Nowy atak ransomware wykorzystujący funkcję BitLocker drukuje żądania okupu

Atak ransomware z użyciem funkcji BitLocker, który omija złośliwe oprogramowanie

Badacze bezpieczeństwa zidentyfikowali nową grupę wymuszającą okup, która znalazła niepokojący skrót w tworzeniu tradycyjnego ransomware: zamiast pisać własne złośliwe oprogramowanie szyfrujące, atakujący wykorzystują BitLocker – wbudowaną w system Windows funkcję szyfrowania dysków – by uniemożliwić ofiarom dostęp do ich własnych plików. Po zaszyfrowaniu dysków grupa ogłasza atak w najbardziej analogowy sposób – wysyłając żądanie okupu prosto na firmową drukarkę.

Połączenie zaufanego komponentu systemu Windows z fizyczną, bezpośrednią metodą powiadomienia oznacza istotną zmianę w sposobie działania grup wymuszających okup. Stawia to również trudne pytania przed zespołami IT, które przez lata wzmacniały zabezpieczenia punktów końcowych przed złośliwymi plikami wykonywalnymi, a teraz muszą stawić czoła atakującym korzystającym z narzędzi, które nigdy nie były traktowane jako niebezpieczne.

Jak atakujący wykorzystują BitLocker, by zablokować dostęp ofiarom

BitLocker to legalne, dostarczane przez Microsoft narzędzie szyfrujące, zaprojektowane do ochrony danych w razie zgubienia lub kradzieży laptopa czy dysku. Jest obecny w większości współczesnych instalacji Windows i cieszy się zaufaniem działów IT na całym świecie. I właśnie to zaufanie czyni z niego skuteczną broń dla atakujących, którzy uzyskali już uprawnienia administracyjne w sieci.

Zamiast wdrażać niestandardowy ładunek szyfrujący, który mógłby zostać wykryty przez program antywirusowy, ta grupa po prostu włącza BitLocker na dyskach ofiary i przetrzymuje klucz odzyskiwania jako zakładnika. Efekt jest funkcjonalnie identyczny z infekcją ransomware: pliki stają się niedostępne, systemy przestają działać, a organizacja musi negocjować klucz, który powinna była kontrolować od początku. Ponieważ BitLocker jest natywnym, cyfrowo podpisanym komponentem Microsoftu, narzędzia bezpieczeństwa opierające się na wykrywaniu znanych sygnatur złośliwego oprogramowania nie mają podstaw do interwencji.

Dlaczego drukowanie żądań okupu sygnalizuje nową taktykę wymuszeń

Tradycyjne grupy ransomware zwykle upuszczały plik tekstowy na pulpicie lub wyświetlały blokadę ekranu z żądaniem zapłaty. Ta grupa natomiast wysyła żądanie okupu bezpośrednio do drukarki sieciowej, tworząc fizyczny dokument, który pracownicy znajdują w pokoju socjalnym lub na biurku.

Ta taktyka opiera się nie tyle na zaawansowaniu technicznym, co na psychologii. Wydrukowana notatka jest trudniejsza do zignorowania niż wyskakujące okienko i sygnalizuje każdemu pracownikowi w budynku, nie tylko zespołowi IT, że organizacja została skompromitowana. Jest to publiczna, namacalna eskalacja, mająca wywrzeć presję na szybszą zapłatę, i wpisuje się w szerszy trend, w którym grupy wymuszające okup eksperymentują z niekonwencjonalnymi metodami nacisku wykraczającymi poza ekran komputera. FBI ostrzegało już wcześniej przed podobnie kreatywnymi podejściami, w tym przed przypadkami, gdy grupa Silent Ransom fizycznie podszywała się pod pracowników IT w kancelariach prawnych, by uzyskać dostęp niezbędny do przeprowadzenia wymuszenia.

Ryzyko ataków typu „living-off-the-land” omijających narzędzia antywirusowe

Specjaliści ds. bezpieczeństwa nazywają to podejście „życiem z ziemi” (living off the land) – wykorzystywaniem oprogramowania i narzędzi już obecnych w systemie docelowym, zamiast wprowadzania nowego, wykrywalnego złośliwego oprogramowania. Nadużycie BitLockera jest podręcznikowym przykładem. Ponieważ narzędzie jest podpisane przez Microsoft i oczekiwane w środowiskach firmowych, jego działanie często nie wyzwala takich samych alarmów jak nieznany plik wykonywalny.

Właśnie to sprawia, że taktyka ta jest groźna dla organizacji, które opierają się głównie na antywirusach opartych na sygnaturach lub wykrywaniu punktów końcowych skonfigurowanych do wykrywania ewidentnie złośliwych plików. Jeśli atakujący dysponują już uprawnieniami administracyjnymi niezbędnymi do włączenia szyfrowania i zatrzymania kluczy odzyskiwania, cały atak może przebiegać wyłącznie przy użyciu standardowych funkcji Windows, co utrudnia odróżnienie go od legalnych działań IT, zanim będzie za późno.

Jak wzmocnić systemy Windows przed nadużyciem wbudowanych narzędzi

Obrona przed tego rodzaju atakami wymaga przesunięcia punktu ciężkości z pytania „jakie oprogramowanie jest uruchomione” na „kto ma uprawnienia do jego uruchomienia”. W tym kontekście znaczenie ma kilka praktycznych kroków. Organizacje powinny ściśle ograniczyć, które konta mogą włączać lub modyfikować ustawienia funkcji BitLocker, a także upewnić się, że klucze odzyskiwania są automatycznie deponowane w usłudze Active Directory lub Azure AD, zamiast być dostępne wyłącznie dla osoby posiadającej lokalne uprawnienia administratora. Monitorowanie nieoczekiwanych zdarzeń aktywacji funkcji BitLocker, zwłaszcza poza normalnymi oknami konserwacyjnymi, może również wychwycić atak w toku, zanim szyfrowanie zakończy się na całej flocie maszyn.

Poza samym BitLockerem podstawową lekcją jest zarządzanie uprawnieniami. Ograniczanie stałego dostępu administracyjnego, segmentacja sieci i utrzymywanie offline’owych, przetestowanych kopii zapasowych zmniejszają promień rażenia po uzyskaniu przez atakujących przyczółka, niezależnie od tego, które narzędzie ostatecznie wykorzystają do zablokowania plików.

Co to oznacza dla Ciebie

Dla zwykłych użytkowników ten konkretny atak ransomware z użyciem funkcji BitLocker jest przede wszystkim problemem firmowym, ponieważ zależy od wcześniejszego uzyskania przez atakujących dostępu administracyjnego do sieci. Jest to jednak użyteczne przypomnienie, że narzędzia szyfrujące stworzone dla ochrony mogą zostać obrócone przeciwko Tobie, jeśli bezpieczeństwo konta jest słabe. Dla administratorów IT i właścicieli małych firm wniosek jest bardziej bezpośredni: zweryfikuj, kto może zarządzać ustawieniami szyfrowania w Twoich systemach, upewnij się, że klucze odzyskiwania są przechowywane w miejscu niedostępnym dla atakujących, i traktuj nieoczekiwane zdarzenia szyfrowania z taką samą pilnością jak alert o złośliwym oprogramowaniu.

Kluczowe wnioski

Ten incydent wpisuje się w trend odchodzenia grup wymuszających okup od własnego złośliwego oprogramowania na rzecz nadużywania legalnych narzędzi i niekonwencjonalnych metod nacisku – trend widoczny również w przypadkach, gdy grupa Silent Ransom podszywała się pod pracowników IT, by uzyskać zaufany dostęp przed uderzeniem. Niezależnie od tego, czy punktem wejścia jest fałszywy telefon, czy skompromitowane konto administratora, obrona jest taka sama: silna kontrola dostępu, monitorowana aktywność administracyjna i kopie zapasowe niezależne od dobrej woli atakującego. Przejrzenie zarządzania kluczami funkcji BitLocker i monitorowania punktów końcowych teraz jest znacznie lepszym momentem niż po tym, jak z drukarki wyjdzie żądanie okupu.