Sierpniowa fala wymuszeń danych od grupy Cl0p uderza w globalne firmy

Atak ransomware Cl0p uderza w duże globalne firmy bez blokowania ani jednego pliku

Nowa fala ataków powiązanych z grupą ransomware Cl0p uderzyła w duże firmy na całym świecie, a metoda ta wyróżnia się tym, czego nie robi. W przeciwieństwie do tradycyjnego ransomware, Cl0p w ogóle nie szyfruje systemów ofiar. Zamiast tego grupa po cichu kopiuje wrażliwe pliki, a następnie grozi ich opublikowaniem na dedykowanej stronie z wyciekami, jeśli ofiara nie zapłaci. Żadnych zaszyfrowanych baz danych, żadnego listu z żądaniem okupu za klucz deszyfrujący – tylko groźba ujawnienia.

To podejście, często nazywane wymuszeniem przez kradzież danych, stało się znakiem rozpoznawczym Cl0p, a najnowsza runda ataków na globalne firmy pokazuje, jak skuteczne może być nawet bez zakłóceń związanych z blokowaniem systemów.

Czym różni się strategia Cl0p

Większość grup ransomware działa według znanego scenariusza: infiltrują sieć, szyfrują jak najwięcej plików, a następnie żądają zapłaty za klucz deszyfrujący. Ten model opiera się na wywołaniu chaosu operacyjnego. Gdy szpitale nie mogą uzyskać dostępu do dokumentacji pacjentów, a fabryki nie mogą uruchomić linii produkcyjnych, presja na zapłatę jest natychmiastowa i dotkliwa.

Cl0p w dużej mierze porzucił to podejście. Całkowicie rezygnując z szyfrowania, grupa unika ostrzegania ofiar poprzez oczywiste awarie systemów. Dane mogą być wysysane przez dni lub tygodnie, zanim ktokolwiek zauważy, że coś jest nie tak. Wymuszenie pojawia się później, często po tym, jak atakujący już przejrzeli skradzione dane i zidentyfikowali najbardziej szkodliwe materiały, którymi mogą grozić.

To nie jest nowa taktyka dla tej grupy. Cl0p ma dobrze udokumentowaną historię atakowania powszechnie używanego oprogramowania korporacyjnego, zamiast pojedynczych firm jedna po drugiej. Poprzednie kampanie wymierzone były w systemy PTC Windchill i FlexPLM, platformy korporacyjne wykorzystywane w przemyśle produkcyjnym i projektowaniu produktów. Osobna fala ataków celowała konkretnie w platformy do zarządzania cyklem życia produktu oparte na PTC Windchill, co pokazuje wyraźny wzorzec: znaleźć jedną podatną na ataki lukę w powszechnie wdrażanym oprogramowaniu, a następnie uderzyć we wszystkie organizacje, które go używają.

Dlaczego atakowanie oprogramowania, a nie tylko firm, skaluje szkody

To odróżnia Cl0p od oportunistycznych gangów ransomware. Zamiast wybierać cele pojedynczo, grupa często wykorzystuje pojedynczą lukę w oprogramowaniu używanym jednocześnie przez setki lub tysiące organizacji. Oznacza to, że jeden udany exploit może przynieść dziesiątki ofiar w całkowicie niezwiązanych ze sobą branżach – od produkcji, przez logistykę, po usługi profesjonalne.

Globalne firmy uwikłane w tę najnowszą falę ataków prawdopodobnie łączy niewiele wspólnego poza uruchamianiem tego samego podatnego na ataki oprogramowania lub posiadaniem narażonych na atak systemów. O to właśnie chodzi. Model Cl0p traktuje kradzież danych jak grę na liczby: zarzucić szeroką sieć przez wspólną infrastrukturę, a następnie po zdobyciu danych wybrać, które ofiary warto naciskać.

Dlaczego kradzież danych jest równie ważna jak szyfrowanie

Przez lata relacje o ransomware skupiały się głównie na szyfrowaniu, ponieważ było to widoczne i uciążliwe w ataku. Jednak wzrost znaczenia Cl0p przypomina, że same skradzione dane są prawdziwą walutą współczesnej cyberprzestępczości. Nawet bez blokowania ani jednego systemu atakujący mogą wyciągnąć dane klientów, dane finansowe, własność intelektualną czy wewnętrzną korespondencję, a następnie wykorzystać groźbę publicznego ujawnienia jako dźwignię nacisku.

To ważne, ponieważ konsekwencje ataku polegającego na kradzieży danych nie kończą się po rozwiązaniu żądania okupu. Skradzione dane mogą zostać sprzedane, ujawnione mimo zapłaty lub wykorzystane w kolejnych oszustwach i kradzieżach tożsamości na długo po tym, jak nagłówki przestaną o tym pisać.

Co to oznacza dla Ciebie

Jeśli jesteś pracownikiem, klientem lub partnerem firmy korzystającej z oprogramowania korporacyjnego, którego dotyczyły takie kampanie, Twoje dane osobowe lub finansowe mogą być narażone, nawet jeśli nigdy nie miałeś bezpośredniego kontaktu z atakującymi. Wymuszenie przez kradzież danych nie wymaga widocznych przestojów w Twojej organizacji, aby Twoje informacje znalazły się w niebezpieczeństwie.

Dla organizacji ta zmiana podkreśla potrzebę traktowania ekspozycji danych jako zagrożenia najwyższej kategorii, na równi z dostępnością systemów. Zabezpieczenia skoncentrowane na szyfrowaniu, takie jak kopie zapasowe, nie powstrzymają grupy, która w ogóle nie narusza integralności Twoich plików. Zarządzanie podatnościami, zwłaszcza w przypadku powszechnie używanego oprogramowania stron trzecich, oraz monitorowanie nietypowych wychodzących transferów danych są teraz ważniejsze niż kiedykolwiek.

Praktyczne wnioski

Bądź czujny na powiadomienia o naruszeniach od każdej usługi, z której korzystasz, nawet jeśli nie wspominają wprost o szyfrowaniu ani ransomware. Włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane, ponieważ skradzione poświadczenia są często punktem wejścia dla tych kampanii. Regularnie przeglądaj dane osobowe, które udostępniasz dostawcom, i rozważ minimalizację niepotrzebnej ekspozycji. Organizacje powinny priorytetowo traktować szybkie łatanie oprogramowania korporacyjnego dostępnego z internetu, ponieważ historia Cl0p pokazuje, że grupa ta preferuje takie systemy jako punkty wejścia na dużą skalę. W miarę jak wymuszenia przez kradzież danych stają się preferowaną taktyką w krajobrazie ransomware, śledzenie informacji o tym, które platformy i dostawcy są dotknięci, jest jednym z najbardziej praktycznych kroków, jakie mogą podjąć zarówno osoby prywatne, jak i firmy.