The Gentlemen Ransomware-gruppen tar kontroll over domeneadministrator

Et nylig dokumentert ransomware-angrep tilskrevet en gruppe kjent som The Gentlemen gir et detaljert innblikk i hvordan angripere gjør en enkelt kompromittert enhet til full kontroll over et helt Windows-nettverk. Ifølge rapporten konverterte angriperne et innledende fotfeste til tilgang på tvers av hele domenet ved å heve en standardkonto til status som domeneadministrator, og deretter brukte de denne tilgangen til å deaktivere sikkerhetsverktøy før de distribuerte ransomware. Det er en case study i hvorfor privilegieeskalering, ikke det innledende innbruddet, ofte er den farligste fasen i et moderne angrep.

Fra et enkelt fotfeste til kontroll over hele domenet

I de fleste ransomware-angrep er det innledende tilgangspunktet, enten det er en phishing-e-post, en eksponert ekstern tjeneste eller en kompromittert programvare, sjelden sluttscenen. Det er rett og slett inngangspunktet. Den virkelige skaden skjer etterpå, når angripere beveger seg lateralt gjennom et nettverk på jakt etter måter å oppnå høyere tilgangsnivåer på.

I dette tilfellet lyktes angriperne angivelig med å opprette en domeneadministratorkonto i målets Windows-miljø. En domeneadministratorkonto er i praksis hovednøkkelen til en organisasjons IT-infrastruktur. Alle som innehar et slikt tilgangsnivå kan opprette eller slette brukerkontoer, installere programvare på alle tilkoblede maskiner, og kritisk nok, slå av sikkerhetsprogramvaren som er ment å oppdage og stoppe dem.

Det siste trinnet, å deaktivere sikkerhetsverktøy, er det som skiller en avgrenset hendelse fra et fullskala ransomware-angrep. Når forsvarernes synlighet er kuttet, kan angripere bevege seg fritt, kryptere filer, eksfiltrere data og spre seg på tvers av tilkoblede systemer med langt mindre motstand.

Hvorfor domeneadministratorkontoer fortsatt er den ultimate premien

Active Directory-miljøer, som de fleste bedrifter og større organisasjoner er avhengige av for å administrere brukerkontoer og tilganger, er bygget rundt et tillitshierarki. På toppen av dette hierarkiet sitter domeneadministratorgruppen. Å kompromittere selv én konto i denne gruppen gir i praksis en angriper kontroll over hele nettverket, ikke bare en enkelt infisert datamaskin.

Dette er nettopp grunnen til at privilegieeskaleringsteknikker er så sterkt målrettet av ransomware-operatører. I stedet for å prøve å kompromittere hundrevis av individuelle maskiner én om gangen, ser angripere etter en enkelt sti oppover: en feilkonfigurert tillatelse, en dårlig sikret tjenestekonto, eller en sårbarhet som lar en bruker med lav privilegienivå oppnå administrative rettigheter. Når denne stien er funnet, faller resten av nettverket ofte raskt.

Hendelsen fremhever også et tilbakevendende tema i moderne angrep: angripere trenger ikke å ta med eksotisk skadelig programvare for å gjøre mest skade. Innfødte Windows-administrasjonsverktøy og legitime brukerkonto-opprettelsesprosesser kan misbrukes like effektivt, noe som gjør deteksjon vanskeligere fordi aktiviteten kan se ut som rutinemessig IT-administrasjon til det er for sent. Dette speiler et bredere mønster sett i trussellandskapet, hvor angripere utnytter pålitelige systemer og legitimt-utseende prosesser i stedet for utelukkende å stole på åpenbar skadelig programvare. Et lignende scenario utspilte seg i Daemon Tools-forsyningskjedeangrepet, hvor tillit til et kjent programvareprodukt ble vektoren for kompromittering i stedet for en mistenkelig fil eller lenke.

Hva dette betyr for deg

De fleste lesere av vpn.social er ikke systemadministratorer som administrerer enterprise Active Directory-miljøer, men den underliggende lærdommen gjelder bredt: angripere ser konsekvent etter det minste tilgjengelige privilegiegapet og utvider det til total kontroll. Enten det er en domeneadministratorkonto i et bedriftsnettverk eller en app med for høye tillatelser på en personlig enhet, er eskaleringens mønster det samme.

Hvis du administrerer eller påvirker IT-beslutninger i organisasjonen din, er denne hendelsen en påminnelse om å revidere hvem som faktisk har administrative rettigheter, og hvorfor. Domeneadministratorrettigheter bør begrenses til så få kontoer som mulig, overvåkes nøye, og aldri brukes til hverdagslige oppgaver. Sikkerhetsverktøy som kan deaktiveres av en enkelt hevet konto representerer et enkelt feilpunkt som angripere er aktivt trent til å finne.

For vanlige brukere er takeawayen mer generell, men ikke mindre viktig: styrken på dine egne kontotillatelser og passord, sammen med bevissthet om hvordan programvare og tilgangsforespørsler når enheten din, forblir en meningsfull forsvarslinje. Ransomware-kampanjer som denne lykkes ved å finne det svakeste leddet i en tillitskjede.

Viktige punkter

• Ransomware-angrep fokuserer i økende grad på privilegieeskalering i stedet for bare innledende tilgang, siden oppnåelse av domeneadministratorrettigheter lar angripere deaktivere forsvar på tvers av hele nettverket.
• Organisasjoner bør regelmessig gjennomgå hvem som har domeneadministrator- eller andre hevede rettigheter, og begrense disse kontoene til kun det som er nødvendig.
• Sikkerhetsverktøy som kan slås av av en enkelt kompromittert konto skaper en kritisk sårbarhet; lagdelt, manipulasjonssikker overvåking er essensielt.
• Enkeltpersoner og IT-team bør likestille privilegieeskalering, ikke bare malware-deteksjon, som en kjernekomponent i sin sikkerhetsstrategi fremover.

Ettersom ransomware-grupper som The Gentlemen fortsetter å forfine disse teknikkene, er det å holde seg informert om hvordan domeneadministratorkompromitteringer utspiller seg et av de mest praktiske stegene organisasjoner kan ta for å beskytte nettverkene sine før et angrep blir et fullskala sikkerhetsbrudd.