Ny forskning som granskar den tekniska infrastrukturen bakom flera stora ransomware-operationer, inklusive INC Ransom, Lynx, MedusaLocker och LockBit-relaterad aktivitet, har funnit att dessa grupper trots att de verkar under olika varumärken förlitar sig på slående liknande attackmönster. Denna konsekvens är viktig för alla som försöker förstå ransomware, eftersom det innebär att de verktyg och taktiker som försvarare använder för att fånga ett gäng ofta fungerar mot flera andra samtidigt.

Delad infrastruktur bakom olika ransomware-varumärken

Ransomware rapporteras ofta som om varje namngiven grupp är ett helt separat kriminellt företag med sin egen unika spelbok. Verkligheten som denna forskning avslöjar är rörigare och på vissa sätt mer användbar för försvar. Genom att spåra infrastrukturen, det vill säga de servrar, kommando- och kontrollkanaler samt stegningssystem som används i attacker kopplade till INC Ransom, Lynx, MedusaLocker och LockBit, fann forskare återkommande tekniska fingeravtryck över förmodat orelaterade kampanjer.

Denna överlappning speglar en bredare trend som redan är synlig på andra håll i ransomware-ekosystemet. Som det rapporteras om i bevakningen av hur ransomware-grupper nådde rekordhöga 93 aktiva grupper, har den kriminella underjorden fragmenterats till ett stort antal namngivna operationer samtidigt som kärntekniker, och i vissa fall faktisk infrastruktur, återanvänds eller delas. Ransomware-as-a-service-affiliater rör sig ofta mellan varumärken, och läckta eller återförsålda verktygslådor innebär att olika "grupper" kan se väldigt lika ut under huven.

Stjäl först, kryptera sedan: Dubbel utpressning som standard

Ett av de tydligaste mönstren som framträder i forskningen är timing. Innan de ens låser en victims system, exfiltrerar de flesta ransomware-operationer som studerats tyst känsliga data först. Kryptering, den del av attacken som uppmärksammas eftersom system plötsligt slutar fungera, är ofta det sista steget snarare än det första.

Denna sekvensering är ryggraden i dubbel utpressning: angripare stjäl data tyst, krypterar sedan filer och hotar därefter att offentliggöra den stulna datan om lösen summan inte betalas. Det ger offer två separata skäl att betala och ger angripare hävstång även om ett företag kan återställa sina system från säkerhetskopior utan att betala för en dekrypteringsnyckel. Denna taktik har blivit så standard att dess frånvaro nu skulle vara undantaget snarare än regeln, och den stämmer överens med separata fynd om hur utpressningstaktiker förändras i takt med att lösenbetalningar når rekordlåga nivåer, vilket driver grupper mot hårdare påtryckningstaktiker när offer vägrar betala.

Varför tidig upptäckt nu är det bästa försvaret

Eftersom datastöld vanligtvis sker långt före kryptering finns det ofta ett fönster, ibland dagar eller veckor, där en kompromiss pågår men ännu inte har förvandlats till en fullskalig kris. De infrastrukturmönster som identifierats i denna forskning ger försvarare ett sätt att upptäcka det fönstret: återkommande kommando- och kontrollbeteende, stegningstekniker och nätverkssignaturer som dyker upp i INC Ransom, Lynx, MedusaLocker och LockBit-länkad aktivitet.

Detta är viktigt eftersom det initiala intrånget i allt högre grad är den svagaste länken som angripare utnyttjar. Separat forskning som bevakats på denna sida fann att 79 % av ransomware-incidenter börjar med stulna inloggningsuppgifter snarare än sofistikerade exploits. Kombinera det med infrastruktur som beter sig förutsägbart när angripare väl är inne, och en tydligare bild formas: de flesta ransomware-attacker är inte ohejdbara zero-day-mästerverk. De förlitar sig på stulen åtkomst och återanvända verktyg, vilka båda lämnar detekterbara spår om organisationer vet vad de ska leta efter.

Vad detta innebär för dig

För vardagliga användare är denna forskning en påminnelse om att ransomware sällan dyker upp från ingenstans. Det följer vanligtvis ett stulet lösenord, ett nätfiskemejl eller en exponerad fjärråtkomstpunkt, och det stjäl vanligtvis data långt innan något låses eller en lösensumma dyker upp. För företag och IT-team är slutsatsen mer direkt: övervakning av de infrastrukturmönster som delas mellan stora ransomware-familjer kan fånga ett intrång under datastöldfasen, innan kryptering ens sker.

För individer är det praktiska försvaret detsamma som det alltid har varit: unika lösenord, multi-faktor-autentisering och försiktighet kring oväntade inloggningsuppmaningar eller förfrågningar om inloggningsuppgifter. Ransomware-grupper är beroende av stulen åtkomst för att komma in genom dörren, så att stänga av den åtkomstpunkten tar bort mycket av deras fördel innan de mer avancerade infrastrukturtaktikerna ens kommer in i bilden.

Viktiga slutsatser

  • Ransomware-grupper med olika namn delar ofta underliggande infrastruktur och taktiker, vilket innebär att detekteringsverktyg byggda för ett gäng ofta gäller för andra.
  • Datastöld sker vanligtvis före kryptering, vilket skapar ett detekteringsfönster som försvarare kan agera på.
  • Stulna inloggningsuppgifter är fortfarande en av de främsta ingångspunkterna, vilket gör lösenordshygien och multi-faktor-autentisering till några av de mest effektiva försvar som finns tillgängliga.
  • Organisationer bör prioritera övervakning av tidiga tecken på intrång, inte bara ransomwarens sista, mest synliga fas.

Att förstå hur ransomware-infrastruktur faktiskt fungerar, snarare än att behandla varje attack som en isolerad händelse, ger både individer och organisationer en tydligare väg att fånga hot innan de eskalerar. Att hålla sig informerad om dessa delade mönster är ett av de enklaste sätten att ligga steget före.