Rosyjski haker sprzedaje skradziony dostęp do firm, szpieguje Ukrainę

Jak działa rynek dostępu: od włamania do ransomware

Rosyjskojęzyczny haker włamywał się do organizacji na całym świecie, kradnąc dane logowania i przygotowując skradziony dostęp na sprzedaż grupom ransomware – wynika z nowego raportu. Ten sam aktor miał również monitorować ukraińskie strony wojskowe, łącząc cyberprzestępczość motywowaną finansowo z działaniami przypominającymi zbieranie informacji wywiadowczych w związku z trwającym konfliktem.

Przypadek ten wyraźnie ilustruje, jak naprawdę zaczynają się współczesne ataki ransomware. Nagłówki gazet skupiają się zwykle na złośliwym oprogramowaniu, które ostatecznie szyfruje pliki firmy, jednak drzwi wejściowe otwiera najczęściej ktoś zupełnie inny: pośrednik wstępnego dostępu. To specjaliści, którzy robią jedną rzecz dobrze. Włamują się do sieci, weryfikują, że dostęp działa, a następnie sprzedają go – często na podziemnych forach – operatorom ransomware, którzy zajmują się wymuszeniami. Taki podział pracy sprawia, że kampanie ransomware są szybsze, łatwiej skalowalne i trudniejsze do powiązania z jedną grupą.

Rynek dostępu od włamania do ransomware oznacza, że pojedyncze skradzione hasło może przebyć długą drogę. Osoba, która je kradnie, może nigdy sama nie wdrożyć ransomware. Zamiast tego działa jako dostawca, a właściwe szkody – odcięcie systemu szpitalnego, zatrzymanie operacji producenta, zaszyfrowanie danych okręgu szkolnego – wyrządza zupełnie inny nabywca znajdujący się dalej w łańcuchu.

Jakie dane logowania i dostęp do sieci zostały skradzione i sprzedane

Według raportu działalność hakera koncentrowała się na pozyskiwaniu danych logowania z globalnych organizacji, a następnie przygotowywaniu tego dostępu do odsprzedaży. Zamiast natychmiast wykorzystywać każdy skompromitowany system, aktor zdawał się traktować skradzione loginy jak towar: coś do skatalogowania, zweryfikowania i przekazania kupcom specjalizującym się w kolejnych etapach ataku. Równolegle z tą komercyjną działalnością zaobserwowano, że haker interesował się ukraińskimi stronami wojskowymi – szczegół ten sugeruje motywy wykraczające poza czysty zysk.

Taki schemat – kradzież danych logowania motywowana finansowo, przebiegająca równolegle z motywowaną geopolitycznie inwigilacją – staje się coraz powszechniejszy wśród rosyjskojęzycznych cyberprzestępców. Pokazuje również, dlaczego obrońcy nie mogą zakładać, że incydent kradzieży danych logowania to „tylko” problem przestępczości finansowej. Ten sam skradziony dostęp, który trafia na sprzedaż do ekipy ransomware, może być równie dobrze wykorzystany do szpiegostwa – lub do obu celów jednocześnie.

Dlaczego skradzione dane logowania do VPN i dostępu zdalnego są głównym celem pośredników dostępu

Pośrednicy dostępu kierują się ku danym logowania, które odblokowują największy obszar przy najmniejszym wysiłku. Loginy VPN, konta zdalnego pulpitu i inne narzędzia dostępu zdalnego znajdują się wysoko na tej liście, ponieważ są zaprojektowane tak, aby wprowadzić użytkownika ze świata zewnętrznego prosto do sieci wewnętrznej. Pojedyncze ważne dane logowania VPN mogą całkowicie ominąć zabezpieczenia perymetryczne, dając atakującemu legalnie wyglądający przyczółek, który nie uruchamia takich samych alarmów jak tradycyjne włamanie.

Właśnie dlatego dostawcy VPN i przechowywane przez nich dane uwierzytelniające same stały się atrakcyjnym celem. Zagrożone są nie tylko firmowe bramy VPN. Również skierowane do konsumentów usługi VPN miały wycieki swoich wewnętrznych baz danych, co rodzi niewygodne pytania o to, czy obietnice „no-logs” wytrzymują kontrolę. Wyciek SplitVPN jest dobrym przykładem: duża baza danych rzekomo należąca do tego dostawcy pojawiła się na forum przestępczym, podważając jego deklaracje dotyczące prywatności i przypominając użytkownikom, że poziom bezpieczeństwa własnych systemów VPN ma znaczenie równie duże jak reklamowane szyfrowanie.

Jak VPN, uwierzytelnianie dwuskładnikowe i higiena danych logowania zmniejszają ryzyko ruchu bocznego

Dobra wiadomość jest taka, że organizacje i osoby prywatne, chcące podjąć kilka konsekwentnych kroków, mogą przywrócić większość tarcia w tym łańcuchu ataku. Uwierzytelnianie wieloskładnikowe jest najskuteczniejszym środkiem kontroli przeciwko skradzionym danym logowania – samo hasło staje się dla nabywcy znacznie mniej użyteczne, jeśli nie można go połączyć z drugim etapem weryfikacji. Regularna rotacja danych logowania, unikanie ponownego używania haseł w różnych usługach oraz monitorowanie wycieków za pośrednictwem serwisów powiadamiających o naruszeniach – wszystko to skraca okno czasowe, w którym skradziony dostęp pozostaje cenny dla pośrednika.

Szczególnie w przypadku dostępu zdalnego wybór dostawcy VPN z możliwą do zweryfikowania, audytowaną polityką braku logów, a nie jedynie marketingowym hasłem, zmniejsza prawdopodobieństwo, że twoje własne dane staną się kolejnym zbiorem na sprzedaż. Połączenie tego z uwierzytelnianiem dwuskładnikowym w każdym punkcie zdalnego dostępu oraz segmentacją sieci, tak aby jedno skompromitowane konto nie mogło dosięgnąć wszystkiego, ogranicza zasięg ruchu atakującego nawet po uzyskaniu dostępu.

Co to oznacza dla Ciebie

Jeśli zarządzasz IT w firmie, ten przypadek przypomina, że kradzież danych logowania przez pośrednika wstępnego dostępu jest często prawdziwym punktem wyjścia incydentu ransomware, a nie samo ransomware. Inwestycja w higienę danych logowania, MFA i monitorowanie dostępu zdalnego powstrzymuje te ataki skuteczniej niż jakiekolwiek pojedyncze narzędzie antymalware. Jeśli jesteś użytkownikiem indywidualnym, to sygnał, by sprawdzić, czy twój dostawca VPN lub zdalnego dostępu ma udokumentowane osiągnięcia w ochronie własnych danych – twoje dane logowania są tylko tak bezpieczne, jak usługa, która je przechowuje.

Praktyczne wnioski:

• Włącz uwierzytelnianie wieloskładnikowe na każdym koncie VPN, zdalnego pulpitu i administratora, nie tylko w poczcie e-mail.
• Unikaj ponownego używania haseł w różnych usługach, zwłaszcza w narzędziach dostępu zdalnego.
• Przed zaufaniem zapewnieniom o braku logów sprawdź historię bezpieczeństwa dostawcy VPN i niezależne audyty.
• Monitoruj, czy twoje dane logowania nie pojawiają się w bazach wycieków, i natychmiast je zmieniaj, jeśli zostaną znalezione.
• Segmentuj sieci tak, aby pojedyncze skradzione dane logowania nie zapewniały szerokiego dostępu bocznego.