Gentlemen Ransomware: 483 ofiary zaatakowane narzędziem GentleKiller

Gang ransomware z 483 ofiarami i rosnącym zestawem narzędzi

Operacja ransomware znana jako The Gentlemen rzekomo skompromitowała 483 ofiary, łącząc dwa odrębne elementy złośliwego oprogramowania: narzędzie do obchodzenia zabezpieczeń o nazwie GentleKiller oraz trojana zdalnego dostępu o nazwie EtherRAT. Razem te narzędzia pozwalają grupie wyłączać oprogramowanie zabezpieczające na maszynie ofiary oraz utrzymywać ukrytą komunikację dowodzenia i kontroli, którą obrońcom trudniej jest zablokować.

Grupa, którą badacze bezpieczeństwa powiązali również z atakami na organizacje takie jak holenderskie kryte lodowisko opisane w naszym raporcie o ataku gangu ransomware The Gentlemen na Thialf, stale rozszerza swój zasięg. Zamiast polegać na pojedynczym nowatorskim exploicie, sukces gangu wydaje się wynikać z połączenia kilku dobrze znanych technik unikania wykrycia w jeden zautomatyzowany pakiet, a następnie wykorzystywania tego pakietu przeciwko dużej liczbie celów.

Jak GentleKiller pokonuje oprogramowanie zabezpieczające

W centrum tej kampanii znajduje się GentleKiller, narzędzie zbudowane wokół techniki powszechnie nazywanej BYOVD, czyli „Bring Your Own Vulnerable Driver" (Przynieś własny podatny sterownik). W uproszczeniu, atakujący instalują na komputerze ofiary legalny, ale wadliwy sterownik sprzętu lub oprogramowania. Ponieważ taki sterownik jest często podpisany cyfrowo i zaufany przez system Windows, może działać z głębokimi uprawnieniami na poziomie systemu. Atakujący następnie wykorzystują znaną słabość tego sterownika, aby wyłączyć lub oślepić oprogramowanie zabezpieczające działające na maszynie, skutecznie zamieniając zaufane oprogramowanie w broń przeciwko samym narzędziom, które miały je powstrzymać.

Zgodnie z doniesieniami na temat tej kampanii, GentleKiller został użyty do pokonania produktów 48 różnych dostawców zabezpieczeń. Ta liczba ma znaczenie, ponieważ sugeruje, że narzędzie nie zostało zaprojektowane do obchodzenia jednego czy dwóch konkretnych programów antywirusowych. Zamiast tego zostało zbudowane jako szeroka, wielokrotnego użytku platforma zdolna do neutralizowania szerokiego spektrum rynku ochrony punktów końcowych. To odzwierciedla wzorzec, który śledziliśmy już wcześniej w naszym omówieniu jak ransomware The Gentlemen oślepia narzędzia EDR, gdzie operatorzy grupy wykazali stałe zainteresowanie wyłączaniem wykrywania przed wdrożeniem właściwego ładunku szyfrującego.

EtherRAT i zwrot w stronę blockchainu

Drugi komponent, EtherRAT, obsługuje komunikację dowodzenia i kontroli (C2), czyli kanał, przez który atakujący wysyłają instrukcje do zainfekowanych maszyn i otrzymują z powrotem skradzione dane lub aktualizacje statusu. Tym, co wyróżnia EtherRAT, jest rzekome wykorzystanie infrastruktury blockchain do tego celu. Tradycyjne serwery C2 mogą zostać zidentyfikowane i wyłączone przez badaczy lub organy ścigania po ich wykryciu. Kierując komunikację przez mechanizmy oparte na blockchainie, atakujący znacznie utrudniają tego rodzaju likwidację, ponieważ dane w blockchainie są rozproszone i odporne na pojedynczy punkt awarii.

To połączenie — zabójcy obrony opartego na sterownikach z odpornym kanałem C2 — odzwierciedla szerszy trend wśród operacji ransomware-jako-usługa: zbuduj raz, sprzedawaj lub licencjonuj szeroko, a następnie pozwól stowarzyszonym podmiotom prowadzić kampanie na dużą skalę przeciwko różnorodnym celom, w tym małym i średnim przedsiębiorstwom, które są coraz częściej wybierane przez grupy konkurujące o udział w rynku, co szczegółowo opisaliśmy w naszym artykule o eskalacji ataków na MŚP przez Qilin i The Gentlemen.

Co to oznacza dla Ciebie

Jeśli zarządzasz systemami IT w firmie, a nawet jeśli po prostu dbasz o bezpieczeństwo swojej domowej sieci, główna lekcja tutaj nie dotyczy konkretnie grupy The Gentlemen. Chodzi o ograniczenia związane z poleganiem na jakimkolwiek pojedynczym produkcie zabezpieczającym. Narzędzie zdolne do pokonania 48 różnych dostawców pokazuje, że samo oprogramowanie antywirusowe lub do wykrywania punktów końcowych nie może być traktowane jako kompletna obrona.

Dla osób fizycznych praktyczne ryzyko jest mniejsze, ale niezerowe: grupy ransomware często uzyskują początkowy dostęp poprzez wiadomości phishingowe, wystawione na działanie usługi zdalnego dostępu lub niezałatane oprogramowanie — te same punkty wejścia, które narażają dane osobowe i sieci domowe. Utrzymywanie zaktualizowanych systemów, używanie unikalnych haseł i ostrożność wobec nieproszonych załączników pozostają podstawową ochroną, niezależnie od tego, jak wyrafinowane stanie się złośliwe oprogramowanie na zapleczu.

Dla organizacji ta kampania jest przypomnieniem, że zapłacenie okupu nie gwarantuje bezpieczeństwa w przyszłości. Jak omówiliśmy w naszej wcześniejszej analizie badania Proofpoint na temat płacących okup, mniej więcej jedna na trzy firmy, które płacą okup, zostaje ponownie zaatakowana. Warstwowe zabezpieczenia, kopie zapasowe offline oraz polityki dozwolonych sterowników, które ograniczają, jakie sterowniki na poziomie jądra mogą być ładowane, są znacznie trwalszą ochroną niż poleganie na nadziei, że pojedyncze narzędzie zabezpieczające wychwyci każde zagrożenie.

Podsumowanie

• Nie polegaj na jednym produkcie zabezpieczającym; warstwowa obrona ma większe znaczenie, gdy atakujący celowo projektują narzędzia do obchodzenia poszczególnych dostawców.
• Ogranicz, które sterowniki mogą być ładowane w Twoich systemach, ponieważ ataki BYOVD zależą od instalowania zewnętrznych sterowników z dostępem do jądra.
• Prowadź offline'owe, przetestowane kopie zapasowe, aby infekcja ransomware nie wymuszała decyzji o zapłacie.
• Traktuj nieoczekiwane wiadomości e-mail, linki i żądania zdalnego dostępu z podejrzliwością, ponieważ początkowy dostęp zazwyczaj nadal zaczyna się od podstawowej inżynierii społecznej lub niezałatanego oprogramowania.
• Bądź na bieżąco z grupami takimi jak operacja ransomware The Gentlemen, ponieważ ich narzędzia i cele stale ewoluują.