De fleste overskrifter om løsepengevirus fokuserer på de samme få kjente navnene, men en stillere kategori av trusselaktører viser seg å være like skadelig. Mindre kjente løsepengevirusgrupper forlater i økende grad de vidstrakte affiliatnettverkene som gjorde grupper som LockBit og Cl0p beryktede, og velger i stedet små, disiplinerte team som er vanskeligere å infiltrere og vanskeligere å forutsi. Royal, en gruppe som dukket opp rundt september, er et av de tydeligste eksemplene på dette skiftet, og den tilbyr en nyttig casestudie i hvorfor mindre ikke betyr tryggere for virksomhetene disse gruppene retter seg mot.

En annen forretningsmodell: Lukkede crew fremfor affiliater

De fleste store løsepengevirusoperasjoner drives etter en affiliat- eller ransomware-as-a-service-modell. Kjerneutviklerne bygger og vedlikeholder skadevaren, og lisensierer den deretter ut til en roterende gruppe affiliater som utfører selve inntrengningene i bytte mot en andel av løsepengene. Det er en effektiv struktur som lar ett stykke skadevare skalere på tvers av dusinvis eller hundrevis av samtidige angrep, men den skaper også svake punkter. Affiliater blir slurvete, lekker detaljer eller blir arrestert, og rettshåndhevelse har hatt reell suksess med å nøste opp disse nettverkene ved å følge den løseste lenken.

Royal hopper helt over den modellen. I stedet for å rekruttere en bred affiliatbase, opererer gruppen med et mindre, strammere kjerneteam som antas å inkludere tidligere medlemmer av Conti, en av de mest produktive og teknisk sofistikerte løsepengevirusoperasjonene før den splittet seg. Den bakgrunnen betyr noe. En gruppe bygget rundt erfarne operatører som allerede vet hvordan de skal bevege seg gjennom bedriftsnettverk, unngå oppdagelse og forhandle om løsepenger, trenger ikke skala for å være effektiv. Den trenger disiplin, og en lukket struktur er lettere å holde disiplinert.

For forsvarere er dette en betydningsfull endring i trussellandskapet. Affiliatdrevne grupper etterlater ofte et spor av inkonsistente taktikker fordi så mange forskjellige personer bruker det samme verktøysettet. Et lukket crew som Royal har derimot en tendens til å operere med mer konsistens og mer operasjonell sikkerhet, noe som kan gjøre aktiviteten vanskeligere å identifisere og tilskrive i de tidlige fasene av en inntrengning.

Dobbelt utpressing er fortsatt den røde tråden

Til tross for de strukturelle forskjellene deler Royal én taktikk med nesten alle andre aktive løsepengevirusgrupper i dag: dobbelt utpressing. I stedet for bare å kryptere en victims filer og kreve betaling for en dekrypteringsnøkkel, eksfiltrerer gruppen først sensitive data fra nettverket. Hvis løsepengene ikke betales, er trusselen ikke bare låste filer, det er offentliggjøring av stjålne data, som kan inkludere kunderegistre, finansiell informasjon eller intern kommunikasjon.

Denne topregede presskampanjen har blitt bransjestandarden fordi den fungerer. Selv organisasjoner med solide backupsystemer som kunne gjenopprette krypterte data uten å betale, står fortsatt overfor de omdømmemessige og regulatoriske konsekvensene av en datalekkasje. Det er en taktikk som dukker opp i hele løsepengevirusøkosystemet uavhengig av en gruppes størrelse eller beryktethet. Mindre, nyere aktører bruker den like gjerne som etablerte navn. Den nylige saken der M3RX løsepengevirus hevder å ha rammet et spansk programvareselskap og stjal hundrevis av gigabyte med data, følger samme oppskrift: infiltrer, eksfiltrer, krypter og tru med avsløring til betaling skjer.

Det dette mønsteret forteller virksomheter, er at størrelsen eller berømmelsen til en løsepengevirusgruppe er en dårlig indikator på risiko. Et relativt ukjent crew med en håndfull dyktige operatører kan gjennomføre det samme dobbeltutpressingsangrepet, med de samme konsekvensene, som en gruppe som dominerer overskriftene.

Hva dette betyr for deg

For sikkerhetsteam og bedriftseiere er lærdommen fra Royal og lignende grupper at trusselovervåking bygget rundt å følge med på en kort liste med kjente løsepengevirusnavn, er ufullstendig. Mindre kjente løsepengevirusgrupper er ofte bemannet med erfarne operatører fra oppløste eller omdøpte organisasjoner, noe som betyr at deres evner kan måle seg med større navn selv uten et stort offentlig fotavtrykk.

Dette har også direkte implikasjoner for hvordan organisasjoner tenker om nettverkstilgang. Fordi dobbelt utpressing avhenger av at angripere kan bevege seg gjennom et nettverk og hente ut data før kryptering utløses, er begrensning av lateral bevegelse et av de mest effektive forsvarene som finnes. Sterk nettverkssegmentering, strenge tilgangskontroller og overvåking av uvanlige utgående dataoverføringer kan fange opp en inntrengning før eksfiltrering fullføres, selv om det innledende bruddet ikke stoppes. Sikre verktøy for ekstern tilgang, inkludert riktig konfigurerte VPN-er med flerfaktorautentisering, forblir en av de enkleste måtene å redusere det eksponerte angrepsflaten som grupper som Royal er avhengige av for å få et innledende fotfeste.

Handlingsrettede tiltak

Virksomheter trenger ikke spore hver obskure løsepengevirusgruppe ved navn for å beskytte seg, men de må anta at ethvert uoppdatert system eller eksponert ekstern tilgangspunkt er en potensiell inngang for grupper de aldri har hørt om. Noen få praktiske tiltak utgjør en reell forskjell: hold verktøy for ekstern tilgang oppdatert og bak flerfaktorautentisering, segmenter nettverk slik at en enkelt kompromittert konto ikke kan nå sensitive data, overvåk for store eller uvanlige utgående dataoverføringer som kan indikere pågående eksfiltrering, og vedlikehold offline-backuper som testes regelmessig, ikke bare lagres.

Mindre kjente løsepengevirusgrupper er ikke en fotnote til de større navnene som dominerer nyhetene. Som Royal og andre mindre, lukkede crew-operasjoner viser, kommer redusert synlighet ofte med økt operasjonell dyktighet, ikke redusert risiko. Å behandle hver gruppe, kjent eller ikke, med samme nivå av defensiv grundighet er den mest pålitelige måten å ligge i forkant av dem.