Vad är annorlunda med n0n ransomware jämfört med traditionell ransomware?

n0n rapporteras hoppa över krypteringssteget helt och istället förstöra offrens säkerhetskopior samtidigt som de hotar med att släppa stulen data. Traditionell ransomware låser filer och kräver betalning för en dekrypteringsnyckel.

Är offlinekopior fortfarande tillräckligt skydd mot denna typ av attack?

Offlinekopior förblir klokt råd men är inte längre tillräckliga i sig själva, eftersom säkerhetskopior skyddar tillgänglighet snarare än konfidentialitet. Säkerhetskopieringssystem är ofta nåbara, och offlinekopior kan vara föråldrade.

n0n Ransomware Hoppar över Kryptering, Förstör Säkerhetskopior Istället

Q: Varför gör förstörelsen av säkerhetskopior attacken farligare?

Försvarare svarar vanligtvis på traditionell ransomware genom att återställa från säkerhetskopior, så att ta bort det skyddsnätet höjer insatserna utan att behöva kryptera en enda produktionsfil. Angripare som får privilegierad åtkomst kan gå direkt efter säkerhetskopieringsinfrastruktur.

Q: Löser en återställning från en säkerhetskopia en attack av n0n-typ?

Nej. Att återställa från en ren säkerhetskopia löser driftstopp, men det gör ingenting åt data som redan har lämnat nätverket och inte kan "återställas" när det väl är i någon annans händer.

Q: Varför finns det ofta ingen uppenbar driftstörning vid utpressning utan kryptering?

När det inte finns någon kryptering fortsätter systemen att köra, vilket kan göra ett intrång tystare och svårare att upptäcka. Hävstången kommer istället från hotet om att känslig data kommer att publiceras eller säljas.

En rapport om en grupp som kallar sig n0n beskriver en taktisk förändring inom cyberutpressning: ransomware utan kryptering och förstörelse av säkerhetskopior. Istället för att låsa filer och kräva betalning för en dekrypteringsnyckel rapporteras gruppen utplåna återställningsalternativ och hota med att avslöja stulen data. Källartikeln vi granskade var trunkerad, så detta inlägg håller sig till den övergripande bilden den beskriver och till allmänt vedertagen försvarspraxis snarare än specifika detaljer vi inte kan verifiera.

Hur n0n's Spelbok för Förstörelse av Säkerhetskopior Fungerar

Enligt rapporten hoppar n0n's tillvägagångssätt över krypteringssteget som har definierat ransomware i åratal. Tonvikten ligger på två saker: att förstöra offrets säkerhetskopior och att hota med att släppa data som gruppen har tagit.

Logiken är enkel. Traditionell ransomware skapar press genom att göra system oanvändbara. Försvarare svarar genom att återställa från säkerhetskopior, vilket är anledningen till att många ransomware-operatörer länge har försökt hitta och radera tillgängliga säkerhetskopior först. Att ta bort det skyddsnätet höjer insatserna utan att behöva kryptera en enda produktionsfil.

Vi har inte bekräftade tekniska detaljer om n0n's verktyg, ingångspunkter eller antal offer från materialet som tillhandahållits, så vi kommer inte att spekulera om dem. Det som spelar roll för försvarare är mönstret: angripare som får privilegierad åtkomst kan gå direkt efter säkerhetskopieringsinfrastruktur.

Varför Utpressning Utan Kryptering Flyttar Pressen till Dataexponering

När det inte finns någon kryptering finns det ofta ingen uppenbar driftstörning. Systemen fortsätter att köra, vilket kan göra ett intrång tystare och svårare att upptäcka. Hävstången kommer från en annan plats: hotet om att känslig data kommer att publiceras eller säljas.

Detta förändrar offrets kalkyl. Att återställa från en ren säkerhetskopia löser driftstopp, men det gör ingenting åt data som redan har lämnat nätverket. Kundregister, medarbetarinformation, kontrakt och intern kommunikation kan inte "återställas" när de väl är i någon annans händer.

Det är också därför integritet spelar roll här. Organisationer som hanterar personuppgifter möter regulatoriska, juridiska och ryktesmässiga konsekvenser av exponering oavsett om deras servrar någonsin låstes. En liknande dynamik uppstod i Revolut-datautpressningsintrånget, där krisen kom från utpressning kring data snarare än klassisk skadlig programvara på servrar.

Varför Traditionella Säkerhetskopior och Offlinekopior Inte Räcker

I åratal var standardrådet att hålla säkerhetskopior offline. Det är fortfarande klokt, men n0n-rapporten antyder att det inte längre är tillräckligt i sig självt. Några luckor är värda att förstå:

Säkerhetskopior skyddar tillgänglighet, inte konfidentialitet. En perfekt återställning avstjäl inte data.
Säkerhetskopieringssystem är nåbara. Säkerhetskopieringskonsoler, molnlagring och adminuppgifter är ofta åtkomliga från samma miljö som en inkräktare har komprometterat.
Offlinekopior kan vara föråldrade. Säkerhetskopior som är frånkopplade men sällan testade eller uppdaterade kanske inte stöder en fullständig återställning när det gäller.
Legitima verktyg döljer stöld. Data kan lämna genom vanliga molnlagringskanaler. I ett tidigare fall som involverade Vice Society missbrukade angripare OneDrive för datastöld, en påminnelse om att betrodda tjänster kan bli exfiltreringsvägar.

Slutsatsen är inte att säkerhetskopior är värdelösa. De förblir väsentliga. De är bara ett lager, och angripare är uppenbarligen medvetna om det.

Härdningssteg: Oföränderliga Säkerhetskopior, Segmentering och Övervakning

Försvarare kan minska exponeringen mot denna modell med kontroller som hanterar både förstörelse av säkerhetskopior och datastöld.

Gör säkerhetskopior oföränderliga. Använd lagring som inte kan ändras eller raderas under en bestämd retentionstid, inte ens av ett administratörskonto. Detta trubbar av en angripare som får privilegierade uppgifter.

Separera säkerhetskopieringsåtkomst från vardaglig adminåtkomst. Säkerhetskopieringssystem bör använda sina egna uppgifter, skyddade med multifaktorautentisering, och bör inte dela en inloggningsdomän med allmänna servrar där det är praktiskt.

Segmentera nätverket. Begränsa vilka system som kan kommunicera med säkerhetskopieringsinfrastruktur och med internet. Segmentering bromsar lateral rörelse och gör stora dataöverföringar lättare att upptäcka.

Kryptera data i vila. Kryptering av känslig data och säkerhetskopieringsinnehåll kan minska värdet av allt som tas.

Övervaka för exfiltrering och manipulering av säkerhetskopior. Larma vid ovanliga utgående överföringar, plötslig radering av ögonblicksbilder, ändringar av retentionpolicyer och ny användning av molnkopieringsverktyg.

Testa återställningar och öva på incidenthantering. Vet hur lång tid återställning tar och vem som fattar beslutet när ett hot om att publicera data anländer.

Vad Detta Innebär För Dig

Om du driver eller rådger ett litet eller medelstort företag är den viktigaste punkten att "vi har säkerhetskopior" inte längre är ett fullständigt svar på ransomware. Ställ en andra fråga: "Vad händer om data stjäls och säkerhetskopiorna är borta?"

Individer påverkas indirekt. När organisationer som hanterar dina personuppgifter utpressas är det din information som står på spel. Använd unika lösenord, aktivera multifaktorautentisering och var uppmärksam på nätfiske som refererar till ett intrång, eftersom utpressningskampanjer kan generera uppföljningsbedrägerier som det som beskrivs i vår bevakning av Ransom Busters-bedrägeriet som riktar sig mot offer.

Granska Dina Säkerhetskopior och Åtkomstkontroller Nu

Ransomware utan kryptering och förstörelse av säkerhetskopior belönar angripare som hittar svaga åtkomstkontroller och oskyddade säkerhetskopior. Börja den här veckan:

Lista var dina säkerhetskopior finns och vem som kan radera dem.
Aktivera oföränderlighet och separera säkerhetskopieringsuppgifter.
Kräv multifaktorautentisering på alla admin- och säkerhetskopieringskonton.
Ställ in larm för stora utgående överföringar och raderingar av säkerhetskopior.
Kör ett återställningstest och skriv ner resultatet.

Snabbhet spelar också roll. Angripare komprimerar tiden offren har att reagera, vilket förklaras i vår artikel om varför ransomware-gäng nu ger offer bara 7 dagar. Det bästa tillfället att kontrollera dina försvar är innan en deadline dyker upp i din inkorg.