Что делает StormEncryptor и как он распространяется через RMM-инструменты

Недавно выявленный штамм программы-вымогателя под названием StormEncryptor развертывается группировкой, связанной с Китаем, согласно сообщениям об этой кампании. Вместо того чтобы полагаться только на фишинговые письма или уязвимости в программном обеспечении, злоумышленники, как сообщается, злоупотребляют инструментами удаленного мониторинга и управления (RMM) — тем же программным обеспечением, которое ИТ-команды используют для удаленного администрирования и устранения неполадок на компьютерах в организации.

Эта деталь важна. RMM-платформы доверенны по своей природе. Обычно они работают с повышенными привилегиями и могут обходить многие средства безопасности, потому что организациям нужно, чтобы они функционировали. Когда злоумышленники компрометируют или захватывают RMM-инструмент, они получают тот же доверенный доступ, что позволяет им перемещаться по сети, внедрять программу-вымогатель и затрагивать чувствительные системы, не сразу вызывая тревогу. Эта тактика становится все более привлекательной для злоумышленников именно потому, что она смешивает вредоносную активность с обычным шумом легитимных ИТ-операций.

Почему программы-вымогатели с двойным вымогательством становятся нормой

У традиционных программ-вымогателей было простое предложение: заплатите, или навсегда потеряете доступ к своим файлам. Эта модель во многом устарела. StormEncryptor вписывается в более широкую схему, которую исследователи безопасности отслеживают уже много лет: шифрование — лишь первая половина атаки. Вторая половина, часто называемая двойным вымогательством, заключается в том, что сначала незаметно копируются чувствительные данные, а затем, если выкуп не выплачен, злоумышленники угрожают опубликовать или продать эти данные.

Этот сдвиг меняет расчеты для жертв. Даже организации с надежными системами резервного копирования, которые позволяют восстановить зашифрованные файлы без уплаты выкупа, по-прежнему сталкиваются с угрозой публикации или продажи украденных данных. Двойное вымогательство превращает техническое неудобство в репутационный и юридический кризис, поскольку утекшие данные могут включать записи клиентов, финансовые документы или внутреннюю переписку, что вызывает проверки со стороны регуляторов и обязанности по уведомлению об утечке.

Связанные с государством злоумышленники и растущие ставки кражи данных

Что отличает StormEncryptor от заурядной киберпреступности, так это предполагаемая связь с группировкой, связанной с Китаем. Связанные с государством или допускаемые государством злоумышленники, как правило, действуют с большими ресурсами, большим терпением и часто с более широкими целями, чем чисто финансово мотивированные преступные группировки. Даже если внешне кампания выглядит как стандартная программа-вымогатель, участие группы с предполагаемыми связями с государством порождает вопросы о том, могут ли украденные данные служить разведывательным целям, выходящим за рамки простой наживы.

Эта модель отражает более широкую тенденцию, при которой политически или геополитически мотивированные группы все чаще смешивают традиционную тактику вымогательства с другими задачами. Мы видели похожую динамику, когда хактивистская группировка угрожала кибератаками против институтов ЕС из-за политического спора, показывая, что кибероперации больше не отделены четко от геополитики или активизма. Для бизнеса практический эффект одинаков независимо от мотива: чувствительные данные оказываются вне вашего контроля, а последствия могут ощущаться годами. Этот риск усугубляется более широкой экономикой данных, в рамках которой украденные записи могут распространяться далеко за пределы первоначальных злоумышленников; эту проблему законодатели пытались решить с помощью таких инициатив, как законопроект конгрессмена Берчетта, направленный на лазейку для брокеров данных.

Практические меры защиты: резервное копирование, сегментация и шифрование критически важных систем

Хорошая новость в том, что основы защиты от программ-вымогателей не изменились, даже несмотря на то, что злоумышленники совершенствуют методы доставки. Учитывая, как, по сообщениям, действует StormEncryptor, можно выделить несколько приоритетов:

  • Аудируйте и ограничивайте доступ к RMM. Любой инструмент удаленного администрирования должен требовать многофакторную аутентификацию, по возможности ограничиваться определенными диапазонами IP-адресов и тщательно отслеживаться на предмет необычного времени входа или шаблонов команд.
  • Сегментируйте сеть. Если RMM-инструмент или отдельная рабочая станция будут скомпрометированы, сегментация сети ограничит, насколько далеко сможет распространиться злоумышленник, прежде чем упрется в тупик.
  • Поддерживайте автономные, проверенные резервные копии. Резервные копии, доступные только из основной сети, могут быть зашифрованы вместе со всем остальным. Автономные или неизменяемые резервные копии остаются самой надежной защитой от вымогательства, основанного на шифровании.
  • Шифруйте конфиденциальные данные в состоянии хранения. Если злоумышленникам все же удастся вывести файлы, зашифрованные данные гораздо менее полезны им в качестве рычага давления, поскольку их нелегко прочитать или перепродать.

Что это значит для вас

Если вы управляете малым бизнесом или отвечаете за ИТ в организации, эта история — напоминание о том, что инструменты, которым вы доверяете больше всего, например программы удаленного мониторинга, требуют такого же пристального внимания, как и все, что обращено в публичный интернет. Злоумышленники все чаще ищут путь наименьшего сопротивления, и скомпрометированные учетные данные RMM могут действовать гораздо тише, чем атака методом перебора. Даже отдельным пользователям стоит обратить внимание: кампании с двойным вымогательством часто начинаются с украденных учетных данных или данных, собранных в ходе повседневного наблюдения и отслеживания, поэтому важно понимать свою более широкую уязвимость. Наше руководство по наблюдению на основе ИИ описывает практические шаги для сокращения цифрового следа, который подобные группировки в конечном итоге пытаются использовать.

Ключевые выводы

Программа-вымогатель StormEncryptor и ее тактика двойного вымогательства подчеркивают простую истину: шифрование — лишь одна часть современной атаки с использованием программы-вымогателя, а кража данных часто является более разрушительной половиной. Организации должны относиться к RMM-инструментам как к целям высокой ценности, требующим строгого контроля доступа, вкладываться в автономные резервные копии, которые нельзя затронуть во время активного вторжения, и шифровать конфиденциальные данные, чтобы они теряли ценность даже в случае кражи. Ни один отдельный инструмент не остановит такую атаку. Многоуровневая защита в сочетании с четким пониманием того, где находятся ваши данные и кто может получить к ним доступ, остается наиболее эффективным способом снизить подверженность кампаниям вымогателей, построенным вокруг двойного вымогательства.