I åratal var den typiska bilden av lösenprogram den av krypterade filer och en lösensumma på skärmen. En ny taktik som beskrivs av PortalGeek ändrar det manuset: lösenprogram utan kryptering living off the land blockerar företagsnätverk utan att kryptera en enda fil, genom att utnyttja organisationens egna verktyg. Resultatet är fortfarande detsamma, ett företag som står stilla, men vägen dit är svårare att upptäcka.

Den här artikeln förklarar hur det fungerar, varför det är så svårfångat och vad både företag och personer som arbetar hemifrån bör se över.

Hur lösenprogram utan kryptering fungerar

Enligt den publicerade informationen paralyserar denna taktik driften i ett företagsnätverk utan att ta till filkryptering, vilket är vad många försvar brukar övervaka. Istället för att distribuera ett mycket synligt skadligt program utnyttjar angriparen verktyg som redan finns i miljön: administrationsverktyg som PowerShell och programvara för fjärråtkomst.

Detta tillvägagångssätt kallas "living off the land" (leva av terrängen): intränglingen använder det som redan är installerat. Utan att kryptera data kan den avbryta tjänster, blockera åtkomst eller göra system oanvändbara, och påverkan på affärskontinuiteten är lika allvarlig. För ett företag är oförmågan att driva verksamhet det centrala problemet, oavsett om filerna är krypterade eller inte.

Varför legitima verktyg gör det svårare att upptäcka

Nyckeln är att inget av det angriparen kör verkar konstigt vid första anblicken. PowerShell används dagligen av systemadministratörer, och programvara för fjärråtkomst är en vanlig del av teknisk support. Om en angripare med giltiga inloggningsuppgifter startar samma verktyg kan aktiviteten förväxlas med rutinarbete.

Detta har flera praktiska konsekvenser:

  • Färre klassiska signaler. Ett antivirusprogram som letar efter kända skadliga filer har lite att blockera när legitima program används.
  • Fokus flyttas till inloggningsuppgifterna. Om åtkomsten är giltig är frågan inte längre "vilken programvara är detta?", utan "vem använder den och varifrån?".
  • Beteende blir viktigare. Att upptäcka ovanlig användning av ett verktyg (vid en udda tidpunkt, från en oväntad dator) blir mer användbart än att upptäcka en specifik fil.

Det är inte ett hot som löses med en enda produkt. Det kräver lager: åtkomstkontroll, synlighet och återställningsförmåga.

Vad det innebär för distansarbete och hemmnätverk

Ett företagsnätverk slutar inte på kontoret. Varje bärbar dator som ansluts hemifrån, varje verktyg för fjärråtkomst och varje återanvänt lösenord utökar ytan genom vilken en angripare kan ta sig in. Om metoden bygger på att använda legitima åtkomster blir inloggningsuppgifterna för dem som arbetar på distans en särskilt värdefull dörr.

I praktiken påverkar säkerheten i hemmnätverket företagets:

  • En router med fabrikslösenord eller utan uppdaterad firmware är en svag punkt.
  • Ett lösenord som upprepas mellan personliga och företagstjänster gör det lättare för ett externt läckage att till slut påverka arbetet.
  • Ett installerat och bortglömt program för fjärråtkomst, eller utan förstärkt autentisering, erbjuder en direkt väg till datorn.

Det allmänna sammanhanget spelar också roll. Som vi tog upp i vår analys om ökningen av ransomware-offer i Spanien och datastöld med AI, fortsätter hotet att växa och drabbar både organisationer och de personer som är anslutna till dem.

Praktiska åtgärder: MFA, minsta behörighet, övervakning och säkerhetskopior

Ingen av dessa åtgärder är ny, men tillsammans minskar de kraftigt handlingsutrymmet för den som försöker missbruka legitima verktyg.

  1. Multifaktorautentisering (MFA). Aktivera det för e-post, företagets VPN, fjärrskrivbord och alla administrationspaneler. Om ett lösenord läcker tillför MFA ett viktigt hinder.
  2. Minsta behörighet. Varje konto bör bara ha de behörigheter det behöver. Om en vanlig användare inte behöver köra PowerShell med utökade rättigheter är det bättre att begränsa det.
  3. Kontroll av programvara för fjärråtkomst. Håll en inventering av vilka verktyg som är tillåtna och ta bort dem som inte används.
  4. Beteendeövervakning. Logga och granska aktiviteten i administrativa verktyg, och definiera larm vid ovanlig användning.
  5. Isolerade och testade säkerhetskopior. Spara kopior separerade från huvudnätverket och kontrollera att de kan återställas. Om det som blockeras är system, inte bara filer, är det också bra att ha en dokumenterad återställningsplan.
  6. Hemmahygien. Byt routerns inloggningsuppgifter, uppdatera dess firmware, använd unika lösenord med en lösenordshanterare och håll operativsystemet uppdaterat.

Slutsats: granska din konfiguration innan en angripare gör det

Lösenprogram utan kryptering living off the land påminner om att faran inte alltid kommer i form av en misstänkt fil. Ibland kommer den med ett giltigt konto och verktyg som redan finns på din dator. Därför handlar försvaret om att skydda inloggningsuppgifter, begränsa behörigheter, övervaka beteende och säkerställa att du kan återhämta dig.

Ägna några minuter den här veckan åt att granska din distansarbetskonfiguration: har du MFA aktiverat på dina viktigaste konton? Har du bytt administratörslösenordet till din router? Är dina säkerhetskopior isolerade och har du testat dem? För att bättre förstå problemets omfattning kan du läsa vår artikel om ransomware-trender i Spanien.