Nowe badania analizujące infrastrukturę techniczną stojącą za kilkoma głównymi operacjami ransomware, w tym INC Ransom, Lynx, MedusaLocker i działalnością powiązaną z LockBit, wykazały, że pomimo działania pod różnymi nazwami, grupy te opierają się na uderzająco podobnych wzorcach ataków. Ta spójność ma znaczenie dla każdego, kto próbuje zrozumieć ransomware, ponieważ oznacza, że narzędzia i taktyki, których obrońcy używają do schwytania jednego gangu, często działają jednocześnie przeciwko kilku innym.

Wspólna infrastruktura stojąca za różnymi markami ransomware

O ransomware często pisze się tak, jakby każda nazwana grupa była całkowicie odrębnym przedsięwzięciem przestępczym z własnym unikalnym scenariuszem działania. Rzeczywistość ujawniona przez te badania jest bardziej złożona i pod pewnymi względami bardziej użyteczna dla obrony. Śledząc infrastrukturę, czyli serwery, kanały command-and-control i systemy stagingowe, wykorzystywane w atakach powiązanych z INC Ransom, Lynx, MedusaLocker i LockBit, badacze znaleźli powtarzające się techniczne odciski palców w rzekomo niepowiązanych kampaniach.

Ta zbieżność odzwierciedla szerszy trend widoczny już gdzie indziej w ekosystemie ransomware. Jak opisano w raporcie na temat tego, jak grupy ransomware osiągnęły rekordowe 93 aktywne ekipy, podziemie przestępcze rozdrobniono na dużą liczbę nazwanych operacji, nawet gdy podstawowe techniki, a w niektórych przypadkach rzeczywista infrastruktura, są ponownie wykorzystywane lub współdzielone. Partnerzy w modelu ransomware-as-a-service często przenoszą się między markami, a wyciekłe lub odsprzedane zestawy narzędzi sprawiają, że różne „grupy" mogą wyglądać bardzo podobnie pod maską.

Najpierw kradzież, potem szyfrowanie: standard podwójnego wymuszenia

Jednym z najwyraźniejszych wzorców ujawnionych przez badania jest czas. Zanim jeszcze zablokują systemy ofiary, większość badanych operacji ransomware po cichu eksfiltruje najpierw wrażliwe dane. Szyfrowanie, czyli ta część ataku, która zostaje zauważona, ponieważ systemy nagle przestają działać, jest często ostatnim, a nie pierwszym krokiem.

Ta kolejność jest kręgosłupem podwójnego wymuszenia: napastnicy po cichu kradną dane, następnie szyfrują pliki, a potem grożą publicznym ujawnieniem skradzionych danych, jeśli okup nie zostanie zapłacony. Daje to ofiarom dwa odrębne powody do zapłaty i daje napastnikom dźwignię, nawet jeśli firma może przywrócić swoje systemy z kopii zapasowych bez płacenia za klucz deszyfrujący. Ta taktyka stała się tak standardowa, że jej brak byłby teraz wyjątkiem, a nie regułą, i pokrywa się z odrębnymi ustaleniami na temat tego, jak taktyki wymuszenia zmieniają się, gdy płatności okupu osiągają rekordowo niskie poziomy, popychając grupy w stronę ostrzejszych taktyk nacisku, gdy ofiary odmawiają zapłaty.

Dlaczego wczesne wykrywanie jest teraz najlepszą obroną

Ponieważ kradzież danych zwykle następuje znacznie przed szyfrowaniem, często istnieje okno, czasami dni lub tygodni, w którym naruszenie jest w toku, ale nie przekształciło się jeszcze w pełnoprawny kryzys. Wzorce infrastruktury zidentyfikowane w tych badaniach dają obrońcom sposób na zauważenie tego okna: powtarzające się zachowania command-and-control, techniki stagingowe i sygnatury sieciowe, które pojawiają się w działalności powiązanej z INC Ransom, Lynx, MedusaLocker i LockBit.

Ma to znaczenie, ponieważ wstępne włamanie jest coraz częściej najsłabszym ogniwem wykorzystywanym przez napastników. Odrębne badania opisane na tej stronie wykazały, że 79% incydentów ransomware zaczyna się od skradzionych danych uwierzytelniających, a nie od zaawansowanych exploitów. Połącz to z infrastrukturą, która zachowuje się przewidywalnie, gdy napastnicy są już w środku, a wyłania się jaśniejszy obraz: większość ataków ransomware to nie niepowstrzymane mistrzowskie zagrania zero-day. Opierają się one na skradzionym dostępie i ponownie wykorzystanym oprogramowaniu, z których oba pozostawiają wykrywalne ślady, jeśli organizacje wiedzą, czego szukać.

Co to oznacza dla Ciebie

Dla codziennych użytkowników te badania są przypomnieniem, że ransomware rzadko pojawia się znikąd. Zwykle następuje po skradzionym haśle, e-mailu phishingowym lub eksponowanym punkcie zdalnego dostępu i zwykle kradnie dane na długo przed tym, zanim cokolwiek zostanie zablokowane lub pojawi się notatka z okupem. Dla firm i zespołów IT wnioski są bardziej bezpośrednie: monitorowanie wzorców infrastruktury wspólnych dla głównych rodzin ransomware może wychwycić intruzję na etapie kradzieży danych, zanim w ogóle dojdzie do szyfrowania.

Dla osób prywatnych praktyczna obrona jest taka sama, jak zawsze: unikalne hasła, uwierzytelnianie wieloskładnikowe i ostrożność wobec nieoczekiwanych monitów o zalogowanie lub żądań danych uwierzytelniających. Grupy ransomware polegają na skradzionym dostępie, aby wejść do środka, więc odcięcie tego punktu dostępu usuwa większość ich przewagi, zanim zaawansowane taktyki infrastrukturalne w ogóle wejdą w grę.

Najważniejsze wnioski

  • Grupy ransomware o różnych nazwach często dzielą podstawową infrastrukturę i taktyki, co oznacza, że narzędzia wykrywające zbudowane dla jednego gangu często mają zastosowanie do innych.
  • Kradzież danych zwykle następuje przed szyfrowaniem, tworząc okno wykrywania, w którym obrońcy mogą działać.
  • Skradzione dane uwierzytelniające pozostają głównym punktem wejścia, co czyni higienę haseł i uwierzytelnianie wieloskładnikowe jednymi z najskuteczniejszych dostępnych zabezpieczeń.
  • Organizacje powinny priorytetowo traktować monitorowanie wczesnych oznak intruzji, a nie tylko końcowego, najbardziej widocznego etapu ransomware.

Zrozumienie, jak faktycznie działa infrastruktura ransomware, zamiast traktowania każdego ataku jako odosobnionego zdarzenia, daje zarówno osobom prywatnym, jak i organizacjom jaśniejszą ścieżkę do wychwytywania zagrożeń, zanim się eskalują. Bycie na bieżąco z tymi wspólnymi wzorcami to jeden z najprostszych sposobów, aby wyprzedzać zagrożenia o krok.