Jak ransomware Vice Society wykorzystał OneDrive do kradzieży danych

Znane narzędzie chmurowe zamienione w kanał eksfiltracji

Gdy specjaliści ds. reagowania na incydenty z Sygnia zagłębili się w atak ransomware z podwójnym wymuszeniem, odkryli coś, co powinno zaniepokoić każdego, kto polega na magazynie w chmurze w operacjach biznesowych: atakujący stojący za włamaniem, zidentyfikowani jako grupa ransomware Vice Society, wykorzystali Microsoft OneDrive jako swój główny kanał do kradzieży danych firmowych. Zamiast wdrażać niestandardowe oprogramowanie szpiegujące do eksfiltracji, które mogłoby wywołać alarmy, sprawcy polegali na narzędziu, któremu niemal każda organizacja już ufa i które ma na liście dozwolonych aplikacji.

Podwójne wymuszenie stało się domyślnym scenariuszem dla głównych operacji ransomware. Atakujący nie tylko szyfrują pliki i żądają okupu za klucz deszyfrujący. Najpierw również kradną wrażliwe dane, a następnie grożą ich publicznym ujawnieniem, jeśli ofiara nie zapłaci drugi raz. Ta taktyka pojawiała się wielokrotnie w ostatnich incydentach, w tym w trwającej kampanii podwójnego wymuszenia LockBit 5.0, która nadal uderza w organizacje na całym świecie. To, co wyróżnia przypadek Vice Society, to nie sam model wymuszenia, ale metoda użyta do cichego wyniesienia skradzionych danych.

Dlaczego ukrywanie się w ruchu OneDrive działa tak dobrze

Większość narzędzi bezpieczeństwa w przedsiębiorstwach jest zaprojektowana tak, aby wykrywać nietypowe połączenia wychodzące, nieznane adresy IP lub nierozpoznane aplikacje łączące się z internetem. OneDrive nie wyzwala tych alertów, ponieważ jest to legalna, szeroko wdrożona usługa Microsoftu, którą zespoły bezpieczeństwa zazwyczaj domyślnie dopuszczają. Kierując skradzione pliki przez aktywność synchronizacji OneDrive, operatorzy Vice Society mogli wymieszać swój ruch eksfiltracyjny z normalnym, codziennym użytkowaniem chmury.

To jest główna lekcja z dochodzenia kryminalistycznego Sygnia: atakujący coraz częściej osiągają sukces nie przez przełamywanie nowych barier technicznych, ale przez nadużywanie zaufania, jakie organizacje pokładają w mainstreamowych platformach. To wzorzec, który pojawia się także gdzie indziej w krajobrazie zagrożeń. Podobna dynamika miała miejsce, gdy złośliwy kod ukryty w skompromitowanym rozszerzeniu VS Code doprowadził do kradzieży tysięcy repozytoriów, ponownie dlatego, że wektorem było zaufane narzędzie deweloperskie, a nie coś wyraźnie podejrzanego. Gdy mechanizm dostarczania wygląda rutynowo, wykrycie staje się znacznie trudniejsze, a okno na działanie atakujących bez wykrycia wydłuża się.

Luna Moth: inne zagrożenie, ten sam cel – dane firmowe

Zespół Sygnia wskazał także osobny podmiot zagrażający, który warto zrozumieć na jego własnych warunkach: Luna Moth. W przeciwieństwie do podejścia ransomware-plus-wyciek stosowanego przez Vice Society, taktyka Luna Moth bardziej przypomina fałszywe oszustwa subskrypcyjne — rodzaj inżynierii społecznej, która oszukuje ofiary, aby uwierzyły, że zapisały się na cykliczną opłatę, którą muszą anulować. Ale cel ostateczny sprowadza się do tego samego obiektu, który czyni grupy ransomware tak niebezpiecznymi: danych firmowych. Luna Moth używa tego zwodniczego punktu wejścia, aby uzyskać dostęp do wrażliwych informacji biznesowych, nawet bez konieczności wdrażania oprogramowania szyfrującego.

To rozróżnienie ma znaczenie dla obrońców. Nie każdy poważny incydent kradzieży danych wygląda jak klasyczny atak ransomware z notatką okupu i zablokowanymi plikami. Niektóre grupy całkowicie pomijają szyfrowanie i przechodzą od razu do wymuszenia opartego wyłącznie na skradzionych danych, co oznacza, że zespoły bezpieczeństwa nie mogą polegać wyłącznie na wykrywaniu zachowań szyfrujących, aby wychwycić aktywną naruszenie.

Co to oznacza dla Ciebie

Dla zespołów IT i bezpieczeństwa ten przypadek jest przypomnieniem, że umieszczenie usługi takiej jak OneDrive na liście dozwolonych nie jest tym samym co jej zabezpieczenie. Monitorowanie powinno obejmować nietypowe wolumeny danych przepływających przez zatwierdzone aplikacje chmurowe, a nie tylko nieznane miejsca docelowe. Narzędzia do zapobiegania utracie danych, analiza anomalii dostrojona do zachowania synchronizacji chmury oraz ścisła kontrola dostępu wokół tego, kto może przenosić duże ilości danych, są teraz bardziej istotne niż kiedykolwiek, zwłaszcza gdy atakujący doskonalą swoje taktyki, tak jak sztuczna inteligencja już przekształca operacje ransomware, zmuszając dostawców usług zarządzanych do przemyślenia strategii odzyskiwania cybernetycznego w całości.

Dla osób prywatnych i mniejszych organizacji wniosek jest szerszy: szyfrowanie wrażliwych plików, zanim trafią do magazynu w chmurze, stosowanie silnego uwierzytelniania na kontach chmurowych oraz zachowanie sceptycyzmu wobec e-maili i monitów związanych z subskrypcjami może zmniejszyć ekspozycję zarówno na grupy ransomware, jak i zagrania inżynierii społecznej typu Luna Moth. Szyfrowanie ruchu i danych w tranzycie, czy to przez renomowaną sieć VPN, czy wbudowane narzędzia szyfrujące, dodaje warstwę ochrony, choć nie powstrzyma atakującego, który już uzyskał legalny dostęp do konta. Warstwowe zabezpieczenia, a nie pojedyncze narzędzie, to co faktycznie ogranicza szkody.

Kluczowe wnioski

• Vice Society eksfiltrowało skradzione dane przez OneDrive, wykorzystując zaufanie, jakie organizacje pokładają w mainstreamowych usługach chmurowych, zamiast polegać na niestandardowym złośliwym oprogramowaniu.
• Luna Moth działa inaczej, stosując taktykę przypominającą fałszywe oszustwa subskrypcyjne, aby osiągnąć ten sam cel: kradzież danych firmowych.
• Monitorowanie zachowania aplikacji chmurowych pod kątem nietypowego wolumenu danych, a nie tylko nieznanych miejsc docelowych, jest niezbędne do wychwycenia tego rodzaju eksfiltracji.
• Podwójne wymuszenie pozostaje dominującym modelem ransomware, co oznacza, że skradzione dane stanowią ryzyko, nawet jeśli kopie zapasowe pozwalają uniknąć płacenia za deszyfrowanie.
• Szyfrowanie wrażliwych danych, zanim trafią do chmury, oraz egzekwowanie silnej kontroli dostępu zmniejsza ekspozycję niezależnie od techniki użytej przez atakujących.

W miarę jak grupy ransomware znajdują kolejne sposoby ukrywania się w widocznym miejscu, pozostawanie na bieżąco z ewolucją tych technik jest jednym z najprostszych kroków, jakie organizacje i osoby prywatne mogą podjąć w kierunku lepszej ochrony.