Grupa ransomware nazywająca siebie WhiteArmor twierdzi, że wykradła dane z firmy logistycznej Ryder. Twierdzenie to nie zostało zweryfikowane, a raport źródłowy zawiera niewiele szczegółów. Mimo to incydent ten jest użytecznym studium przypadku pokazującym, jak działa kradzież danych uwierzytelniających przez infostealery i ransomware oraz co zwykli użytkownicy mogą zrobić, aby nie stać się pierwszym ogniwem w podobnym łańcuchu.

Co WhiteArmor twierdzi na temat Ryder

Według raportu wywiadu zagrożeń firmy Quasar Cybertech, WhiteArmor twierdzi, że wykradła dane z Ryder. Dostępny tekst raportu jest ograniczony i nie potwierdza, jakie dane mogły zostać wykradzione, w jakiej ilości ani w jaki sposób grupa uzyskała dostęp. W materiale źródłowym nie wykazano, aby Ryder potwierdziła to twierdzenie.

To rozróżnienie ma znaczenie. Grupy ransomware i grupy zajmujące się wymuszeniami czasami publikują twierdzenia, które okazują się przesadzone, a inne okazują się prawdziwe. Dopóki firma lub niezależna strona nie zweryfikuje szczegółów, właściwą postawą jest ostrożność, a nie panika.

To, co raport podkreśla, to wniosek dotyczący obrony. Opisuje incydent jako przypomnienie o ryzyku stwarzanym przez kampanie ransomware oparte na infostealerach i zaleca zespołom ds. bezpieczeństwa monitorowanie prób nieautoryzowanego dostępu pochodzących z przejętych danych uwierzytelniających. Zaleca również przegląd planów reagowania na incydenty, aby organizacje były przygotowane na potencjalne wymuszenie.

Jak infostealery zasilają wymuszenia ransomware

Infostealer to rodzaj złośliwego oprogramowania zaprojektowanego do cichego pozyskiwania poufnych informacji z zainfekowanego urządzenia. Może to obejmować zapisane hasła, dane przeglądarki i inne materiały logowania. Zwykle nie ogłasza swojej obecności w sposób, w jaki robi to destrukcyjne złośliwe oprogramowanie, co jest jednym z powodów, dla których może pozostawać niezauważone przez długi czas.

Związek z wymuszeniem jest prosty. Skradzione dane uwierzytelniające mogą być gromadzone, sprzedawane lub ponownie wykorzystywane. Atakujący, który posiada ważne dane logowania do systemu korporacyjnego, może nie potrzebować włamywać się siłą; może po prostu się zalogować. Stamtąd dane mogą zostać skopiowane, a grupa może następnie grozić ich publikacją, jeśli nie otrzyma zapłaty. To właśnie ten schemat raport wskazuje, mówiąc o kampaniach ransomware opartych na infostealerach.

Dwa punkty warte odnotowania dla niespecjalistów:

  • Pierwsze naruszenie bezpieczeństwa często dotyczy jednego zwykłego urządzenia, takiego jak laptop pracownika lub komputer osobisty używany do pracy.
  • Dane uwierzytelniające, które wyglądają na legalne, trudno odróżnić od prawdziwych loginów, więc monitorowanie musi koncentrować się na nietypowych wzorcach, takich jak dostęp z nieoczekiwanych lokalizacji lub o dziwnych porach.

Co to oznacza dla Ciebie

Jeśli jesteś klientem, pracownikiem lub partnerem Ryder, w źródle nie ma potwierdzonych informacji o tym, co zostało wykradzione, więc nie ma jeszcze żadnych wniosków do wyciągnięcia. Rozsądne kroki to obserwowanie oficjalnych komunikatów firmy i sceptyczne podejście do nieoczekiwanych e-maili, telefonów lub wiadomości tekstowych odnoszących się do Ryder, przesyłek lub problemów z kontem. Kampanie wymuszeń i następujące po nich phishingi czasami opierają się na rozgłosie wokół rzekomego naruszenia bezpieczeństwa.

Jeśli masz konto w jakiejkolwiek firmie wymienionej w niezweryfikowanym twierdzeniu, nie musisz wpadać w panikę, ale rozsądnie jest:

  • Zmienić hasło do tego konta, jeśli używałeś go gdziekolwiek indziej.
  • Włączyć uwierzytelnianie wieloskładnikowe, jeśli jest dostępne.
  • Przejrzeć ostatnią aktywność logowania pod kątem czegokolwiek nieznanego.

Dla pracowników i administratorów zalecenia z raportu mają bezpośrednie zastosowanie: monitoruj próby nieautoryzowanego dostępu wykorzystujące znane przejęte dane uwierzytelniające i upewnij się, że twój plan reagowania na incydenty obejmuje postępowanie w przypadku otrzymania żądania wymuszenia.

Jak chronić konta osobiste przed kradzieżą danych uwierzytelniających

Nie możesz kontrolować, w jaki sposób duża firma zabezpiecza swoje systemy, ale możesz zmniejszyć wartość wszystkiego, co infostealer mógłby przechwycić z twoich własnych urządzeń.

Używaj unikalnego hasła do każdego konta. Ponowne wykorzystywanie to właśnie to, co zamienia jedno skradzione logowanie w wiele. Menedżer haseł czyni to praktycznym.

Włącz uwierzytelnianie wieloskładnikowe. Nawet gdy hasło zostanie skradzione, drugi składnik może zablokować logowanie. Gdzie to możliwe, preferuj metody oparte na aplikacjach lub sprzęcie zamiast wiadomości tekstowych.

Aktualizuj urządzenia i oprogramowanie. Aktualizacje systemu operacyjnego, przeglądarki i oprogramowania bezpieczeństwa zamykają luki, na których polega złośliwe oprogramowanie.

Uważaj, co instalujesz i w co klikasz. Infostealery często docierają przez złośliwe pliki do pobrania, fałszywe oprogramowanie i linki phishingowe. Korzystaj wyłącznie z oficjalnych źródeł.

Unikaj zapisywania poufnych danych logowania w miejscach, w których nie musisz. Hasła przechowywane w przeglądarce są częstym celem, więc rozważ dedykowany menedżer haseł z silnym hasłem głównym.

Jeśli podejrzewasz infekcję, odłącz się od sieci, uruchom renomowane skanowanie bezpieczeństwa i zmień hasła z czystego urządzenia.

Podsumowanie

Twierdzenie WhiteArmor dotyczące Ryder pozostaje niezweryfikowane, a szczegóły są skąpe. Jasny jest natomiast szerszy wniosek: kradzież danych uwierzytelniających przez infostealery i ransomware zaczyna się od zwykłych loginów, a te loginy często pochodzą ze zwykłych urządzeń. Używaj unikalnych haseł, włącz uwierzytelnianie wieloskładnikowe i utrzymuj swoje urządzenia w aktualności. Te nawyki nie powstrzymają każdego ataku, ale czynią twoje konta znacznie trudniejszym i mniej opłacalnym celem.