O bandă de ransomware cu 483 de victime și un set de instrumente în creștere

O operațiune de ransomware cunoscută sub numele de The Gentlemen ar fi compromis 483 de victime combinând două instrumente malițioase distincte: o utilitate de evitare a apărării numită GentleKiller și un troian de acces la distanță numit EtherRAT. Împreună, aceste instrumente permit grupului să dezactiveze software-ul de securitate de pe mașina unei ținte și să mențină o comunicare ascunsă de comandă și control, mai greu de oprit de către apărători.

Grupul, pe care cercetătorii în securitate l-au asociat și cu atacuri asupra unor organizații precum stadionul de gheață olandez prezentat în raportul nostru despre atacul bandei de ransomware The Gentlemen asupra Thialf, și-a extins constant aria de acoperire. În loc să se bazeze pe o singură exploatare nouă, succesul bandei pare să provină din combinarea mai multor tehnici de evitare bine cunoscute într-un singur pachet automatizat, apoi din reutilizarea acelui pachet împotriva unui număr mare de ținte.

Cum învinge GentleKiller software-ul de securitate

În centrul acestei campanii se află GentleKiller, un instrument construit în jurul unei tehnici numite frecvent BYOVD, sau „Bring Your Own Vulnerable Driver" (Adu-ți propriul driver vulnerabil). Pe scurt, atacatorii instalează un driver hardware sau software legitim, dar defectuos, pe computerul victimei. Deoarece acel driver este adesea semnat digital și de încredere pentru Windows, el poate rula cu privilegii profunde la nivel de sistem. Atacatorii exploatează apoi o slăbiciune cunoscută a acelui driver pentru a opri sau a orbi software-ul de securitate care rulează pe mașină, transformând efectiv o piesă de software de încredere într-o armă împotriva instrumentelor menite să îl oprească.

Conform relatărilor despre această campanie, GentleKiller a fost folosit pentru a învinge produsele a 48 de furnizori diferiți de securitate. Acest număr contează pentru că sugerează că instrumentul nu a fost conceput pentru a evita unul sau două programe antivirus specifice. În schimb, a fost construit ca un cadru larg, reutilizabil, capabil să neutralizeze o gamă largă din piața de protecție a endpoint-urilor. Acest lucru oglindește un tipar pe care l-am urmărit anterior în analiza noastră despre cum orbește ransomware-ul The Gentlemen instrumentele EDR, unde operatorii grupului au arătat un interes constant pentru dezactivarea detectării înainte de a-și implementa payload-ul real de criptare.

EtherRAT și răsucirea blockchain

A doua componentă, EtherRAT, gestionează comunicarea de comandă și control (C2), canalul pe care atacatorii îl folosesc pentru a trimite instrucțiuni către mașinile infectate și pentru a primi înapoi date furate sau actualizări de stare. Ceea ce diferențiază EtherRAT este utilizarea raportată a infrastructurii blockchain în acest scop. Serverele C2 tradiționale pot fi identificate și scoase din funcțiune de cercetători sau de autoritățile de aplicare a legii odată descoperite. Prin rutarea comunicării prin mecanisme bazate pe blockchain, atacatorii fac acest tip de demontare semnificativ mai dificil, deoarece datele blockchain sunt distribuite și rezistente la un singur punct de oprire.

Această combinație, un ucigaș de apărare bazat pe driver asociat cu un canal C2 rezilient, reflectă o tendință mai largă în rândul operațiunilor de ransomware-as-a-service: construiește o dată, vinde sau licențiază pe scară largă și lasă afiliații să desfășoare campanii la scară largă împotriva unei varietăți de ținte, inclusiv întreprinderile mici și mijlocii care sunt din ce în ce mai des vizate de grupuri ce concurează pentru cota de piață, așa cum am detaliat în articolul nostru despre Qilin și The Gentlemen escaladând atacurile asupra IMM-urilor.

Ce înseamnă asta pentru dumneavoastră

Dacă gestionați sisteme IT pentru o afacere sau chiar dacă vă pasă doar de securitatea rețelei de acasă, lecția principală de aici nu este specifică pentru The Gentlemen. Este despre limitele bazării pe orice produs de securitate unic. Un instrument capabil să învingă 48 de furnizori diferiți demonstrează că antivirusul sau software-ul de detectare a endpoint-urilor singur nu poate fi tratat ca o apărare completă.

Pentru persoanele fizice, riscul practic este mai mic, dar nu zero: grupurile de ransomware obțin adesea accesul inițial prin e-mailuri de phishing, servicii de acces la distanță expuse sau software neactualizat, aceleași puncte de intrare care pun în pericol datele personale și rețelele de acasă. Menținerea sistemelor actualizate, utilizarea parolelor unice și prudența față de atașamentele nesolicitate rămân protecții fundamentale indiferent cât de sofisticat devine malware-ul din spate.

Pentru organizații, această campanie este un memento că plata unei răscumpărări nu garantează siguranța pe viitor. Așa cum am arătat în analiza noastră anterioară a unui studiu Proofpoint despre plătitorii de răscumpărări, aproximativ una din trei companii care plătesc o răscumpărare este vizată din nou. Apărările stratificate, backup-urile offline și politicile de permitere a driverelor care restricționează ce drivere la nivel de kernel pot fi încărcate sunt protecții mult mai durabile decât speranța că un singur instrument de securitate va prinde fiecare amenințare.

Concluzii cheie

  • Nu vă bazați pe un singur produs de securitate; apărările stratificate contează mai mult atunci când atacatorii concepe special instrumente pentru a ocoli furnizori individuali.
  • Restricționați ce drivere se pot încărca pe sistemele dumneavoastră, deoarece atacurile BYOVD depind de instalarea unor drivere externe cu acces la kernel.
  • Păstrați backup-uri offline și testate, astfel încât o infecție cu ransomware să nu forțeze o decizie de plată.
  • Tratați cu suspiciune e-mailurile, linkurile și cererile de acces la distanță neașteptate, deoarece accesul inițial începe încă de obicei cu inginerie socială de bază sau software neactualizat.
  • Rămâneți informat despre grupuri precum operațiunea de ransomware The Gentlemen, deoarece instrumentele și țintele lor continuă să evolueze.