Ett ransomware-landskap som inte slutar splittras

En ny ransomware-aktör dyker upp varje vecka, enligt en färsk analys från cybersäkerhetsföretaget Black Kite, rapporterar Infosecurity Magazine. Forskningen tecknar en bild av en utpressningsekonomi som inte bara växer utan fragmenteras, där nya grupper dyker upp snabbare än försvararna kan kartlägga dem.

I flera år kretsade rapporteringen kring ransomware kring en handfull dominerande namn, varumärken som nästan blev vardagsord inom säkerhetskretsar. Black Kites resultat tyder på att den modellen håller på att blekna. I stället för ett fåtal stora, igenkännbara operationer liknar landskapet nu snarare en ständigt skiftande svärm av mindre grupper, utbrytargrupper och omprofileringar. Varje ny aktör kommer med egna verktyg, förhandlingstaktiker och mållistor, vilket gör det övergripande hotet svårare att förutse och svårare att skydda sig mot med statiska blocklistor eller hotinformation från en enda leverantör.

Varför fragmentering spelar roll för vardagsintegriteten

Det är frestande att avfärda nyheter om ransomware som ett ”företagsproblem” och gå vidare, men integritetskonsekvenserna sträcker sig långt bortom de organisationer som blir utelåsta från sina egna system. Moderna ransomware-operationer stannar sällan vid kryptering. Många stjäl numera data först och hotar att publicera eller sälja den, vilket innebär att kundregister, anställdas filer, sjukdomshistorik och finansiella detaljer kan hamna i omlopp oavsett om en lösensumma betalas eller inte.

Ett fragmenterat ekosystem multiplicerar denna risk på några specifika sätt. För det första innebär fler grupper fler ingångspunkter och mer experimenterande med vilka branscher och datatyper som är mest lönsamma att attackera. För det andra har nyare, mindre aktörer ofta mindre rykte att förlora, vilket kan göra dem mer benägna att läcka stulen data som påtryckningsmedel. För det tredje förlorar försvarare som förlitar sig på att känna igen kända ransomware-”varumärken” en fördel när varumärkena i sig är engångsanvända och ständigt byts ut.

Slutresultatet är att vanliga människor, vars personliga information ligger i otaliga företags- och institutionsdatabaser, möter en stadigt växande skara aktörer som kan komma att hålla deras data. Du behöver inte vara ett direkt mål för en attack för att drabbas av en.

Patchproblemet bakom ökningen

En anledning till att nya ransomware-aktörer kan dyka upp så snabbt är att den underliggande attackytan fortsätter att expandera. Opatchade mjukvarusårbarheter är fortfarande en av de vanligaste dörrarna som ransomware-grupper tar sig in genom, oavsett om de byggt exploitet själva eller köpt tillgång från en initial access-mäklare. Omfattningen av den utmaningen visades nyligen när Microsoft patchade rekordhöga 570 buggar i en enda uppdatering, inklusive två nolldagars-sårbarheter som redan utnyttjades aktivt. Varje opatchat system som ligger efter i den uppdateringscykeln är ett potentiellt fotfäste för nästa ransomware-grupp att ta över.

Detta är en del av varför Black Kites varning spelar roll bortom den siffermässiga rubriken. Ett fragmenterat, snabbrörligt ransomware-ekosystem frodas just för att patchhantering, lösenordshygien och nätverkssegmentering halkar efter hos så många organisationer. Nya aktörer behöver inga nya tekniker när kända, opatchade sårbarheter fortsätter att fungera.

Vad detta betyder för dig

De flesta läsare kommer inte att förhandla direkt med en ransomware-liga, men dominoeffekterna är verkliga. Om en tjänst du använder, en vårdgivare, en arbetsgivare eller en onlinebutik drabbas, kan dina personuppgifter svepas med i en läcka oavsett dina egna säkerhetsvanor. Ett ransomware-landskap med ständig omsättning av nya aktörer innebär också att meddelanden om dataintrång oftare kan referera till okända gruppnamn, vilket kan göra det svårare att bedöma hur allvarlig en given incident faktiskt är.

Den praktiska reaktionen är densamma oavsett vilken specifik grupp som ligger bakom en attack: utgå från att dina data kan exponeras förr eller senare och vidta åtgärder som minskar skadan när det händer.

Praktiska åtgärder

  • Använd unika, starka lösenord för varje konto så att ett intrång hos ett företag inte sprider sig till andra.
  • Slå på flerfaktorsautentisering överallt där det erbjuds, särskilt för e-post, bank och vårdportaler.
  • Håll operativsystem och applikationer uppdaterade omgående; opatchad mjukvara är fortfarande en primär ingång för ransomware.
  • Övervaka konton och kreditupplysningar för ovanlig aktivitet, särskilt efter att en organisation du använder meddelar en incident.
  • Var skeptisk mot oväntade e-postmeddelanden eller meddelanden som refererar till kontoproblem, eftersom ransomware-kampanjer ofta börjar med phishing.

Black Kites varning om att en ny ransomware-aktör dyker upp varje vecka är en påminnelse om att detta inte är ett problem med ett målsnöre. När ransomware-ekosystemet fortsätter att fragmenteras är det att hålla sig informerad och upprätthålla grundläggande säkerhetshygien de mest pålitliga försvarsåtgärderna som individer och organisationer har tillgång till.