Tańszy, szybszy sposób na włamanie

Remote access trojan znany jako DarkMe RAT trafia na nagłówki z powodu, który ma mniej wspólnego z wyrafinowanym kodem, a więcej z podstawową ekonomią. Według doniesień Help Net Security, atakujący stojący za DarkMe przestali polegać na kosztownych exploitach zero-day i zamiast tego używają czegoś znacznie bardziej znajomego: zwykłego e-maila phishingowego. Ta zmiana pozwala im prowadzić kampanie o dużej skali przeciwko celom korporacyjnym bez kosztów, czasu ani ryzyka związanego ze spalaniem cennej niezałatanej luki.

Ma to znaczenie, ponieważ exploity zero-day, choć potężne, są drogie w opracowaniu lub zakupie, a po wykryciu zazwyczaj szybko zostają załatane, co ogranicza ich użyteczny okres życia. Phishing natomiast jest tani, skalowalny i nieskończenie wielokrotnego użytku. Jeśli DarkMe RAT może osiągnąć podobne rezultaty za pomocą dobrze skonstruowanego e-maila zamiast rzadkiej wady oprogramowania, sygnalizuje to szerszy trend: atakujący optymalizują pod kątem wolumenu i niezawodności, a nie technicznego wyrafinowania.

Co robi DarkMe RAT, gdy już się dostanie

DarkMe RAT to remote access trojan, złośliwe oprogramowanie zaprojektowane, by dać atakującemu ciągłą, ręczną kontrolę nad zainfekowanym urządzeniem. Po instalacji RAT zazwyczaj pozwala intruzowi przeglądać pliki, rejestrować naciśnięcia klawiszy, przechwytywać zrzuty ekranu, eksfiltrować dane lub przemieszczać się głębiej w sieci korporacyjnej. Szczególne niebezpieczeństwo RAT-a w porównaniu z prostszym złośliwym oprogramowaniem polega na trwałości: nie tylko kradnie jedną partię danych i znika, ale może cicho siedzieć w systemie przez dłuższy czas, dając atakującym powtarzalny dostęp do wszelkich wrażliwych informacji przepływających przez tę maszynę.

Łącząc tego rodzaju narzędzie z masową kampanią phishingową zamiast ukierunkowanego exploita, atakujący zwiększają swoje szanse powodzenia po prostu poprzez wolumen. Nie każdy pracownik kliknie złośliwy link lub otworzy pułapkę w załączniku, ale w dużej organizacji wystarczy, że jedna osoba popełni ten błąd, by RAT zdobył przyczółek.

Dlaczego to historia o prywatności, a nie tylko o złośliwym oprogramowaniu

Kuszące jest zaklasyfikowanie DarkMe RAT jako „zagrożenia technicznego" i przejście dalej, ale prawdziwa historia dotyczy ekspozycji danych. Sieci korporacyjne przechowują akta pracowników, systemy finansowe, bazy danych klientów i wewnętrzną komunikację. RAT z trwałym dostępem może cicho zbierać to wszystko z czasem, na długo zanim ktokolwiek zauważy, że coś jest nie tak.

Ten wzorzec odzwierciedla inne niedawne incydenty, w których początkowym punktem awarii nie był wyrafinowany hack, lecz prosty trik socjotechniczny. Naruszenie danych Revolut jest dobrym przykładem: nie było potrzeby złośliwego oprogramowania ani wykorzystanej wady oprogramowania, tylko przekonujący fałszywy e-mail, który skłonił kogoś do przekazania wrażliwych informacji. Zwrot DarkMe RAT w stronę phishingu wpisuje się w tę samą logikę. Po co wydawać zasoby na opracowanie lub zakup zero-day, skoro dobrze napisany e-mail może osiągnąć ten sam cel?

Odzwierciedla to również szerszą zmianę w sposobie, w jaki operatorzy ransomware i złośliwego oprogramowania wybierają swoje cele. Doniesienia o tym, jak ransomware atakuje teraz wielu pracowników, nie tylko dział IT, pokazują, że atakujący coraz częściej zarzucają szeroką sieć na całą organizację, zamiast skupiać się wąsko na kontach uprzywilejowanych. Podejście DarkMe RAT stawiające phishing na pierwszym miejscu podąża za tym samym schematem: więcej celów, więcej prób, więcej szans, że jedna się powiedzie.

Co to oznacza dla Ciebie

Jeśli pracujesz w firmie, która mogłaby realistycznie stać się celem, co dziś oznacza niemal każdą organizację posiadającą wartościowe dane, ten rozwój wydarzeń przypomina, że największe zagrożenie dla bezpieczeństwa Twojego pracodawcy może nie być niejasnym błędem oprogramowania. To e-mail siedzący właśnie teraz w Twojej skrzynce odbiorczej. Atakujący zakładają, że podstawowy phishing wciąż działa wystarczająco dobrze, by nie potrzebowali niczego wymyślniejszego.

Dla pracowników oznacza to traktowanie każdego nieoczekiwanego załącznika lub linku w e-mailu z solidną dawką sceptycyzmu, nawet jeśli wygląda na to, że pochodzi od współpracownika lub zaufanego dostawcy. Dla zespołów IT i bezpieczeństwa wzmacnia to wartość filtrowania e-maili, szkoleń pracowników i monitorowania punktów końcowych, które mogą wychwycić aktywność RAT-a nawet po tym, jak początkowy e-mail phishingowy prześlizgnie się przez zabezpieczenia. Atakujący konkurujący o przyczółki w sieciach korporacyjnych, jak widać po grupach takich jak operacje ransomware Qilin i The Gentlemen, pokazali, że żadna organizacja nie jest zbyt mała, by była warta wysiłku.

Praktyczne wnioski

  • Traktuj nieoczekiwane załączniki i linki z podejrzliwością, niezależnie od tego, jak legalny wydaje się nadawca.
  • Weryfikuj nietypowe prośby za pośrednictwem oddzielnego kanału komunikacji, zanim podejmiesz działania.
  • Utrzymuj aktualne narzędzia bezpieczeństwa punktów końcowych i filtrowania e-maili, ponieważ RAT-y takie jak DarkMe polegają na przedostaniu się przez te zabezpieczenia.
  • Zgłaszaj podejrzane e-maile swojemu zespołowi IT lub bezpieczeństwa natychmiast, zamiast po cichu je usuwać.
  • Zakładaj, że każda organizacja, duża czy mała, może stać się celem, gdy phishing staje się preferowaną metodą dostarczania.

Odejście DarkMe RAT od zero-day nie czyni go mniej niebezpiecznym, czyni go bardziej prawdopodobnym, że dotrze do zwykłych pracowników. Pozostawanie czujnym na podstawowe taktyki phishingu pozostaje jedną z najskuteczniejszych obron przed zagrożeniami takimi jak to.