Ransomware-ul PAYLOAD deturnează Group Policy din AD, ocolind criptarea

Ce este ransomware-ul PAYLOAD și cum deturnează Group Policy

O operațiune de ransomware cunoscută sub numele de PAYLOAD le-a arătat cercetătorilor în securitate ceva neliniștitor: nu este nevoie să criptezi nici măcar un singur fișier pentru a aduce o organizație în genunchi. Conform relatărilor despre această operațiune, operatorii PAYLOAD au demonstrat cum atacatorii pot transforma în armă obiectele Group Policy (GPO) din Microsoft Active Directory pentru a perturba întregul domeniu Windows fără a implementa ransomware pe endpoint-uri sau a cripta vreo dată.

Group Policy este o funcție administrativă centrală integrată în mediile Windows Server. Departamentele IT o folosesc pentru a distribui setări, reguli de securitate și configurații software către fiecare computer și cont de utilizator conectat la un domeniu. Deoarece GPO-urile se află la un nivel atât de fundamental, cine le controlează controlează efectiv modul în care se comportă fiecare mașină din rețea. Abordarea PAYLOAD implică, potrivit relatărilor, manipularea directă a acestor obiecte de politică, folosind funcții administrative legitime din Windows pentru a provoca întreruperi extinse, a bloca utilizatorii sau a degrada funcționalitatea sistemelor în întreaga organizație. Rezultatul arată și se simte ca un atac de ransomware — sistemele nu mai funcționează, operațiunile se opresc — dar nu există niciun fișier criptat, nicio notă de răscumpărare pe disc și niciun binar malware tradițional care să fie indicat drept vinovat.

Acesta este ceea ce cercetătorii în securitate numesc un atac de ransomware fără criptare asupra Active Directory: pârghia de extorcare provine din perturbarea operațională și amenințarea cu expunerea datelor, nu din blocarea fișierelor în spatele unei chei de decriptare.

De ce apărările tradiționale împotriva ransomware-ului ratează acest atac

Majoritatea instrumentelor de securitate enterprise, inclusiv platformele de detectare și răspuns la endpoint (EDR) și software-ul antivirus, sunt reglate să detecteze comportamente specifice: rutine de criptare a fișierelor, execuția de binare suspecte, arbori de procese neobișnuite sau semnături cunoscute de ransomware. Când un atacator omite toate acestea și abuzează în schimb de o funcție administrativă integrată precum Group Policy, de multe ori nu există nimic pentru ca aceste instrumente să semnaleze. Activitatea poate semăna cu administrarea IT de rutină, mai degrabă decât cu un atac în desfășurare.

Acesta este exact motivul pentru care operațiunea PAYLOAD este semnificativă. Ea subliniază o tendință mai amplă în tacticile de extorcare: actorii amenințărilor găsesc tot mai multe modalități de a obține aceeași perturbare a activității și aceeași pârghie ca ransomware-ul clasic, evitând în același timp declanșatoarele de detectare construite special pentru a prinde atacurile bazate pe criptare. Organizațiile care își măsoară pregătirea împotriva ransomware-ului doar prin capacitatea antivirusului de a detecta instrumente de criptare cunoscute pot avea un punct orb periculos în ceea ce privește infrastructura de identitate și abuzul de instrumente administrative.

Riscul pentru datele angajaților și clienților atunci când domeniile sunt perturbate

Un mediu Active Directory perturbat nu este doar un inconvenient. Când Group Policy este deturnat la nivelul rădăcinii domeniului, acesta poate afecta autentificarea, controalele de acces și disponibilitatea sistemelor care stochează sau prelucrează date personale — de la dosarele de resurse umane la bazele de date cu clienți. Dacă atacatorii folosesc acest tip de acces și pentru a exfiltra date înainte sau în timpul perturbării, consecințele pot include același tip de expunere a informațiilor sensibile întâlnit în încălcările de securitate convenționale, fără ca vreun fișier să fie criptat.

Acest lucru contează și pentru consumatori. Extorcarea nu mai necesită ca atacatorii să implementeze malware pe care echipele IT îl pot numi și pune în carantină. După cum s-a văzut în alte incidente recente, cum ar fi deturnarea contului de Facebook al AnMed, unde prezența pe rețelele sociale a unui sistem de sănătate a fost preluată și folosită pentru cereri de răscumpărare fără implicarea vreunui malware, atacatorii găsesc modalități creative, cu semnătură redusă, de a presa organizațiile. Ambele cazuri au un fir comun: compromiterea infrastructurii de încredere — fie un controller de domeniu, fie un cont de social media — mai degrabă decât implementarea unui cod malițios evident.

Măsuri practice de atenuare pentru echipele IT și la ce ar trebui să fie atenți utilizatorii

Organizațiile ar trebui să trateze administrarea Active Directory și Group Policy ca pe ținte de mare valoare care merită aceeași atenție ca securitatea endpoint-urilor. Aceasta înseamnă auditarea persoanelor care au permisiunea de a crea sau modifica GPO-uri, activarea jurnalizării detaliate pentru modificările de Group Policy și monitorizarea modificărilor neașteptate ale politicilor, în special la nivelul rădăcinii domeniului, unde PAYLOAD ar fi operat, potrivit relatărilor. Autentificarea multifactor pentru conturile administrative și revizuirea regulată a accesului privilegiat pot, de asemenea, reduce șansele ca un atacator să obțină punctul de sprijin necesar pentru a ajunge la Group Policy.

Pentru utilizatorii obișnuiți și angajați, concluzia este mai simplă: întreruperile bruște și inexplicabile ale sistemelor, eșecurile de autentificare sau conturile blocate în întreaga organizație nu ar trebui ignorate ca probleme IT de rutină, mai ales dacă apar împreună cu comunicări neobișnuite sau mesaje de tip răscumpărare.

Ce înseamnă acest lucru pentru dumneavoastră

Fie că sunteți administrator IT sau pur și simplu o persoană ale cărei date personale se află în sistemele unei companii, cazul PAYLOAD este o reamintire că ransomware-ul nu mai arată întotdeauna ca ransomware. Un atac de ransomware fără criptare asupra Active Directory poate provoca la fel de mult haos operațional și risc pentru date ca o încălcare tradițională bazată pe criptare, strecurându-se în același timp pe lângă apărările construite pentru amenințările de ieri.

Concluzii cheie

• Auditați și restricționați cine poate modifica obiectele Group Policy, în special la nivelul rădăcinii domeniului.
• Nu vă bazați exclusiv pe instrumente antivirus sau EDR pentru a prinde abuzul infrastructurii de identitate; adăugați monitorizare dedicată pentru Active Directory.
• Tratați întreruperile extinse și inexplicabile ale sistemelor ca potențiale incidente de securitate, nu doar ca erori IT.
• Recunoașteți că tacticile de extorcare evoluează dincolo de criptare, după cum se vede atât în acest caz, cât și în incidente fără malware, precum preluarea contului de Facebook al AnMed.

A fi informat despre aceste tactici în evoluție este una dintre cele mai bune apărări disponibile. Pe măsură ce atacatorii continuă să găsească noi modalități de a perturba fără a implementa malware clasic, conștientizarea modului în care se desfășoară de fapt aceste atacuri este ceea ce va ajuta organizațiile și indivizii să răspundă mai rapid și mai inteligent.