Формируется новая стратегия вымогателей

Недавний анализ ландшафта программ-вымогателей описывает заметное изменение стратегии злоумышленников: вместо того чтобы тщательно нацеливаться на одну компанию за раз, некоторые группы теперь пытаются осуществить то, что в отчёте называется «подавлением области», — скомпрометировать целый кластер взаимосвязанных малых и средних предприятий (МСП) в рамках одной кампании. Это значимый сдвиг в том, как осуществляются атаки на цепочки поставок с использованием вымогателей, и он особенно актуален для экономик, построенных на многоуровневых субподрядных отношениях, — в отчёте отмечается, что иерархическая бизнес-структура Японии представляет собой особенно привлекательное поле для охоты.

Логика «подавления области» проста с точки зрения злоумышленника. Вместо того чтобы тратить время и ресурсы на взлом одной хорошо защищённой цели, почему бы не выявить сеть более мелких, хуже защищённых предприятий, которые все вливаются в одну цепочку поставок, и скомпрометировать как можно больше из них одновременно? Каждая дополнительная жертва увеличивает шансы на выплату, а взаимосвязанный характер субподрядных сетей означает, что одна точка входа может открыть доступ к десяткам партнёров ниже или выше по цепочке.

Что означает «подавление области» для взаимосвязанных МСП

В традиционных целевых кампаниях вымогателей злоумышленники изучают конкретную организацию, оценивают её защиту и разрабатывают вторжение, ориентированное на эту одну цель. «Подавление области» переворачивает эту модель. Злоумышленники картографируют бизнес-экосистему, выявляя небольшие компании, обслуживающие крупных генеральных подрядчиков, и рассматривают всю сеть как единую поверхность атаки.

Это важно, потому что МСП в субподрядных цепочках часто не имеют выделенного персонала, бюджета или инструментов мониторинга, которыми располагают крупные предприятия. Многие полагаются на инструменты удалённого доступа, общие учётные данные или конфигурации VPN, настроенные годы назад и редко проверяемые. В иерархической бизнес-структуре, где десятки или сотни мелких поставщиков соединяются с горсткой крупных подрядчиков, это создаёт именно ту среду с низким трением, под которую сейчас оптимизируются злоумышленники.

Как злоумышленники перемещаются латерально по субподрядным сетям

Проникнув в одну часть субподрядного кластера, злоумышленникам не нужно изобретать новый подход для каждой следующей цели. Общие отношения с поставщиками, одинаковое программное обеспечение для удалённого доступа и перекрывающиеся схемы ИТ-поддержки означают, что учётные данные или точку опоры, полученные в одной компании, часто можно повторно использовать или адаптировать для доступа к следующей. Скомпрометированная учётная запись VPN, открытый сервис удалённого рабочего стола или доверенное сетевое соединение между субподрядчиком и его материнской компанией — все они могут служить точками пивотирования.

Это латеральное перемещение является той связующей тканью, которая превращает единичный взлом в каскад. Понять, как это развивается от первоначального доступа до полной компрометации, проще, если рассматривать жизненный цикл атаки вымогателя целиком. Объяснение двойного вымогательства разбирает, как злоумышленники обычно движутся от первоначальной точки опоры к краже данных и шифрованию — последовательность, которая становится гораздо более разрушительной, когда она разворачивается на нескольких связанных компаниях, а не на одной.

Роль двойного вымогательства и уклонения от EDR в каскадных атаках

Кампании «подавления области» не отказываются от тактик, сделавших вымогателей столь прибыльными в последние годы. Двойное вымогательство, при котором злоумышленники крадут данные перед их шифрованием и угрожают опубликовать их, если выкуп не будет выплачен, по-прежнему применимо и, возможно, становится более мощным, когда несколько компаний из одной цепочки поставок поражаются одновременно. Утечка, затрагивающая несколько связанных предприятий, может создать давление не только на отдельных жертв, но и на крупных генеральных подрядчиков, чья репутация и контракты зависят от безопасности их партнёров.

Современные операции вымогателей также всё чаще полагаются на техники, предназначенные для отключения или ослепления инструментов обнаружения и реагирования на конечных точках (EDR) перед развёртыванием финальной вредоносной нагрузки. Как объясняется в статье о фреймворках вымогателей, убивающих EDR, злоумышленники теперь стремятся отключить защитный инструментарий в качестве продуманного первого шага, а не соревноваться с ним на скорость. В сценарии «подавления области» этот шаг уклонения становится ещё более ценным, поскольку позволяет злоумышленникам перемещаться через множество слабо контролируемых сетей МСП с меньшим риском раннего обнаружения.

Что это значит для вас

Если ваш бизнес работает как часть цепочки поставок, будь то в качестве субподрядчика, поставщика или генерального подрядчика, вы теперь являетесь узлом в сети, которую злоумышленники активно картографируют. Прочность вашей собственной защиты больше не обеспечивает безопасность только вам. Она влияет на каждого партнёра, связанного с вами. Один непропатченный VPN-шлюз или повторно используемые учётные данные удалённого доступа могут стать точкой входа для каскадной атаки, которая распространится далеко за пределы ваших собственных систем.

Это особенно важно для владельцев МСП, которые могут считать свою компанию «слишком маленькой, чтобы быть целью». В модели «подавления области» малый размер — не защита. Зачастую это и есть причина, по которой вас выбрали.

Практические меры защиты, которые владельцы МСП должны внедрить прямо сейчас

Несколько конкретных шагов могут значительно снизить уязвимость к атакам на цепочки поставок с использованием вымогателей:

  • Проведите аудит всех точек удалённого доступа, включая VPN, RDP и инструменты поддержки третьих сторон, и удалите или обновите всё устаревшее.
  • Внедрите многофакторную аутентификацию для всех учётных записей удалённого доступа и административных учётных записей, особенно тех, которые используются совместно с поставщиками или подрядчиками.
  • Сегментируйте сети так, чтобы взлом у одного субподрядчика не предоставлял автоматически путь в партнёрские организации.
  • Поддерживайте автономные, проверенные резервные копии, чтобы одно лишь шифрование не могло принудить к решению о выплате выкупа.
  • Выясняйте у своих деловых партнёров и генеральных подрядчиков об их собственных практиках безопасности, поскольку ваш риск теперь связан с их риском.

Группировки вымогателей показали, что готовы индустриализировать свой подход, рассматривая целые бизнес-экосистемы как единую цель, а не отстреливая компании по одной. Понимание этого сдвига и принятие базовых защитных мер, описанных выше, — самый ясный для МСП способ не стать слабым звеном, которое разрушит всю цепочку поставок.