Krajobraz ransomware, który nie przestaje się rozpadać

Nowa grupa ransomware pojawia się co tydzień, wynika z najnowszej analizy firmy Black Kite zajmującej się cyberbezpieczeństwem, o czym informuje Infosecurity Magazine. Badanie ukazuje obraz gospodarki wymuszeń, która nie tylko rośnie, ale i ulega fragmentacji, a nowe grupy powstają szybciej, niż obrońcy są w stanie je śledzić.

Przez lata doniesienia o ransomware koncentrowały się na kilku dominujących nazwach, markach, które w kręgach bezpieczeństwa stały się niemal powszechnie znane. Wyniki Black Kite sugerują, że ten model zanika. Zamiast kilku dużych, rozpoznawalnych operacji krajobraz przypomina teraz stale zmieniający się rój mniejszych ekip, grup oderwanych i przemianowań. Każdy nowy podmiot wnosi własne narzędzia, taktyki negocjacyjne i listy celów, co sprawia, że ogólne zagrożenie jest trudniejsze do przewidzenia i trudniejsze do obrony przy użyciu statycznych list blokowanych lub informacji o zagrożeniach od pojedynczego dostawcy.

Dlaczego fragmentacja ma znaczenie dla prywatności zwykłych ludzi

Kuszące jest zakwalifikowanie wiadomości o ransomware jako „problemu biznesowego” i przejście dalej, ale konsekwencje dla prywatności sięgają daleko poza organizacje, które zostają zablokowane we własnych systemach. Współczesne operacje ransomware rzadko kończą się na szyfrowaniu. Wiele z nich najpierw kradnie dane i grozi ich publikacją lub sprzedażą, co oznacza, że rejestry klientów, akta pracownicze, historie medyczne i dane finansowe mogą trafić do obiegu niezależnie od tego, czy okup zostanie zapłacony.

Rozdrobniony ekosystem zwielokrotnia to ryzyko na kilka konkretnych sposobów. Po pierwsze, więcej grup oznacza więcej punktów wejścia i więcej eksperymentów nad tym, które branże i rodzaje danych są najbardziej opłacalne jako cele. Po drugie, nowsze, mniejsze podmioty często mają mniej do stracenia pod względem reputacji, co może sprawiać, że są bardziej skłonne do wycieku skradzionych danych jako dźwigni. Po trzecie, obrońcy, którzy polegają na rozpoznawaniu znanych „marek” ransomware, tracą przewagę, gdy same marki stają się jednorazowe i są stale zastępowane.

Ostatecznym skutkiem jest to, że zwykli ludzie, których dane osobowe znajdują się w niezliczonych korporacyjnych i instytucjonalnych bazach danych, stają w obliczu stale rosnącej liczby podmiotów, które mogą przejąć ich dane. Nie trzeba być bezpośrednim celem ataku, aby zostać nim dotkniętym.

Problem z łataniem stojący za gwałtownym wzrostem

Jednym z powodów, dla których nowe podmioty ransomware mogą powstawać tak szybko, jest stale powiększająca się powierzchnia ataku. Niezałatane luki w oprogramowaniu pozostają jednymi z najczęstszych drzwi, przez które przechodzą ekipy ransomware, niezależnie od tego, czy same stworzyły exploit, czy kupiły dostęp od brokera początkowego dostępu. Skala tego wyzwania była w pełni widoczna niedawno, gdy Microsoft załatał rekordowe 570 błędów w jednej aktualizacji, w tym dwa zero-day już wykorzystywane w środowisku naturalnym. Każdy niezałatany system pozostający w tyle za takim cyklem aktualizacji jest potencjalnym przyczółkiem dla kolejnej grupy ransomware.

To jeden z powodów, dla których ostrzeżenie Black Kite ma znaczenie wykraczające poza samą liczbę. Rozdrobniony, szybko zmieniający się ekosystem ransomware rozwija się właśnie dlatego, że zarządzanie poprawkami, higiena danych uwierzytelniających i segmentacja sieci w tylu organizacjach są na niskim poziomie. Nowi aktorzy nie potrzebują nowatorskich technik, skoro znane, niezałatane luki wciąż działają.

Co to oznacza dla Ciebie

Większość czytelników nie będzie negocjować bezpośrednio z gangiem ransomware, ale efekty pośrednie są realne. Jeśli zaatakowana zostanie usługa, z której korzystasz, placówka opieki zdrowotnej, pracodawca lub sklep internetowy, Twoje dane osobowe mogą zostać porwane w wyniku wycieku, niezależnie od Twoich własnych nawyków bezpieczeństwa. Krajobraz ransomware z ciągłą rotacją nowych podmiotów oznacza również, że powiadomienia o naruszeniach mogą częściej odnosić się do nieznanych nazw grup, co może utrudnić ocenę, jak poważny jest dany incydent.

Praktyczna odpowiedź jest taka sama niezależnie od tego, która konkretna grupa stoi za atakiem: załóż, że Twoje dane mogą w pewnym momencie zostać ujawnione i podejmij kroki, które ograniczą szkody, gdy to nastąpi.

Praktyczne wnioski

  • Używaj unikalnych, silnych haseł do każdego konta, aby naruszenie w jednej firmie nie rozprzestrzeniło się na inne.
  • Włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane, zwłaszcza w przypadku poczty e-mail, bankowości i portali opieki zdrowotnej.
  • Aktualizuj systemy operacyjne i aplikacje niezwłocznie; niezałatane oprogramowanie pozostaje głównym punktem wejścia dla ransomware.
  • Monitoruj konta i raporty kredytowe pod kątem nietypowej aktywności, szczególnie po ujawnieniu incydentu przez organizację, z której usług korzystasz.
  • Bądź sceptyczny wobec niespodziewanych e-maili lub wiadomości odnoszących się do problemów z kontem, ponieważ kampanie ransomware często zaczynają się od phishingu.

Ostrzeżenie Black Kite, że co tydzień pojawia się nowy podmiot grożący ransomware, przypomina, że nie jest to problem z linią mety. W miarę jak ekosystem ransomware wciąż się fragmentuje, bycie na bieżąco i utrzymywanie podstawowej higieny bezpieczeństwa pozostają najbardziej niezawodną obroną dostępną zarówno dla osób indywidualnych, jak i organizacji.