Większość nagłówków o ransomware skupia się na tych samych kilku znanych nazwach, ale cichsza kategoria aktorów zagrożeń okazuje się równie szkodliwa. Mniej znane grupy ransomware coraz częściej porzucają rozległe sieci afiliantów, które uczyniły grupy takie jak LockBit i Cl0p niesławnymi, wybierając zamiast tego małe, zdyscyplinowane zespoły, które trudniej przeniknąć i trudniej przewidzieć. Royal, grupa, która pojawiła się około września, jest jednym z najwyraźniejszych przykładów tej zmiany i stanowi użyteczne studium przypadku pokazujące, dlaczego mniejszy nie oznacza bezpieczniejszego dla firm, które te grupy obierają za cel.
Inny model biznesowy: zamknięte ekipy zamiast afiliantów
Większość głównych operacji ransomware działa w modelu afiliacyjnym, czyli ransomware-as-a-service. Główni twórcy budują i utrzymują złośliwe oprogramowanie, a następnie licencjonują je rotującej grupie afiliantów, którzy przeprowadzają rzeczywiste włamania w zamian za część okupu. To wydajna struktura, która pozwala jednemu elementowi złośliwego oprogramowania skalować się na dziesiątki lub setki jednoczesnych ataków, ale tworzy również słabe punkty. Afilianci stają się niedbali, wyciekają szczegóły lub zostają aresztowani, a organy ścigania odnosiły realne sukcesy w rozbijaniu tych sieci, podążając za najsłabszym ogniwem.
Royal całkowicie pomija ten model. Zamiast rekrutować szeroką bazę afiliantów, grupa działa z mniejszym, ściślejszym zespołem rdzeniowym, który, jak się uważa, obejmuje byłych członków Conti, jednej z najbardziej płodnych i zaawansowanych technicznie operacji ransomware, zanim się rozpadła. To pochodzenie ma znaczenie. Grupa zbudowana wokół doświadczonych operatorów, którzy już wiedzą, jak poruszać się po sieciach korporacyjnych, unikać wykrycia i negocjować okupy, nie potrzebuje skali, by być skuteczna. Potrzebuje dyscypliny, a zamkniętą strukturę łatwiej utrzymać w dyscyplinie.
Dla obrońców to istotna zmiana w krajobrazie zagrożeń. Grupy napędzane przez afiliantów często pozostawiają ślad niespójnych taktyk, ponieważ tak wiele różnych osób korzysta z tego samego zestawu narzędzi. Zamknięta ekipa taka jak Royal z kolei ma tendencję do działania z większą spójnością i większym bezpieczeństwem operacyjnym, co może sprawić, że jej aktywność trudniej zidentyfikować i przypisać na wczesnych etapach włamania.
Podwójny wymus pozostaje wspólnym wątkiem
Mimo różnic strukturalnych Royal dzieli jedną taktykę z niemal każdą inną aktywną dziś grupą ransomware: podwójny wymus. Zamiast po prostu szyfrować pliki ofiary i żądać zapłaty za klucz deszyfrujący, grupa najpierw eksfiltruje wrażliwe dane z sieci. Jeśli okup nie zostanie zapłacony, zagrożeniem nie są tylko zablokowane pliki, lecz publiczne ujawnienie skradzionych danych, które mogą obejmować dane klientów, informacje finansowe lub komunikację wewnętrzną.
Ta dwutorowa kampania nacisku stała się standardem branżowym, ponieważ działa. Nawet organizacje z solidnymi systemami kopii zapasowych, które mogłyby przywrócić zaszyfrowane dane bez płacenia, wciąż stoją w obliczu reputacyjnych i regulacyjnych konsekwencji wycieku danych. To taktyka obecna w całym ekosystemie ransomware niezależnie od rozmiaru czy rozgłosu grupy. Mniejsi, nowsi uczestnicy stosują ją równie chętnie jak ugruntowane nazwy. Niedawny przypadek ransomware M3RX roszczącego sobie prawa do hiszpańskiej firmy software'owej i kradzieży setek gigabajtów danych podąża za tym samym scenariuszem: infiltracja, eksfiltracja, szyfrowanie i groźba ujawnienia aż do zapłaty.
Ten wzorzec mówi firmom, że rozmiar lub sława grupy ransomware to słaby wskaźnik ryzyka. Stosunkowo nieznana ekipa z garstką wykwalifikowanych operatorów może przeprowadzić ten sam atak z podwójnym wymusem, z tymi samymi konsekwencjami, co grupa dominująca w nagłówkach.
Co to oznacza dla Ciebie
Dla zespołów bezpieczeństwa i właścicieli firm lekcja płynąca z Royal i podobnych grup jest taka, że monitorowanie zagrożeń oparte na obserwowaniu krótkiej listy znanych nazw ransomware jest niekompletne. Mniej znane grupy ransomware są często obsadzane doświadczonymi operatorami z rozwiązanych lub przemianowanych organizacji, co oznacza, że ich możliwości mogą dorównywać większym nazwom nawet bez dużego publicznego śladu.
Ma to również bezpośrednie implikacje dla sposobu, w jaki organizacje myślą o dostępie do sieci. Ponieważ podwójny wymus zależy od zdolności atakujących do poruszania się po sieci i wyciągnięcia danych przed uruchomieniem szyfrowania, ograniczenie ruchu bocznego jest jedną z najskuteczniejszych dostępnych obron. Silna segmentacja sieci, ścisłe kontrole dostępu i monitorowanie nietypowych wychodzących transferów danych mogą wychwycić włamanie, zanim eksfiltracja się zakończy, nawet jeśli początkowe naruszenie nie zostanie zatrzymane. Bezpieczne narzędzia zdalnego dostępu, w tym odpowiednio skonfigurowane VPN-y z uwierzytelnianiem wieloskładnikowym, pozostają jednym z najprostszych sposobów na zmniejszenie eksponowanej powierzchni ataku, na której grupy takie jak Royal polegają, by zdobyć początkowy przyczółek.
Praktyczne wnioski
Firmy nie muszą śledzić każdej niejasnej grupy ransomware z nazwy, by się chronić, ale muszą zakładać, że każdy niezałatany system lub eksponowany punkt zdalnego dostępu jest potencjalnym wejściem dla grup, o których nigdy nie słyszały. Kilka praktycznych kroków robi realną różnicę: utrzymuj narzędzia zdalnego dostępu w stanie aktualizacji i za uwierzytelnianiem wieloskładnikowym, segmentuj sieci tak, aby jedno przejęte konto nie mogło dotrzeć do wrażliwych danych, monitoruj duże lub nietypowe wychodzące transfery danych, które mogą wskazywać na trwającą eksfiltrację, i utrzymuj kopie zapasowe offline, które są regularnie testowane, a nie tylko przechowywane.
Mniej znane grupy ransomware nie są przypisem do większych nazw dominujących w wiadomościach. Jak pokazują Royal i inne mniejsze operacje zamkniętych ekip, zmniejszona widoczność często wiąże się ze zwiększonymi umiejętnościami operacyjnymi, a nie zmniejszonym ryzykiem. Traktowanie każdej grupy, znanej czy nie, z tym samym poziomem rygoru obronnego to najpewniejszy sposób, by je wyprzedzić.
