Cicha Grupa Okupowa pomija szyfrowanie i kradnie dane przez telefon

Inny rodzaj zagrożenia ransomware

Większość ludzi wyobraża sobie atak ransomware w ten sam sposób: pliki firmy nagle się blokują, na ekranie pojawia się notatka z żądaniem okupu, a dział IT gorączkowo próbuje przywrócić kopie zapasowe. Silent Ransom Group, znana również jako Luna Moth, nie działa w ten sposób. Zamiast szyfrować cokolwiek, grupa ta kradnie wrażliwe dane bezpośrednio, często dzwoniąc do pracowników, a następnie grozi ich ujawnieniem, jeśli okup nie zostanie zapłacony. Nie ma detonacji złośliwego oprogramowania, zablokowanego dysku twardego ani często żadnego oczywistego technicznego alarmu. Tylko telefon, oszustwo i cicha kradzież danych, której ofiary mogą nie zauważyć, dopóki nie pojawi się żądanie okupu.

Ta zmiana ma znaczenie, ponieważ zmienia to, na co muszą uważać obrońcy. Tradycyjne zabezpieczenia przed ransomware koncentrują się w dużym stopniu na powstrzymaniu szyfrowania: kopie zapasowe, wykrywanie punktów końcowych, segmentacja sieci. Silent Ransom Group omija to wszystko, celując w najsłabsze ogniwo większości programów bezpieczeństwa, którym jest ludzkie zaufanie.

Jak działa atak

Scenariusz działania grupy opiera się na inżynierii społecznej, a nie na exploitach oprogramowania. Napastnicy podszywają się pod personel wsparcia IT, często poprzez rozmowy telefoniczne, aby przekonać pracowników lub personel help desk do przyznania zdalnego dostępu lub przekazania danych uwierzytelniających. Po dostaniu się do środka celem nie jest rozprzestrzenienie ransomware w sieci. Celem jest ciche zlokalizowanie i eksfiltracja cennych plików: dokumentacji klientów, danych finansowych, materiałów sądowych lub czegokolwiek innego, co mogłoby wyrządzić poważne szkody, gdyby zostało upublicznione.

To podejście okazało się szczególnie skuteczne przeciwko organizacjom przechowującym duże ilości poufnych informacji. Jak szczegółowo opisano w relacji o taktykach podszywania się Silent Ransom Group pod IT wymierzonych w kancelarie prawne, grupa ta celowała konkretnie w praktyki prawnicze, które rutynowo przechowują szczegóły fuzji, strategie procesowe i osobiste dokumenty klientów, za których zachowanie w tajemnicy osoby trzecie zapłaciłyby wysoką cenę. Ponieważ kancelarie prawne często obsługują informacje wielu klientów jednocześnie, pojedyncza udana intruzja może ujawnić szeroką sieć wrażliwych relacji.

Stawka finansowa może być znacząca. Jeden udokumentowany przypadek dotyczący tej grupy dotyczył dużych kancelarii prawnych, w tym Jones Day i WilmerHale, przy czym żądanie okupu sięgnęło 13 milionów dolarów, zgodnie z doniesieniami o kampanii wymuszeniowej Luna Moth przeciwko Jones Day i WilmerHale. Ta kwota podkreśla, jak dochodowe może być wymuszenie oparte wyłącznie na kradzieży danych, nawet bez zaszyfrowania choćby jednego pliku.

Dlaczego to historia o prywatności, a nie tylko o bezpieczeństwie

Ransomware oparty na szyfrowaniu jest destrukcyjny, ale zasadniczo stanowi problem dostępności: systemy są niedostępne, dopóki nie zostaną przywrócone. Model Silent Ransom Group od samego początku jest problemem poufności. W momencie, gdy dane opuszczają kontrolę organizacji, są narażone, niezależnie od tego, czy okup zostanie zapłacony. Ofiary negocjują nie po to, by odzyskać swoje systemy, ale by spróbować zapobiec publikacji lub sprzedaży prywatnych informacji.

To rozróżnienie ma znaczenie dla każdego, czyje dane osobowe mogą znajdować się w plikach zaatakowanej organizacji. Klienci naruszonej kancelarii prawnej, pacjenci świadczeniodawcy opieki zdrowotnej lub klienci dowolnej firmy przechowującej osobiste dokumenty nie mają bezpośredniej kontroli nad tym, jak dobrze organizacja ta szkoli swoich pracowników w rozpoznawaniu fałszywego telefonu od wsparcia IT. Atak udaje się nie poprzez złamanie szyfrowania czy wykorzystanie luki w oprogramowaniu, ale poprzez wykorzystanie chwili błędnie ulokowanego zaufania podczas rutynowo wyglądającej rozmowy telefonicznej.

Co to oznacza dla Ciebie

Jeśli pracujesz w organizacji zajmującej się wrażliwymi danymi klientów, pacjentów lub danymi finansowymi, ten trend przypomina, że same zabezpieczenia techniczne nie powstrzymają każdego zagrożenia. Inżynieria społeczna oparta na telefonie omija zapory sieciowe i ochronę punktów końcowych w całości, ponieważ celuje w ludzi, a nie w systemy.

Dla pracowników praktyczna lekcja jest prosta: legalne wsparcie IT rzadko potrzebuje, abyś przyznał zdalny dostęp lub udostępnił dane uwierzytelniające podczas niezamówionego telefonu. Każde takie żądanie zasługuje na niezależną weryfikację za pośrednictwem znanego kanału wewnętrznego, zanim podejmiesz działania.

Dla organizacji oznacza to, że personel help desk i wsparcia potrzebuje wyraźnych protokołów weryfikacji tożsamości dzwoniącego przed przyznaniem dostępu lub zresetowaniem danych uwierzytelniających. Oznacza to również monitorowanie nietypowych wzorców dostępu do danych i dużych transferów plików, ponieważ rzeczywistym celem jest eksfiltracja, a nie szyfrowanie.

Dla osób, których informacje mogą być przechowywane przez kancelarię prawną, świadczeniodawcę opieki zdrowotnej lub instytucję finansową, warto pamiętać, że ochrona danych nie zależy tylko od własnych nawyków. Zależy ona również od kultury bezpieczeństwa każdej organizacji przechowującej Twoje dane.

Najważniejsze wnioski

Podejście Silent Ransom Group pokazuje, że ransomware nie potrzebuje szyfrowania, by być niebezpieczny. Polegając na telefonicznym podszywaniu się i inżynierii społecznej, grupa ta wyłudziła wysokie żądania okupu od dużych organizacji, w tym kancelarii prawnych obsługujących wysoce wrażliwe dane klientów. Wzmocnienie procedur weryfikacji tożsamości, szkolenie pracowników w kwestionowaniu niezamówionych telefonów od IT oraz monitorowanie nietypowych ruchów danych to znacznie skuteczniejsze zabezpieczenia w tym przypadku niż same tradycyjne narzędzia anty-ransomware. W miarę jak taktyki wymuszenia ewoluują od szyfrowania w kierunku czystej kradzieży danych, czujność wobec inżynierii społecznej może mieć znaczenie większe niż kiedykolwiek.