Gangi ransomware szyfrują skradzione dane, zanim opuszczą one sieć

Ransomware zawsze opierał się na szybkości i skrytości, ale atakujący udoskonalają jedno i drugie. Najnowsza zmiana dotyczy szyfrowanej eksfiltracji danych przez ransomware: zamiast po cichu kopiować pliki z sieci ofiary na oczach narzędzi bezpieczeństwa, gangi teraz opakowują skradzione dane w szyfrowanie, zanim jeszcze opuszczą one budynek. Efektem jest kradzież, która dla wielu systemów monitorujących wygląda jak zwykły zaszyfrowany ruch, a nie włamanie.

Ma to znaczenie, ponieważ kradzież danych stała się fundamentem współczesnego wymuszania okupu przez ransomware. Atakujący nie tylko blokują pliki i żądają zapłaty za klucz deszyfrujący. Wielu z nich najpierw kradnie wrażliwe dane i grozi ich publicznym ujawnieniem, jeśli okup nie zostanie zapłacony — taktyka znana jako podwójne wymuszanie. Szyfrowanie tych skradzionych danych w momencie ich wyprowadzania dodaje atakującemu kolejną warstwę ochrony, utrudniając obrońcom wykrycie kradzieży w trakcie jej trwania, a nie dopiero po wyrządzeniu szkód.

Dlaczego szyfrowanie utrudnia wykrycie eksfiltracji

Tradycyjne narzędzia bezpieczeństwa sieciowego i punktów końcowych są zbudowane do analizowania ruchu pod kątem wzorców wyglądających podejrzanie: nietypowych transferów plików, połączeń ze znanymi złośliwymi serwerami lub dużych ilości danych przesyłanych do nieznanych miejsc docelowych. Gdy dane są szyfrowane przed opuszczeniem sieci, narzędzia bezpieczeństwa często nie potrafią odróżnić legalnej zaszyfrowanej kopii zapasowej, synchronizacji z chmurą czy przestępcy wysysającego dane klientów i dokumenty finansowe.

To jest podstawowy problem z szyfrowaną eksfiltracją: nie tylko ukrywa ona zawartość tego, co jest kradzione, ale może także zamaskować sam akt kradzieży. Zespoły ds. bezpieczeństwa, które w dużym stopniu polegają na analizie zawartości lub wykrywaniu opartym na sygnaturach, patrzą na zaszyfrowane bloki danych, które nie dają wielu wskazówek co do ich zawartości ani rzeczywistego celu. To zmusza obrońców do przeniesienia uwagi na sygnały behawioralne, takie jak nietypowy czas, nieoczekiwane miejsca docelowe czy nienormalne ilości danych, zamiast prób czytania zawartości samego ruchu.

Eskalująca gra w kotka i myszkę

Ten rozwój najlepiej rozumieć jako część trwającej wymiany ciosów między atakującymi a obrońcami. Gdy organizacje stają się lepsze w wykrywaniu szyfrowania ransomware w systemach wewnętrznych i identyfikowaniu znanych sygnatur złośliwego oprogramowania, atakujący dostosowują się, zmieniając sposób i moment szyfrowania danych. Przeniesienie szyfrowania wcześniej w łańcuchu ataku — na etap eksfiltracji, a nie tylko końcowego blokowania plików — jest bezpośrednią odpowiedzią na ulepszone możliwości wykrywania.

To wzorzec widoczny szerzej w operacjach ransomware. Taktyki wymuszania stały się również bardziej agresywne i spersonalizowane, w tym doniesienia o gangach wykorzystujących AI do silniejszego wywierania presji na ofiary, by szybciej płaciły. Szyfrowana eksfiltracja i kampanie presji napędzane przez AI odzwierciedlają ten sam podstawowy trend: grupy ransomware profesjonalizują swoje operacje, traktując techniczne unikanie wykrycia i psychologiczną dźwignię jako dwie strony tej samej strategii wymuszania. Gdy obrońcy zamykają jedną lukę, atakujący otwierają kolejną, i cykl się powtarza.

Co to oznacza dla Ciebie

Dla większości osób ta zmiana odgrywa się pośrednio. Jeśli firma, z którą prowadzisz interesy, zostanie zaatakowana przez grupę ransomware stosującą szyfrowaną eksfiltrację, naruszenie może pozostać niewykryte dłużej, co oznacza, że Twoje dane osobowe mogą być narażone przez dłuższy czas, zanim ktokolwiek to zauważy lub powiadomi poszkodowanych klientów. Opóźnione wykrycie zazwyczaj oznacza również opóźnione ujawnienie, więc ludzie mogą dowiedzieć się o kradzieży swoich informacji dopiero długo po fakcie.

Dla organizacji przesłanie jest jaśniejsze: strategie wykrywania oparte wyłącznie na analizie zawartości plików lub dopasowywaniu znanych sygnatur złośliwego oprogramowania nie są już wystarczające. Zespoły ds. bezpieczeństwa muszą zwracać większą uwagę na anomalie behawioralne, takie jak nieoczekiwane połączenia wychodzące, nietypowe ilości danych w dziwnych godzinach czy ruch do miejsc docelowych niezgodnych z normalną działalnością biznesową. Segmentacja sieci, ścisłe kontrole dostępu i monitorowanie nietypowej aktywności szyfrowania stają się tym ważniejsze, gdy sama zawartość eksfiltrowanych danych jest ukryta przed wzrokiem.

Praktyczne kroki ograniczające ekspozycję

Choć szyfrowana eksfiltracja to wyzwanie techniczne, którym najlepiej zajmują się zespoły ds. bezpieczeństwa, zarówno organizacje, jak i osoby prywatne mogą podjąć kroki ograniczające ekspozycję:

  • Organizacje powinny inwestować w monitorowanie oparte na zachowaniach, zamiast polegać wyłącznie na analizie zawartości, ponieważ zaszyfrowany ruch może maskować to, co jest faktycznie kradzione.
  • Ograniczenie liczby osób mających dostęp do wrażliwych danych zmniejsza ilość, jaką atakujący może eksfiltrować, nawet jeśli zdobędzie przyczółek w sieci.
  • Regularne testowanie planów reagowania na incydenty pomaga zapewnić szybsze wykrycie i powstrzymanie, nawet gdy atakujący stosują techniki zaprojektowane do opóźniania odkrycia.
  • Osoby prywatne powinny zakładać, że powiadomienia o naruszeniach mogą przychodzić później niż w przeszłości, i proaktywnie monitorować konta oraz raporty kredytowe, zamiast czekać, aż firma się odezwie.
  • Śledzenie tego, jak ewoluują taktyki wymuszania, w tym rosnące wykorzystanie AI do wywierania presji na ofiary, może pomóc zarówno organizacjom, jak i osobom prywatnym lepiej przewidzieć, jak dziś może wyglądać incydent ransomware w porównaniu z kilkoma laty.

Szyfrowana eksfiltracja danych przez ransomware to kolejne przypomnienie, że cyberprzestępcy nieustannie dostosowują się do ulepszeń w obronie. Dobra wiadomość jest taka, że świadomość tych taktyk pomaga organizacjom przemyśleć strategie wykrywania i pomaga osobom prywatnym zachować czujność wobec rzeczywistości, w której naruszenia mogą nie wychodzić na jaw tak szybko jak kiedyś. Pozostawanie poinformowanym i proaktywnym wciąż należy do najskuteczniejszych dostępnych środków obrony, zarówno dla zespołów ds. bezpieczeństwa, jak i ludzi, których dane chronią.