Un grup de ransomware care se autointitulează WhiteArmor a susținut că a exfiltrat date de la compania de logistică Ryder. Afirmația nu a fost verificată, iar raportul sursă oferă puține detalii. Chiar și așa, incidentul este un studiu de caz util despre modul în care funcționează furtul de credențiale prin infostealere și ransomware, și despre ce pot face utilizatorii obișnuiți pentru a evita să devină prima verigă într-un lanț similar.

Ce susține WhiteArmor despre Ryder

Potrivit unui raport de threat intelligence de la Quasar Cybertech, WhiteArmor afirmă că a luat date de la Ryder. Textul disponibil al raportului este limitat și nu confirmă ce date ar fi putut fi luate, cât de multe sau cum a intrat grupul. În materialul sursă nu se arată că Ryder ar fi confirmat afirmația.

Această distincție contează. Grupurile de ransomware și extorcare publică uneori afirmații care se dovedesc exagerate, iar altele se dovedesc exacte. Până când compania sau o parte independentă verifică detaliile, poziția corectă este prudența, nu alarma.

Ce subliniază raportul este concluzia defensivă. Descrie incidentul ca pe o reamintire a riscurilor pe care le prezintă campaniile de ransomware conduse de infostealere și recomandă echipelor de securitate să monitorizeze încercările de acces neautorizat provenite din credențiale compromise. De asemenea, recomandă revizuirea planurilor de răspuns la incidente, astfel încât organizațiile să fie pregătite pentru o posibilă extorcare.

Cum alimentează infostealerele extorcarea prin ransomware

Un infostealer este un tip de malware conceput să extragă în mod silențios informații sensibile de pe un dispozitiv infectat. Acestea pot include parole salvate, date din browser și alte materiale de autentificare. De obicei nu se anunță singur așa cum o face malware-ul distructiv, ceea ce este parțial motivul pentru care poate trece neobservat o perioadă lungă de timp.

Legătura cu extorcarea este simplă. Credențialele furate pot fi colectate, tranzacționate sau reutilizate. Un atacator care deține un login valid pentru un sistem corporativ poate să nu aibă nevoie să spargă sistemul cu forța; se poate pur și simplu autentifica. De acolo, datele pot fi copiate, iar grupul poate amenința apoi că le va publica dacă nu primește plata. Acesta este modelul la care face referire raportul când vorbește despre campanii de ransomware conduse de infostealere.

Două puncte merită menționate pentru nespecialiști:

  • Prima compromitere este adesea un singur dispozitiv obișnuit, cum ar fi laptopul unui angajat sau un calculator personal folosit pentru muncă.
  • Credențialele care par legitime sunt greu de distins de autentificările reale, așa că monitorizarea trebuie să se concentreze pe modele neobișnuite, cum ar fi accesul din locații neașteptate sau la ore ciudate.

Ce înseamnă acest lucru pentru tine

Dacă ești client, angajat sau partener Ryder, nu există informații confirmate în sursă despre ce a fost luat, așa că nu există încă nimic de concluzionat. Pașii rezonabili sunt să urmărești comunicările oficiale din partea companiei și să fii sceptic față de e-mailurile, apelurile sau mesajele text nesolicitate care menționează Ryder, expedieri sau probleme cu contul. Campaniile de extorcare și phishing-ul ulterior se bazează uneori pe publicitatea din jurul unei presupuse breșe.

Dacă ai un cont la orice companie menționată într-o afirmație neverificată, nu trebuie să intri în panică, dar este rezonabil să:

  • Schimbi parola acelui cont dacă ai reutilizat-o în altă parte.
  • Activezi autentificarea multi-factor dacă este disponibilă.
  • Revizuiești activitatea recentă de autentificare pentru orice element neobișnuit.

Pentru angajați și administratori, sfatul raportului se aplică direct: monitorizează încercările de acces neautorizat care folosesc credențiale compromise cunoscute și asigură-te că planul tău de răspuns la incidente acoperă ce trebuie făcut dacă sosește o cerere de extorcare.

Cum să-ți protejezi conturile personale împotriva furtului de credențiale

Nu poți controla modul în care o companie mare își securizează sistemele, dar poți reduce valoarea a ceea ce un infostealer ar putea lua de pe propriile tale dispozitive.

Folosește o parolă unică pentru fiecare cont. Reutilizarea este ceea ce transformă un singur login furat în multe. Un manager de parole face acest lucru practic.

Activează autentificarea multi-factor. Chiar și atunci când o parolă este furată, un al doilea factor poate bloca o autentificare. Acolo unde este posibil, preferă metodele bazate pe aplicații sau pe hardware în locul mesajelor text.

Menține dispozitivele și software-ul actualizate. Actualizările sistemului de operare, ale browserului și ale software-ului de securitate închid găurile pe care se bazează malware-ul.

Fii atent la ce instalezi și pe ce dai click. Infostealerele ajung frecvent prin descărcări malițioase, software fals și linkuri de phishing. Rămâi la sursele oficiale.

Evită să salvezi autentificări sensibile în locuri în care nu este nevoie. Parolele stocate în browser sunt o țintă comună, așa că ia în considerare un manager de parole dedicat, cu o parolă principală puternică.

Dacă suspectezi o infecție, deconectează-te de la rețea, rulează o scanare de securitate de încredere și schimbă-ți parolele de pe un dispozitiv curat.

Concluzia

Afirmația WhiteArmor despre Ryder rămâne neverificată, iar detaliile sunt puține. Ceea ce este clar este lecția mai amplă: furtul de credențiale prin infostealere și ransomware începe cu autentificări obișnuite, iar aceste autentificări provin adesea de pe dispozitive obișnuite. Folosește parole unice, activează autentificarea multi-factor și menține-ți dispozitivele actualizate. Aceste obiceiuri nu vor opri fiecare atac, dar fac conturile tale o țintă mult mai greu de atacat și mai puțin recompensatoare.