Годовалая китайская угроза теперь атакует крупные организации в Испании и Португалии с помощью Warlock ransomware, и она не ведёт себя как типичная киберпреступная группировка. Согласно сообщению Dark Reading, группа выглядит как криминальная банда, действует как связанная с государством продвинутая постоянная угроза (APT) и атакует организации в неожиданных местах. Для команд безопасности Warlock ransomware Испания Португалия защита теперь является практическим вопросом, а не теоретическим.
В этом посте разбирается, что было сообщено, почему профиль группы беспокоит аналитиков и какие базовые меры контроля ограничивают ущерб, когда решительный атакующий проникает внутрь.
Кого Warlock атакует в Испании и Португалии
Кампания нацелена на крупные организации в испано- и португалоязычных странах. Другие поставщики безопасности, отслеживающие группу, описывают более широкую картину. Отчёты охотников за угрозами Symantec, как резюмируют The Record и SC Media, говорят, что группа нацеливалась на критическую инфраструктуру, включая операторов водоснабжения и телекоммуникаций. Они также говорят, что она эксплуатирует уязвимости Microsoft SharePoint, включая цепочку эксплойтов ToolShell, для получения первоначального доступа.
География — это то, что выделяется. Операторы ransomware часто концентрируются на англоязычных рынках, где давление с требованием оплаты и выплаты по киберстрахованию хорошо established. Группа, атакующая крупные испанские и португальские организации, предполагает либо намеренный сдвиг в целеполагании, либо оппортунизм вокруг открытых, неисправленных систем. Имеющиеся отчёты не решают, что именно это, и защитникам следует избегать предположения, что их страна или язык выводят их из зоны поражения.
Почему Warlock выглядит как банда, но действует как APT
Ключевая находка — гибридный профиль. На поверхности Warlock использует сценарий ransomware: шифрование систем, давление на жертву и монетизация доступа. Но его поведение, как сообщается, напоминает поведение связанной с государством APT. Исследователи описывают группу с китайской связью, которая продолжает эксплуатировать уязвимости SharePoint и выбирает цели в местах, которые не вписываются в чисто прибыльную модель.
Это важно, потому что две модели требуют разных защитных допущений:
- Криминальные банды обычно предпочитают скорость и объём, атакуя всё, что легче взломать.
- Акторы в стиле APT более терпеливы, более избирательны и с большей вероятностью поддерживают доступ перед действием.
Когда одна группа сочетает оба подхода, вторжение может включать тихое закрепление сначала и шифрование позже. Записка о выкупе может быть последним шагом более длительной операции, а не первым признаком проблемы. Отношение к оповещению о ransomware только как к событию «очистки» рискует упустить, что атакующий находился внутри некоторое время.
Что атаки раскрывают о тенденциях ransomware от китайских угроз
Warlock иллюстрирует тенденцию, которую аналитики наблюдали: граница между операциями в стиле шпионажа и финансово мотивированным вымогательством размывается. Группа может использовать ransomware как источник дохода, как отвлечение или как способ вызвать disruption, и снаружи эти цели может быть трудно различить.
Из отчётов следуют два практических урока:
- Первоначальный доступ всё ещё приходит из известных слабостей. Эксплуатация уязвимостей SharePoint означает, что обращённые в интернет серверы для совместной работы являются главной точкой входа. Статус патчей на этих системах — это передовая мера контроля.
- Атрибуция медленная, но защита не может ждать. Является ли Warlock бандой, связанным с государством подразделением или чем-то средним, защитные шаги в основном одинаковы.
Также стоит отметить, что публичные детали всё ещё развиваются. Несколько поставщиков опубликовали свои собственные находки, и командам следует сверяться с последними рекомендациями своих поставщиков безопасности для индикаторов и руководства по патчам.
Как организации могут ограничить подверженность: обнаружение, сегментация и зашифрованные резервные копии
Ни одна отдельная мера контроля не остановит способного злоумышленника, но многоуровневые базовые меры резко уменьшают радиус поражения.
Патчите и сокращайте подверженность. Отдавайте приоритет обращённым в интернет серверам Microsoft SharePoint. Если сервер не должен быть доступен из публичного интернета, уберите его оттуда.
Обнаруживайте рано. Обнаружение на конечных точках и мониторинг дают вам лучший шанс заметить необычное поведение до начала шифрования. Ищите неожиданные процессы на серверах, новые административные учётные записи и необычное боковое перемещение.
Сегментируйте сеть. Если атакующий оказывается на одном сервере, сегментация не даёт ему добраться до всего остального. Отделите критически важные системы, такие как операционные технологии и инфраструктура резервного копирования, от общих корпоративных сетей.
Держите офлайн, зашифрованные, протестированные резервные копии. Резервные копии, доступные из основной сети, могут быть зашифрованы или удалены вместе со всем остальным. Офлайн или неизменяемые копии, защищённые шифрованием, дают вам путь к восстановлению. Не менее важно регулярно тестировать восстановление, чтобы знать, что они работают под давлением.
Что это значит для вас
Если вы отвечаете за безопасность средней или крупной организации, особенно с SharePoint, открытым в интернет, или операциями в испано- и португалоязычных регионах, относитесь к этой кампании как к поводу проверить собственную позицию. Если вы частное лицо, прямой риск ниже, но та же логика применима ко всему, чем вы управляете: обновляйте программное обеспечение, используйте уникальные пароли с многофакторной аутентификацией и держите офлайн-копию важных файлов.
Сотрудникам организаций затронутых типов следует быть внимательными к необычным ИТ-уведомлениям или запросам и быстро сообщать о любых странностях. Ранние сообщения часто определяют разницу между локализованным инцидентом и крупным сбоем.
Ключевые выводы и следующие шаги
Картина защиты от Warlock ransomware в Испании и Португалии сводится к основам, применяемым последовательно:
- Сначала патчите обращённые в интернет системы Microsoft SharePoint.
- Мониторьте конечные точки и серверы на ранние признаки вторжения.
- Сегментируйте сети, чтобы одна компрометация не стала тотальной.
- Поддерживайте офлайн, зашифрованные резервные копии и тестируйте их восстановление.
Потратьте час на этой неделе, чтобы проверить свою готовность к ransomware: сегментированные сети, протестированные офлайн зашифрованные резервные копии и мониторинг конечных точек. Чтобы увидеть, как быстро группы ransomware называют и публикуют своих жертв после атаки, смотрите наш материал о претензии Kairos ransomware против Warwick Fabrics.
