En ransomware-gruppe som kaller seg WhiteArmor, hevder å ha eksfiltrert data fra logistikkselskapet Ryder. Påstanden er ikke verifisert, og kildearrangementet gir få detaljer. Likevel er hendelsen en nyttig casestudie i hvordan legitimasjonsstyveri via infostealere og ransomware fungerer, og i hva vanlige brukere kan gjøre for å unngå å bli den første lenken i en lignende kjede.

Hva WhiteArmor hevder om Ryder

Ifølge en trusseletterretningsrapport fra Quasar Cybertech sier WhiteArmor at de tok data fra Ryder. Den tilgjengelige teksten i rapporten er begrenset, og den bekrefter ikke hvilke data som kan ha blitt tatt, hvor mye, eller hvordan gruppen kom seg inn. Ryder er ikke vist i kildematerialet å ha bekreftet påstanden.

Denne distinksjonen er viktig. Ransomware- og utpressingsgrupper publiserer noen ganger påstander som viser seg å være overdrevne, mens andre viser seg å være nøyaktige. Inntil selskapet eller en uavhengig part verifiserer detaljene, er riktig holdning forsiktighet fremfor alarm.

Det rapporten legger vekt på, er det defensive budskapet. Den beskriver hendelsen som en påminnelse om risikoen som infostealer-drevne ransomware-kampanjer utgjør, og den anbefaler sikkerhetsteam å overvåke for uautoriserte tilgangsforsøk som stammer fra kompromitterte legitimasjoner. Den anbefaler også å gjennomgå hendelseshåndteringsplaner slik at organisasjoner er klare for potensiell utpressing.

Hvordan infostealere driver utpressing via ransomware

En infostealer er en type skadevare laget for å stille hente sensitiv informasjon fra en infisert enhet. Det kan inkludere lagrede passord, nettleserdata og annet innloggingsmateriale. Den kunngjør vanligvis ikke sin tilstedeværelse slik destruktiv skadevare gjør, noe som er en del av grunnen til at den kan gå ubemerket hen i lang tid.

Koblingen til utpressing er direkte. Stjålne legitimasjoner kan samles inn, handles med eller gjenbrukes. En angriper som har en gyldig innlogging til et bedriftssystem, trenger kanskje ikke å bryte seg inn med makt; de kan rett og slett logge seg inn. Derfra kan data kopieres ut, og gruppen kan deretter true med å publisere dem med mindre de får betalt. Det er mønsteret rapporten peker på når den refererer til infostealer-drevne ransomware-kampanjer.

To punkter er verdt å merke seg for ikke-spesialister:

  • Den første kompromitteringen er ofte en enkelt vanlig enhet, for eksempel en ansatts bærbare datamaskin eller en personlig datamaskin brukt til arbeid.
  • Legitimasjoner som ser legitime ut, er vanskelige å skille fra ekte innlogginger, så overvåking må fokusere på uvanlige mønstre, som tilgang fra uventede steder eller til rare tider.

Hva dette betyr for deg

Hvis du er Ryder-kunde, ansatt eller partner, finnes det ingen bekreftet informasjon i kilden om hva som ble tatt, så det er ingenting å konkludere ennå. Rimelige tiltak er å følge med på offisiell kommunikasjon fra selskapet, og å være skeptisk til uoppfordrede e-poster, samtaler eller tekstmeldinger som refererer til Ryder, forsendelser eller kontoproblemer. Utpressingskampanjer og påfølgende phishing lener seg noen ganger på publisiteten rundt en påstått hendelse.

Hvis du har en konto hos et selskap som er navngitt i en uverifisert påstand, trenger du ikke å få panikk, men det er fornuftig å:

  • Endre passordet på den kontoen hvis du har gjenbrukt det noe annet sted.
  • Slå på flerfaktorautentisering hvis det er tilgjengelig.
  • Gå gjennom nylig innloggingsaktivitet for noe ukjent.

For ansatte og administratorer gjelder rapportens råd direkte: overvåk for uautoriserte tilgangsforsøk som bruker kjente kompromitterte legitimasjoner, og sørg for at hendelseshåndteringsplanen din dekker hva du skal gjøre hvis et utpressingskrav ankommer.

Hvordan beskytte personlige kontoer mot legitimasjonsstyveri

Du kan ikke kontrollere hvordan et stort selskap sikrer systemene sine, men du kan redusere verdien av alt en infostealer kan få tak i fra dine egne enheter.

Bruk et unikt passord for hver konto. Gjenbruk er det som gjør én stjålet innlogging til mange. En passordbehandler gjør dette praktisk.

Aktiver flerfaktorautentisering. Selv når et passord er stjålet, kan en andre faktor blokkere en innlogging. Der det er mulig, foretrekk app-baserte eller maskinvarebaserte metoder fremfor tekstmeldinger.

Hold enheter og programvare oppdatert. Oppdateringer av operativsystem, nettleser og sikkerhetsprogramvare tetter hull som skadevare er avhengig av.

Vær forsiktig med hva du installerer og klikker på. Infostealere kommer ofte gjennom ondsinnede nedlastinger, falsk programvare og phishing-lenker. Hold deg til offisielle kilder.

Unngå å lagre sensitive innlogginger på steder du ikke trenger det. Passord lagret i nettleseren er et vanlig mål, så vurder en dedikert passordbehandler med et sterkt hovedpassord.

Hvis du mistenker en infeksjon, koble fra nettverket, kjør en anerkjent sikkerhetsskann og endre passordene dine fra en ren enhet.

Konklusjonen

WhiteArmors påstand om Ryder forblir uverifisert, og detaljene er sparsomme. Det som er klart, er den bredere lærdommen: legitimasjonsstyveri via infostealere og ransomware starter med vanlige innlogginger, og disse innloggingene kommer ofte fra vanlige enheter. Bruk unike passord, aktiver flerfaktorautentisering og hold enhetene dine oppdatert. Disse vanene vil ikke stoppe hvert angrep, men de gjør kontoene dine til et mye vanskeligere og mindre lønnsomt mål.