Ransomwaregäng skiftar till "områdesundertryckning" av små och medelstora företags nätverk

En ny ransomwarestrategi tar form

En färsk analys av ransomwarelandskapet beskriver en märkbar förändring i angriparnas strategi: istället för att noggrant rikta in sig på ett företag i taget försöker vissa grupper nu det som rapporten kallar "områdesundertryckning", där man komprometterar ett helt kluster av sammankopplade små och medelstora företag i en enda kampanj. Detta är en betydelsefull utveckling för hur ransomwareattacker mot leveranskedjor genomförs, och den har särskild relevans för ekonomier som bygger på hierarkiska underleverantörsrelationer. I analysen pekas Japans hierarkiska affärsstruktur ut som en särskilt attraktiv jaktmark.

Logiken bakom områdesundertryckning är okomplicerad ur angriparens perspektiv. Istället för att lägga tid och resurser på att bryta sig in i ett enda välförsvarat mål – varför inte kartlägga ett nät av mindre, sämre skyddade företag som alla ingår i samma leveranskedja och kompromettera så många som möjligt på en gång? Varje extra offer ökar chansen till en utbetalning, och underleverantörsnätverkens sammankopplade karaktär gör att en enda angreppspunkt kan öppna dörrar till dussintals under- eller överordnade partners.

Vad "områdesundertryckning" innebär för sammankopplade små och medelstora företag

I traditionella riktade ransomwarekampanjer undersöker angriparna en specifik organisation, förstår dess försvar och utformar ett intrång anpassat för just det målet. Områdesundertryckning vänder upp och ned på den modellen. Angriparna kartlägger ett affärsekosystem, identifierar de mindre företag som stödjer större huvudleverantörer, och behandlar hela nätverket som en enda attackyta.

Detta är viktigt eftersom små och medelstora företag i underleverantörskedjor ofta saknar dedikerad säkerhetspersonal, budget eller övervakningsverktyg som större företag har. Många förlitar sig på fjärråtkomstverktyg, delade autentiseringsuppgifter eller VPN-konfigurationer som sattes upp för flera år sedan och sällan granskas. I en hierarkisk affärsstruktur, där dussintals eller hundratals små leverantörer är kopplade till en handfull stora kontraktspartners, skapas exakt den typ av lågfriktionsmiljö som angripare nu optimerar för.

Hur angripare rör sig lateralt genom underleverantörsnätverk

När angriparna väl är inne i en del av ett underleverantörskluster behöver de inte uppfinna sin metod för varje nytt mål. Gemensamma leverantörsrelationer, vanlig programvara för fjärråtkomst och överlappande IT-supportarrangemang innebär att autentiseringsuppgifter eller fotfästen som erhållits hos ett företag ofta kan återanvändas eller anpassas för att nå nästa. Ett komprometterat VPN-konto, en exponerad fjärrskrivbordstjänst eller en betrodd nätverksförbindelse mellan en underleverantör och dess moderföretag kan alla fungera som växlingspunkter.

Denna laterala rörelse är den väv som förvandlar ett enstaka intrång till en kaskad. Att förstå hur detta fortskrider från första tillträde till fullständig kompromettering blir lättare om man betraktar ransomwareattackens livscykel som helhet. Förklaringen av dubbelutpressning bryter ned hur angripare vanligtvis rör sig från första fotfästet till datastöld och kryptering – ett händelseförlopp som blir betydligt mer skadegörande när det utspelas över flera anslutna företag i stället för bara ett.

Var dubbelutpressning och EDR-undvikande passar in i kaskadattacker

Angreppskampanjer som bygger på områdesundertryckning överger inte de metoder som har gjort ransomware så lönsamt på senare år. Dubbelutpressning, där angripare stjäl data innan de krypterar den och hotar att läcka den om lösen inte betalas, används fortfarande och blir förmodligen ännu mer slagkraftigt när flera företag i samma leveranskedja drabbas samtidigt. En läcka som involverar flera sammanlänkade verksamheter kan skapa tryck inte bara på de enskilda offren, utan också på de större huvudleverantörerna vars rykte och kontrakt är beroende av att deras partners är säkra.

Moderna ransomwareoperationer förlitar sig också i allt högre grad på tekniker utformade för att inaktivera eller förblinda verktyg för endpoint detection and response (EDR) innan de distribuerar sin slutliga last. Som förklaras i texten om EDR-dödande ramverk för ransomware har angripare börjat inrikta sig på att stänga av säkerhetsverktyg som ett beräknat första steg i stället för att tävla mot dem. I ett scenario med områdesundertryckning blir detta undvikandesteg ännu mer värdefullt, eftersom det låter angripare röra sig genom flera svagt övervakade små och medelstora företags nätverk med lägre risk för tidig upptäckt.

Vad detta innebär för dig

Om din verksamhet är en del av en leveranskedja, antingen som underleverantör, säljare eller huvudleverantör, är du nu en nod i ett nätverk som angripare aktivt kartlägger. Styrkan i ditt eget försvar skyddar inte längre bara dig själv. Den påverkar varje partner som är kopplad till dig. En enda opatchad VPN-gateway eller återanvänd fjärråtkomstuppgift kan bli ingångspunkten för en kaskadattack som sprider sig långt bortom dina egna system.

Detta är särskilt relevant för ägare av små och medelstora företag som kanske antar att deras företag är "för litet för att vara ett mål". Under en modell med områdesundertryckning är litenhet inte ett skydd. Det är ofta anledningen till att du valdes ut.

Praktiska försvar som små och medelstora företagsägare bör införa nu

Några konkreta åtgärder kan i hög grad minska exponeringen mot ransomwareattacker mot leveranskedjor:

• Granska varje fjärråtkomstpunkt, inklusive VPN, RDP och tredjepartsverktyg för support, och ta bort eller uppdatera allt som är föråldrat.
• Kräv multifaktorautentisering för alla fjärråtkomst- och administratörskonton, särskilt sådana som delas med säljare eller entreprenörer.
• Segmentera nätverk så att ett intrång hos en underleverantör inte automatiskt ger en väg in i partners organisationer.
• Upprätthåll offlinekopior, testade säkerhetskopior så att enbart kryptering inte kan tvinga fram ett lösensummesbeslut.
• Fråga dina affärspartners och huvudleverantörer om deras egna säkerhetsrutiner, eftersom din risk nu är kopplad till deras.

Ransomwaregrupper har visat att de är villiga att industrialisera sin strategi och behandla hela affärsekosystem som ett enda mål snarare än att plocka företag ett och ett. Att förstå den förskjutningen och vidta de grundläggande försvarsåtgärder som beskrivs ovan är det tydligaste sättet för små och medelstora företag att undvika att bli den svaga länken som fäller en hel leveranskedja.