Hacker rus vinde acces corporativ furat și spionează Ucraina

Cum funcționează piața accesului de la breșă la ransomware

Un hacker vorbitor de limbă rusă a spart organizații din întreaga lume, furând date de autentificare și ambalând acel acces furat pentru vânzare către grupări de ransomware, conform unui nou raport. Același actor a monitorizat, de asemenea, site-urile militare ucrainene, îmbinând criminalitatea cibernetică motivată financiar cu o aparentă activitate de culegere de informații legată de conflictul în desfășurare.

Cazul ilustrează clar cum încep, de fapt, atacurile ransomware moderne. Titlurile tind să se concentreze pe malware-ul care criptează în cele din urmă fișierele unei companii, însă ușa din față este de obicei deschisă de altcineva: un broker de acces inițial. Aceștia sunt specialiști care fac foarte bine un singur lucru. Ei pătrund în rețele, verifică dacă accesul funcționează și apoi îl vând, adesea pe forumuri subterane, operatorilor de ransomware care se ocupă de partea de extorcare a afacerii. Este o diviziune a muncii care a făcut campaniile ransomware mai rapide, mai ușor de scalat și mai greu de atribuit unui singur grup.

Această piață a accesului de la breșă la ransomware înseamnă că o singură parolă compromisă poate parcurge un drum lung. Persoana care o fură s-ar putea să nu implementeze niciodată ransomware. În schimb, acționează ca furnizor, iar daunele reale – un sistem spitalicesc scos din funcțiune, operațiunile unui producător înghețate, datele unui district școlar criptate – sunt cauzate de un cumpărător complet separat, în aval.

Ce date de autentificare și acces la rețea au fost furate și vândute

Conform raportului, operațiunea hackerului s-a concentrat pe colectarea de date de autentificare de la organizații globale și pe pregătirea acelui acces pentru revânzare. În loc să exploateze imediat fiecare sistem compromis, actorul pare să fi tratat datele de autentificare furate ca pe un inventar: ceva de catalogat, validat și predat cumpărătorilor specializați în următoarea etapă a unui atac. În paralel cu această activitate comercială, hackerul a fost observat și ținând sub observație site-urile militare ucrainene, un detaliu care sugerează motivații suprapuse, dincolo de profitul pur.

Acest tipar – furtul de date de autentificare motivat financiar, derulat în paralel cu supravegherea motivată geopolitic – a devenit din ce în ce mai frecvent în rândul actorilor de amenințare vorbitori de limbă rusă. El subliniază, de asemenea, de ce apărătorii nu pot presupune că un incident de furt de date de autentificare este „doar” o problemă de criminalitate financiară. Același acces furat care ajunge la vânzare pentru o grupare de ransomware ar putea fi folosit la fel de ușor pentru spionaj sau pentru ambele.

De ce datele de autentificare VPN și de acces la distanță sunt ținte principale pentru brokerii de acces

Brokerii de acces gravitează către datele de autentificare care deblochează cel mai mult teritoriu cu cel mai mic efort. Autentificările VPN, conturile de desktop la distanță și alte instrumente de acces de la distanță se află în fruntea acelei liste, deoarece sunt concepute pentru a aduce un utilizator din lumea exterioară direct în rețeaua internă. O singură credențială VPN validă poate ocoli complet apărarea perimetrală, oferindu-i atacatorului un punct de sprijin cu aspect legitim, care nu declanșează aceleași alarme ca o intruziune tradițională.

Tocmai de aceea, furnizorii de VPN și datele de autentificare pe care le dețin au devenit ținte atractive în sine. Nu doar gateway-urile VPN corporative sunt expuse riscului. Serviciile VPN destinate consumatorilor au avut, de asemenea, bazele de date interne expuse, ridicând întrebări incomode cu privire la faptul dacă promisiunile „fără jurnale” rezistă sub control. Breșa SplitVPN este un bun exemplu: o bază de date mare, presupus legată de furnizor, a apărut pe un forum infracțional, subminând afirmațiile de confidențialitate ale companiei și reamintind utilizatorilor că postura de securitate a unui VPN contează la fel de mult ca și criptarea pe care o promovează.

Cum reduc VPN-ul, 2FA și igiena datelor de autentificare riscul mișcării laterale

Vestea bună este că cea mai mare parte a fricțiunii din această conductă de atac poate fi reintrodusă de organizații și persoane dispuse să ia câțiva pași consecvenți. Autentificarea multi-factor este cel mai eficient control împotriva datelor de autentificare furate, deoarece o parolă singură devine mult mai puțin utilă pentru un cumpărător dacă nu poate fi asociată cu o a doua etapă de verificare. Schimbarea periodică a datelor de autentificare, evitarea reutilizării parolelor între servicii și monitorizarea autentificărilor expuse prin servicii de notificare a breșelor reduc toate fereastra în care accesul furat rămâne valoros pentru un broker.

Pentru accesul la distanță în mod special, alegerea unui furnizor de VPN cu o politică de „fără jurnale” verificabilă și auditată, nu doar o afirmație de marketing, reduce șansele ca propriile date de autentificare să devină următorul set de date scos la vânzare. Asocierea acestui lucru cu 2FA pe fiecare punct de acces la distanță și segmentarea rețelelor astfel încât un singur cont compromis să nu poată ajunge la tot limitează cât de departe se poate mișca un atacator chiar dacă reușește să intre.

Ce înseamnă asta pentru tine

Dacă administrezi IT-ul pentru o afacere, acest caz este un memento că furtul de date de autentificare de către brokerii de acces inițial este adesea adevăratul punct de plecare al unui incident ransomware, nu ransomware-ul în sine. Investiția în igiena datelor de autentificare, MFA și monitorizarea accesului la distanță face mai mult pentru a opri aceste atacuri decât orice instrument anti-malware individual. Dacă ești un utilizator individual, este un imbold să verifici dacă furnizorul tău de VPN sau de acces la distanță are un istoric de protejare a propriilor date, deoarece datele tale de autentificare sunt la fel de sigure ca și serviciul care le stochează.

Concluzii practice:

• Activează autentificarea multi-factor pe fiecare cont VPN, desktop la distanță și administrator, nu doar pe e-mail.
• Evită reutilizarea parolelor între servicii, în special pentru instrumentele de acces la distanță.
• Cercetează istoricul de securitate al unui furnizor de VPN și auditurile independente înainte de a avea încredere în afirmațiile sale de „fără jurnale”.
• Monitorizează apariția datelor tale de autentificare în bazele de date ale breșelor și schimbă-le imediat dacă sunt găsite.
• Segmentează rețelele astfel încât o singură credențială furată să nu poată oferi acces lateral larg.