Nowa grupa wymuszająca okup celuje w sektor finansowy

Fala cyberataków na fundusze hedgingowe, firmy private equity i inne instytucje finansowe została powiązana z UNC6671, grupą wymuszającą okup, rzekomo powiązaną z grupą przestępczą BlackFile. Powiązanie to, zgłoszone przez BleepingComputer, wskazuje na skoordynowaną kampanię wymierzoną wprost w jedne z najlepiej finansowanych, ale historycznie niedostatecznie kontrolowanych zakątków branży finansowej.

Fundusze hedgingowe i firmy private equity zarządzają ogromnymi sumami kapitału i przechowują wrażliwe dane na temat inwestorów, planowanych transakcji i spółek portfelowych. Połączenie wysoko wartościowych informacji i – w wielu przypadkach – skromniejszych zespołów ds. bezpieczeństwa niż w dużych bankach sprawia, że są one atrakcyjnym celem dla grup specjalizujących się w wymuszeniach, a nie w tradycyjnym szyfrowaniu danych dla okupu.

Kim są UNC6671 i BlackFile?

UNC6671 to oznaczenie używane do śledzenia tego konkretnego zestawu włamań, a jej zgłaszane powiązanie z BlackFile sugeruje współdzielenie zestawu narzędzi, infrastruktury lub schematu działania. Grupy wymuszające okup tego typu zazwyczaj działają według znanego schematu: uzyskują dostęp do sieci, po cichu wykradają wrażliwe pliki, a następnie wywierają presję na ofiarę, grożąc publicznym ujawnieniem skradzionych danych. W przeciwieństwie do klasycznych operatorów ransomware, którzy koncentrują się na szyfrowaniu systemów i żądaniu zapłaty za klucz deszyfrujący, grupy skupione na wymuszeniach często całkowicie pomijają szyfrowanie i polegają wyłącznie na groźbie ujawnienia, co obrońcom trudniej wykryć, zanim szkoda już nastąpi.

To podejście odzwierciedla to, co wydarzyło się w innych niedawnych incydentach. Na przykład wyciek danych Stadler Rail pokazał, że gang Everest zażądał wielomilionowej zapłaty związanej z naruszeniem platformy wymiany danych, a nie z ogólnosystemową blokadą. Taktyki bazujące na wymuszeniu stają się coraz powszechniejsze w różnych branżach właśnie dlatego, że wymagają mniejszego nakładu technicznego niż wdrażanie i zarządzanie ładunkami ransomware, jednocześnie dając atakującym znaczną przewagę nad ofiarami obawiającymi się konsekwencji reputacyjnych i regulacyjnych.

Dlaczego firmy finansowe są głównym celem

Fundusze hedgingowe i firmy private equity zajmują wyjątkową pozycję w krajobrazie zagrożeń. Przetwarzają poufne informacje o inwestorach, niejawne warunki transakcji i dane finansowe, które mogłyby być cenne nie tylko dla wymuszenia, ale potencjalnie także dla insider tradingu lub wywiadu konkurencyjnego w przypadku wycieku lub sprzedaży. W porównaniu z regulowanymi bankami wiele z tych firm działa z mniejszymi wewnętrznymi zespołami ds. bezpieczeństwa i w dużym stopniu polega na zewnętrznych dostawcach, platformach chmurowych i narzędziach zdalnego dostępu, z których każde może stać się punktem wejścia dla atakujących.

Jest to spójne z szerszym trendem obserwowanym w krajobrazie zagrożeń w tym roku, gdzie atakujący coraz częściej celują w urządzenia brzegowe i infrastrukturę zdalnego dostępu, aby zdobyć przyczółek. Kampanie związane z zero-day w SonicWall SMA 1000 wykorzystanym przez ransomware INC oraz zero-day w Cisco FMC pod aktywnym atakiem pokazują, jak szybko podmioty zagrażające reagują, gdy tylko luka w powszechnie wdrażanym sprzęcie korporacyjnym staje się znana. Nie ujawniono, czy UNC6671 opierała się na podobnym dostępie na poziomie infrastruktury, czy na bardziej ukierunkowanym phishingu i socjotechnice, ale podstawowa lekcja obowiązuje we wszystkich sektorach: obwód jest tak silny, jak jego najsłabszy, najmniej monitorowany punkt wejścia.

Co to oznacza dla Ciebie

Jeśli pracujesz w funduszu hedgingowym, firmie private equity lub dowolnej firmie świadczącej usługi finansowe albo przez nie inwestujesz, ta kampania przypomina, że Twoje dane osobowe i finansowe mogą przechodzić przez organizacje, które grupy wymuszające okup coraz częściej postrzegają jako łatwe cele. Inwestorzy zazwyczaj mają niewielki wgląd w to, jak dobrze fundusz chroni dane gromadzone podczas wdrożenia, due diligence czy bieżącej sprawozdawczości.

Dla pracowników tych firm ryzyko jest bardziej bezpośrednie. Grupy wymuszające okup często uzyskują początkowy dostęp poprzez przejęte dane logowania, e-maile phishingowe lub niezałatane oprogramowanie do zdalnego dostępu, a nie wyłącznie dzięki wyrafinowanym lukom zero-day. Oznacza to, że podstawowa higiena, taka jak uwierzytelnianie wieloskładnikowe, dokładna weryfikacja e-maili i szybkie instalowanie poprawek, wciąż zamyka dużą część potencjalnych punktów wejścia.

Wyprzedzanie ataków opartych na wymuszeniu

Powiązanie UNC6671 i BlackFile podkreśla, jak taktyki wymuszenia stały się preferowaną strategią podmiotów zagrażających celujących w sektor finansowy, gdzie samo ryzyko reputacyjne może wystarczyć, by wymusić zapłatę. Podobnie jak w innych niedawnych incydentach z udziałem grup takich jak ransomware Qilin wykorzystujący lukę w omijaniu PAN-OS, wzorzec jest spójny: atakujący szukają ścieżki najmniejszego oporu do wartościowych sieci, a następnie polegają na ujawnieniu danych, a nie na zakłóceniach, aby wymusić reakcję.

Jeśli współpracujesz z funduszem hedgingowym, firmą private equity lub podobną instytucją finansową, zadawaj bezpośrednie pytania o to, jak Twoje dane są chronione, czy stosowane jest szyfrowanie wrażliwych dokumentów i jakie istnieją plany reagowania na incydenty. Dla samych firm uznanie grup wymuszających okup, takich jak UNC6671, za odrębną i rosnącą kategorię ryzyka, niezależną od tradycyjnego ransomware, jest niezbędnym krokiem w kierunku zamknięcia luk, które ci atakujący aktywnie wykorzystują.