for å vente på den største mulige utbetalingen. SMB-er, som typisk har mindre IT-team og eldre infrastruktur, passer perfekt til den profilen.

Hvorfor Qilin og The Gentlemen retter seg mot SMB-er

Store virksomheter har en tendens til å investere tungt i deteksjonsverktøy, dedikert sikkerhetspersonale og kontrakter for hendelseshåndtering. Mindre bedrifter har vanligvis ikke den luksusen. En løsepengevirusaktør som vurderer hvor han skal bruke begrenset tid og ressurser, velger ofte minste motstands vei, og den veien fører i økende grad til SMB-er.

Konkurransen mellom gjenger som Qilin og The Gentlemen synes å akselerere denne trenden. Når tilknyttede aktører i en løsepengevirus-som-en-tjeneste-modell motiveres til å ramme så mange ofre som mulig, graviterer de mot organisasjoner med færre forsvarsverk og mindre evne til å forhandle eller gjenopprette på egen hånd. Resultatet er en volumdrevet tilnærming der SMB-er blir standardmålet i stedet for en ettertanke.

Hvordan disse løsepengevirusgjengene får innledende tilgang

Løsepengevirusaktører trenger sjelden å skrive sofistikert, skreddersydd skadevare for å bryte seg inn. I de fleste kampanjer som spores på tvers av bransjen, kommer innledende tilgang fra langt mer trivielle svakheter: eksponerte eller dårlig sikrede eksterne tilgangspunkter, stjålne eller gjenbrukte påloggingsdetaljer, upatchet programvare og phishing-e-poster som lurer en ansatt til å utlevere påloggingsinformasjon.

Når de først er inne, beveger angriperne seg typisk sideveis gjennom nettverket, øker privilegier og lokaliserer sikkerhetskopier før de distribuerer den faktiske krypteringsnyttelasten. Hvis sikkerhetskopier er tilgjengelige fra det samme kompromitterte nettverket, eller hvis eksternt skrivebord og VPN-tilgang ikke er strengt kontrollert, har angriperne alt de trenger for å lamme driften og kreve betaling. Datatyveri skjer ofte parallelt, noe som gir gjengene en ny pressmekanisme: betal eller se dine stjålne filer publisert offentlig. World Leaks Mediaworks-bruddet illustrerer nøyaktig hvor skadelig denne andre fasen kan være når stjålne data havner på en lekkasjeside der hvem som helst kan laste dem ned.

Den virkelige kostnaden ved et løsepengevirusangrep på en liten bedrift

For et stort selskap er en løsepengevirushendelse smertefull, men overkommelig. For en liten bedrift kan den være eksistensiell. Nedetid under gjenoppretting betyr tapte inntekter uten buffer til å absorbere det. Kundetilliten brytes raskt ned når lønnsdata, klientregistre eller helseinformasjon eksponeres. Juridiske og regulatoriske forpliktelser gjelder uansett bedriftens størrelse, og kostnadene ved rettsmedisinske undersøkelser, gjenoppbygging av systemer og eventuell utbetaling av løsepenger kan tømme kontantbeholdningen som mange SMB-er er avhengige av for å holde seg flytende.

Rivaliseringen mellom Qilin og The Gentlemen tilfører en følelse av hastverk her. Når grupper konkurrerer på fart og volum fremfor selektivitet, blir bedrifter som antar at de er for små til å være verdt en angripers tid, stadig oftere motbevist.

Lagdelte forsvarsverk: VPN-er, sikkerhetskopier og tilgangskontroller som faktisk hjelper

SMB-er trenger ikke budsjetter på bedriftsnivå for å redusere risikoen meningsfylt, men de må tette hullene angriperne stoler mest på.

Sikre ekstern tilgang. Hvis ansatte eller kontraktører kobler seg til eksternt, bør den tilgangen gå gjennom et riktig konfigurert VPN eller nulltillitsverktøy med flerfaktorautentisering aktivert, ikke en eksponert eksternt skrivebord-port som står åpen mot internett.
Isoler og test sikkerhetskopier. Sikkerhetskopier lagret på samme nettverk som produksjonssystemer er en belastning, ikke et sikkerhetsnett. Frakoblede eller uforanderlige sikkerhetskopier, testet regelmessig for gjenoppretting, er det som faktisk lar en bedrift komme seg uten å betale løsepenger.
Begrens privilegert tilgang. Ikke alle ansatte trenger administrative rettigheter. Å begrense tilgang reduserer hvor langt en angriper kan bevege seg når de først har fått fotfeste.
Patch kontinuerlig. Mange løsepengevirusinntrengninger utnytter kjente sårbarheter som allerede har tilgjengelige reparasjoner. En regelmessig patchekadens lukker dører angriperne aktivt skanner etter.

Hva dette betyr for deg

Hvis du driver eller administrerer IT for en liten bedrift, er rivaliseringen mellom Qilin og The Gentlemen en påminnelse om at løsepengevirusgrupper aktivt jakter på organisasjoner akkurat som din. Å anta at du er for liten til å tiltrekke deg oppmerksomhet, er ikke lenger et trygt veddemål. Bedriftene som kommer seg raskest etter løsepengevirushendelser, er nesten alltid de som hadde frakoblede sikkerhetskopier, begrenset tilgangskontroll og sikrede eksterne tilkoblinger på plass før angrepet, ikke etter.

Nøkkelpunkter

Løsepengevirusangrep mot små bedrifter intensiveres ettersom rivaliserende gjenger konkurrerer om mål og fart.
Svak ekstern tilgang og dårlig påloggingshygiene forblir de vanligste inngangene.
Frakoblede, testede sikkerhetskopier er den aller mest pålitelige måten å unngå å betale løsepenger.
Å begrense privilegert tilgang bremser angriperne selv etter at et innbrudd har skjedd.
Datatyveri følger ofte med kryptering, noe som betyr at proaktiv sikkerhet er viktig selv om du aldri planlegger å betale løsepenger.

Å ligge i forkant av løsepengevirusangrep mot små bedrifter krever ikke et massivt sikkerhetsbudsjett. Det krever å tette de grunnleggende hullene som gjenger som Qilin og The Gentlemen aktivt utnytter akkurat nå.