Un nou atac ransomware BitLocker tipăreşte note de răscumpărare

Un atac ransomware BitLocker care ocoleşte programele malware

Cercetătorii în securitate au identificat un nou grup de extorcare care a găsit o scurtătură neliniştitoare la dezvoltarea tradiţională de ransomware: în loc să scrie malware personalizat de criptare, atacatorii folosesc BitLocker, funcţia de criptare a discurilor deja integrată în Windows, pentru a bloca accesul victimelor la propriile fişiere. Odată ce unităţile sunt sigilate, grupul anunţă atacul în cel mai analog mod posibil, trimiţând o notă de răscumpărare direct la imprimanta de birou.

Această combinaţie între o funcţie Windows de încredere şi o metodă de notificare fizică, directă, marchează o schimbare notabilă în modul de operare al echipelor de extorcare. De asemenea, ridică întrebări dificile pentru echipele IT care şi-au petrecut ani de zile întărind endpoint-urile împotriva executabilelor maliţioase, doar pentru a se confrunta acum cu atacatori care folosesc instrumente ce nu au fost niciodată marcate ca periculoase.

Cum transformă atacatorii BitLocker într-o armă pentru a bloca victimele

BitLocker este un instrument de criptare legitim, furnizat de Microsoft, conceput pentru a proteja datele în cazul pierderii sau furtului unui laptop sau al unei unităţi. Acesta este inclus în majoritatea instalărilor Windows moderne şi este de încredere pentru departamentele IT din întreaga lume. Tocmai această încredere îl face o armă utilă pentru atacatorii care au obţinut deja acces administrativ la o reţea.

În loc să implementeze o încărcătură de criptare personalizată, pe care antivirusul ar putea să o detecteze, această echipă de extorcare pur şi simplu activează BitLocker pe unităţile victimei şi reţine cheia de recuperare ca ostatică. Rezultatul este identic din punct de vedere funcţional cu o infecţie ransomware: fişierele devin inaccesibile, sistemele se blochează, iar organizaţia rămâne să negocieze pentru o cheie pe care ar fi trebuit să o controleze de la bun început. Deoarece BitLocker este o componentă Microsoft nativă, semnată digital, instrumentele de securitate care se bazează pe detectarea semnăturilor maliţioase cunoscute au puţine motive să intervină.

De ce tipărirea notelor de răscumpărare semnalează o nouă tactică de extorcare

Grupurile tradiţionale de ransomware lasă de obicei un fişier text pe desktop sau afişează un ecran de blocare care cere plata. În schimb, acest grup trimite cererea de răscumpărare direct la o imprimantă de reţea, producând un document fizic pe care angajaţii îl descoperă în camera de pauză sau la birourile lor.

Tactica este mai puţin legată de sofisticare tehnică şi mai mult de psihologie. O notă tipărită este mai greu de ignorat decât o fereastră pop-up şi semnalează fiecărui angajat din clădire, nu doar personalului IT, că organizaţia a fost compromisă. Este o escaladare publică, tangibilă, menită să preseze victimele să plătească mai repede şi reflectă o tendinţă mai largă a grupurilor de extorcare de a experimenta tactici de presiune neconvenţionale, care depăşesc tastatura. FBI-ul a avertizat anterior cu privire la abordări similare şi creative, inclusiv cazuri în care Silent Ransom Group s-a dat fizic drept personal IT la firme de avocatură pentru a obţine accesul necesar înainte ca extorcarea să înceapă.

Riscul atacurilor de tip „living-off-the-land” care evită instrumentele antivirus

Profesioniştii în securitate numesc această abordare „living off the land”: folosirea de software şi utilitare deja prezente pe un sistem ţintă, mai degrabă decât introducerea de malware nou, detectabil. Abuzul BitLocker este un exemplu clasic. Deoarece instrumentul este semnat de Microsoft şi este aşteptat să ruleze pe maşinile din întreprinderi, activitatea sa adesea nu declanşează aceleaşi alarme ca un executabil necunoscut.

Exact acest lucru face ca tactica să fie periculoasă pentru organizaţiile care se bazează în principal pe antivirus bazat pe semnături sau pe detectarea la nivel de endpoint, configurată să identifice fişiere evident maliţioase. Dacă atacatorii au deja privilegiile administrative necesare pentru a activa criptarea şi a reţine cheile de recuperare, atacul se poate desfăşura folosind exclusiv funcţionalităţi Windows standard, ceea ce face mult mai dificilă deosebirea de activitatea IT legitimă până când este prea târziu.

Cum să întăriţi sistemele Windows împotriva abuzului instrumentelor integrate

Apărarea împotriva acestui tip de atac necesită o schimbare a atenţiei de la „ce software rulează” la „cine are permisiunile de a-l rula”. Câţiva paşi practici contează aici. Organizaţiile ar trebui să restricţioneze strict conturile care pot activa sau modifica setările BitLocker şi să se asigure că cheile de recuperare sunt escrow automat în Active Directory sau Azure AD, mai degrabă decât să fie accesibile doar celui care are drepturi de admin local. Monitorizarea evenimentelor neaşteptate de activare BitLocker, în special în afara ferestrelor de mentenanţă obişnuite, poate, de asemenea, să depisteze un atac în desfăşurare înainte ca criptarea să fie finalizată pe o întreagă flotă de maşini.

Dincolo de BitLocker în mod specific, lecţia de bază este despre gestionarea privilegiilor. Limitarea accesului administrativ permanent, segmentarea reţelelor şi menţinerea de copii de rezervă offline, testate, reduc toate raza de acţiune atunci când atacatorii obţin un punct de sprijin, indiferent de instrumentul de care abuzează în cele din urmă pentru a bloca fişierele.

Ce înseamnă asta pentru dumneavoastră

Pentru utilizatorii obişnuiţi, acest atac ransomware specific bazat pe BitLocker este în primul rând o preocupare la nivel de întreprindere, deoarece depinde de faptul că atacatorii au deja acces administrativ la o reţea. Dar este un memento util că instrumentele de criptare create pentru protecţia dumneavoastră pot fi întoarse împotriva dumneavoastră dacă securitatea contului este slabă. Pentru administratorii IT şi proprietarii de mici afaceri, concluzia este mai directă: verificaţi cine poate gestiona setările de criptare ale sistemelor dumneavoastră, confirmaţi că cheile de recuperare sunt salvate undeva unde atacatorii nu pot ajunge şi trataţi evenimentele de criptare neaşteptate cu aceeaşi urgenţă ca o alertă de malware.

Puncte cheie

Acest incident se încadrează într-un tipar în care grupurile de extorcare se îndepărtează de malware-ul personalizat în favoarea abuzului de instrumente legitime şi a tacticilor de presiune neconvenţionale, o tendinţă vizibilă şi în cazurile în care Silent Ransom Group s-a dat drept personal IT pentru a obţine acces de încredere înainte de a lovi. Indiferent dacă punctul de intrare este un apel telefonic fals sau un cont de admin compromis, apărarea este aceeaşi: controale puternice de acces, activitate administrativă monitorizată şi copii de rezervă care nu depind de bunăvoinţa atacatorului. Revizuirea acum a gestionării cheilor BitLocker şi a monitorizării endpoint-urilor din organizaţia dumneavoastră este un moment mult mai bun decât după ce o notă de răscumpărare iese din imprimantă.