Na podziemnych forach pojawiła się nowa operacja ransomware-as-a-service, która oferuje poziom dopracowania, jaki stał się standardem w gospodarce cyberprzestępczej. Podmiot działający pod pseudonimem EclipseSupport aktywnie promuje Eclipse Ransomware – platformę stworzoną po to, aby partnerzy mogli prowadzić kampanie wymuszeń przeciwko infrastrukturze Windows, Linux i ESXi bez potrzeby posiadania zaawansowanych umiejętności technicznych.

To, co sprawia, że ten rozwój zasługuje na uwagę, to nie tylko samo złośliwe oprogramowanie. To model biznesowy wokół niego, który niemal pod każdym względem przypomina legalne produkty typu oprogramowanie jako usługa – z wyjątkiem intencji, jakie za nim stoją.

Wewnątrz platformy Eclipse Ransomware RaaS

Według doniesień na temat tej operacji Eclipse Ransomware działa jako w pełni zarządzany ekosystem partnerski. W jego centrum znajduje się administracyjny panel internetowy, który daje operatorom scentralizowaną kontrolę nad aktywnymi kampaniami. Panel obsługuje dostęp zespołowy dla wielu użytkowników, co oznacza, że grupy partnerskie mogą współpracować przy operacjach zamiast działać w izolacji, a także obejmuje automatyczną weryfikację płatności, która usprawnia pobieranie okupów po tym, jak ofiary zdecydują się zapłacić.

Rejestrowanie aktywności w czasie rzeczywistym daje partnerom i twórcom platformy wgląd w postępy kampanii, a zintegrowany portal LiveChat bezpośrednio obsługuje najbardziej niewygodną część procesu: negocjacje z ofiarami. Tego rodzaju wbudowane narzędzia komunikacyjne stały się znakiem rozpoznawczym nowoczesnych operacji ransomware, ponieważ umożliwiają grupom wymuszającym okup wywieranie presji na ofiary w czasie rzeczywistym bez polegania na zewnętrznych komunikatorach ani poczcie e-mail.

Twórcy Eclipse opierają się również na podwójnym wymuszeniu – taktyce, która stała się domyślnym podejściem w krajobrazie ransomware. Zamiast po prostu szyfrować pliki i żądać zapłaty za klucz deszyfrujący, atakujący najpierw wykradają dane firmowe i grożą ich publicznym ujawnieniem, jeśli okup nie zostanie zapłacony. Daje to ofiarom dwa osobne powody, by spełnić żądania, nawet jeśli mają solidne kopie zapasowe, które w przeciwnym razie pozwoliłyby im odzyskać dane bez płacenia.

Atakując konkretnie środowiska Windows, Linux i ESXi, Eclipse pozycjonuje się tak, aby uderzać w infrastrukturę, na której opiera się większość nowoczesnych sieci przedsiębiorstw. ESXi jest szczególnie popularnym celem grup ransomware, ponieważ jeden przejęty host hiperwizora może doprowadzić do zaszyfrowania dziesiątek maszyn wirtualnych naraz, co radykalnie zwiększa szkody wywołane jednym udanym włamaniem.

Dlaczego platformy RaaS wciąż się mnożą

Model RaaS znacząco obniża barierę wejścia do cyberprzestępczości. Zamiast budować od zera narzędzia szyfrujące, infrastrukturę negocjacyjną i systemy płatności, partnerzy mogą wynająć dostęp do gotowej platformy i skupić się wyłącznie na włamywaniu się do sieci. Twórcy z kolei pobierają część zysków, co tworzy stały strumień przychodów zachęcający do ciągłego rozwijania funkcji – dokładnie ten mechanizm napędza profesjonalizację ransomware w ciągu ostatnich kilku lat.

Jest to część szerszego wzorca, w którym narzędzia używane do pierwotnego przełamywania sieci również szybko ewoluują. Niezałatane luki w powszechnie używanym oprogramowaniu pozostają jednym z najczęstszych punktów wejścia dla partnerów ransomware. Niedawne przykłady obejmują badacza, który opublikował kolejny zero-day dla Windows bez dostępnej poprawki producenta, oraz osobny przypadek, w którym sfrustrowany badacz bezpieczeństwa ujawnił zero-day dla Windows o nazwie Legacyhive. Każda niezałatana luka stanowi potencjalne drzwi dla dokładnie takich grup partnerskich, jakie mają wspierać platformy takie jak Eclipse.

Tempo łatek firmy Microsoft podkreśla skalę wyzwania, przed jakim stoją obrońcy. Firma wydała niedawno rekordowe 570 poprawek bezpieczeństwa w jednej aktualizacji Patch Tuesday, w tym poprawki dla aktywnie wykorzystywanych podatności zero-day. Taka liczba luk, pojawiająca się niemal nieustannie, daje partnerom ransomware stały dopływ potencjalnych ścieżek ataku, zwłaszcza w organizacjach, które mają trudności z utrzymaniem aktualnych harmonogramów łatania w dużych flotach Windows i Linux.

Co to oznacza dla Ciebie

Jeśli zarządzasz infrastrukturą IT, czy to w małej firmie, czy w większym przedsiębiorstwie, pojawienie się Eclipse Ransomware przypomina, że platformy ransomware-as-a-service obniżają próg umiejętności wymaganych od atakujących, podnosząc jednocześnie operacyjne zaawansowanie samych ataków. Partnerzy korzystający z Eclipse nie muszą być twórcami złośliwego oprogramowania – potrzebują jedynie sposobu, aby dostać się do środka.

Dla osób indywidualnych bezpośrednie narażenie na korporacyjną platformę RaaS, taką jak Eclipse, jest ograniczone, ale efekty domina już nie. Ataki ransomware na szpitale, dostawców usług i firmy przechowujące dane klientów regularnie prowadzą do publikowania lub sprzedawania danych osobowych, gdy żądania podwójnego wymuszenia nie zostają opłacone. Oznacza to, że dane, które udostępniłeś dowolnej organizacji działającej na infrastrukturze Windows, Linux lub ESXi, mogą trafić w sam środek przyszłego incydentu związanego z tą lub podobną platformą.

Praktyczne kroki, które warto podjąć

Organizacje korzystające z hostów ESXi lub mieszanych środowisk Windows i Linux powinny traktować zarządzanie poprawkami priorytetowo, a nie jak rutynowe zadanie, ponieważ niezałatane systemy pozostają najczęstszym punktem wejścia dla partnerów ransomware. Równie ważna jest segmentacja sieci, aby pojedynczy przejęty host nie doprowadził kaskadowo do przejęcia całego środowiska, szczególnie w infrastrukturze wirtualizacyjnej, gdzie naruszenie jednego hiperwizora może wpłynąć na dziesiątki maszyn.

Utrzymywanie przetestowanych kopii zapasowych offline pozostaje jedną z niewielu niezawodnych obron przed szyfrowaniem w tych atakach, choć nie chroni przed zagrożeniem wyciekiem danych, na którym opiera się podwójne wymuszenie. Dlatego ograniczanie ilości wrażliwych danych przechowywanych w systemach wystawionych na internet i szyfrowanie tego, co musi być przechowywane, ma znaczenie nie mniejsze niż strategia tworzenia kopii zapasowych.

Dla zwykłych użytkowników najlepsza obrona jest pośrednia, ale nadal istotna: używaj unikalnych haseł w różnych usługach, włączaj uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane, i zwracaj uwagę na powiadomienia o naruszeniach od firm, z którymi robisz interesy. Platforma Eclipse Ransomware RaaS to nowy gracz na zatłoczonym rynku, ale podstawy ochrony przed jej dalszymi skutkami nie uległy zmianie.