Группа вымогателей, называющая себя WhiteArmor, заявила, что похитила данные у логистической компании Ryder. Заявление не подтверждено, и в исходном отчёте содержится мало конкретных деталей. Тем не менее этот инцидент является полезным примером того, как работает кража учётных данных с помощью инфостилеров в рамках программ-вымогателей, и того, что обычные пользователи могут сделать, чтобы не стать первым звеном в подобной цепочке.

Что WhiteArmor утверждает о Ryder

Согласно отчёту о киберугрозах от Quasar Cybertech, WhiteArmor заявляет, что похитила данные у Ryder. Доступный текст отчёта ограничен и не подтверждает, какие данные могли быть похищены, в каком объёме или как группа получила доступ. В исходных материалах не показано, что Ryder подтвердила это заявление.

Это различие важно. Группы, занимающиеся вымогательством и шантажом, иногда публикуют заявления, которые оказываются преувеличенными, а иногда — точными. Пока компания или независимая сторона не подтвердит детали, правильная позиция — осторожность, а не паника.

Что отчёт действительно подчёркивает, так это вывод для защиты. В нём инцидент описывается как напоминание о рисках, связанных с кампаниями программ-вымогателей, возглавляемыми инфостилерами, и рекомендуется командам безопасности отслеживать попытки несанкционированного доступа, исходящие от скомпрометированных учётных данных. Также рекомендуется пересмотреть планы реагирования на инциденты, чтобы организации были готовы к потенциальному вымогательству.

Как инфостилеры питают вымогательство через программы-вымогатели

Инфостилер — это тип вредоносного ПО, созданный для незаметного извлечения конфиденциальной информации с заражённого устройства. Это может включать сохранённые пароли, данные браузера и другие материалы для входа. Обычно он не объявляет о себе так, как это делает деструктивное вредоносное ПО, что является одной из причин, по которой он может долгое время оставаться незамеченным.

Связь с вымогательством прямая. Украденные учётные данные могут собираться, продаваться или повторно использоваться. Злоумышленнику, располагающему действующими учётными данными для корпоративной системы, может не понадобиться взламывать её силой; он может просто войти. Оттуда можно скопировать данные, и затем группа может угрожать их публикацией, если ей не заплатят. Именно на эту схему указывает отчёт, когда говорит о кампаниях программ-вымогателей, возглавляемых инфостилерами.

Для неспециалистов стоит отметить два момента:

  • Первый взлом часто происходит через одно обычное устройство, например ноутбук сотрудника или личный компьютер, используемый для работы.
  • Учётные данные, которые выглядят легитимными, трудно отличить от настоящих логинов, поэтому мониторинг должен сосредоточиться на необычных паттернах, таких как доступ из неожиданных мест или в странное время.

Что это значит для вас

Если вы являетесь клиентом, сотрудником или партнёром Ryder, в источнике нет подтверждённой информации о том, что было похищено, поэтому пока делать выводы не из чего. Разумные шаги — следить за официальными сообщениями компании и скептически относиться к нежелательным электронным письмам, звонкам или сообщениям, которые упоминают Ryder, поставки или проблемы с учётной записью. Кампании вымогательства и последующий фишинг иногда опираются на огласку вокруг заявленного взлома.

Если у вас есть учётная запись в любой компании, упомянутой в неподтверждённом заявлении, вам не нужно паниковать, но разумно:

  • Сменить пароль на этой учётной записи, если вы использовали его где-либо ещё.
  • Включить многофакторную аутентификацию, если она доступна.
  • Проверить недавнюю активность входа на предмет чего-либо незнакомого.

Для сотрудников и администраторов рекомендации отчёта применимы напрямую: отслеживайте попытки несанкционированного доступа с использованием известных скомпрометированных учётных данных и убедитесь, что ваш план реагирования на инциденты охватывает действия на случай получения требования о выкупе.

Как защитить личные учётные записи от кражи учётных данных

Вы не можете контролировать, как крупная компания защищает свои системы, но вы можете снизить ценность всего, что инфостилер может похитить с ваших собственных устройств.

Используйте уникальный пароль для каждой учётной записи. Именно повторное использование превращает один украденный логин во множество. Менеджер паролей делает это практичным.

Включите многофакторную аутентификацию. Даже если пароль украден, второй фактор может заблокировать вход. Где возможно, предпочитайте методы на основе приложений или аппаратных ключей, а не текстовые сообщения.

Поддерживайте устройства и программное обеспечение в актуальном состоянии. Обновления операционной системы, браузера и программ безопасности закрывают дыры, на которые рассчитывает вредоносное ПО.

Будьте осторожны с тем, что вы устанавливаете и по каким ссылкам переходите. Инфостилеры обычно распространяются через вредоносные загрузки, поддельное программное обеспечение и фишинговые ссылки. Придерживайтесь официальных источников.

Избегайте сохранения конфиденциальных логинов в местах, где это не нужно. Пароли, хранящиеся в браузере, являются распространённой целью, поэтому рассмотрите возможность использования специального менеджера паролей с надёжным мастер-паролем.

Если вы подозреваете заражение, отключитесь от сети, запустите проверку с помощью авторитетного антивируса и смените пароли с чистого устройства.

Главное

Заявление WhiteArmor о Ryder остаётся неподтверждённым, а детали скудны. Что ясно, так это более широкий урок: кража учётных данных инфостилерами в рамках программ-вымогателей начинается с обычных логинов, и эти логины часто происходят с обычных устройств. Используйте уникальные пароли, включайте многофакторную аутентификацию и поддерживайте свои устройства в актуальном состоянии. Эти привычки не остановят каждую атаку, но они делают ваши учётные записи гораздо более сложной и менее привлекательной целью.