Ransomware har ändrat form. Medan tidiga attacker byggde på att kryptera filer och kräva betalning för en dekrypteringsnyckel, har en grupp känd som Silent Ransom Group byggt sin spelbok kring ett annat mål: att stjäla känsliga data och hota med att avslöja dem. Taktiken, ofta kallad utpressnings-only ransomware, hoppar helt över kryptering och pressar i stället offren med rädslan för offentliga läckor. Nu har gruppen tagit den strategin ett steg längre genom att placera ut falska IT-arbetare som dyker upp personligen för att få tillgång till offrens organisationer.

Från kryptering till utpressning: utvecklingen av ransomware-taktiker

Anledningen till denna förändring är praktisk. Den utbredda användningen av tillförlitliga säkerhetskopieringssystem och den växande tillgången på kostnadsfria dekrypteringsverktyg har gjort traditionell krypteringsbaserad ransomware mindre effektiv. Om ett offer helt enkelt kan återställa sina data från en säkerhetskopia finns det inget incitament att betala en lösensumma för en dekrypteringsnyckel. Utpressningsfokuserade grupper har anpassat sig genom att helt ta bort krypteringen ur ekvationen. I stället kopierar de tyst känsliga filer och hotar sedan med att släppa eller sälja dessa data om offret inte betalar.

Detta tillvägagångssätt kräver att angriparna blir kreativa när det gäller hur de får tillgång till att börja med, eftersom det inte finns någon skadlig kod som gör det tunga arbetet. Det är här social manipulation, och nu fysisk närvaro, kommer in i bilden.

Falska IT-arbetare och fysiska intrång

Enligt en varning från FBI har Silent Ransom Group, även spårad under namnen Luna Moth, Chatty Spider och UNC3753, riktat in sig på advokatbyråer med en kombination av nätfiske-e-post och utgivning av sig för att vara IT-supportpersonal. I stället för att enbart förlita sig på fjärrattacker har operatörer kopplade till gruppen enligt uppgift dykt upp personligen på utsatta kontor och utgett sig för att vara IT-tekniker för att få fysisk tillgång till nätverk och system.

Säkerhetsforskare som följer kampanjen, inklusive analytiker på Mandiant, identifierade en våg av dessa ekonomiskt motiverade datastöldoperationer mot amerikanska advokatbyråer tidigare i år. Mönstret återspeglar en bredare trend inom ransomware-ekosystemet, där hotaktörer i allt högre grad blandar digitala och fysiska taktiker för att kringgå tekniska försvar som blivit svårare att bryta sig igenom utifrån. Det ekar ett mönster som setts på andra håll i ransomware-världen, där grupper snabbt byter inriktning när en sårbarhet eller teknik visar sig effektiv, en dynamik som också syns i pågående utnyttjande av BlueHammer-sårbarheten av ransomware-gäng.

Varför advokatbyråer och integritet är i riskzonen

Advokatbyråer är attraktiva mål av precis samma skäl som gör utpressnings-only ransomware effektivt. De innehar enorma mängder konfidentiell klientinformation, från rättegångshandlingar till finansiella dokument och personuppgifter som omfattas av advokat-klientprivilegium. Ett intrång hos en byrå exponerar inte bara organisationen själv; det utsätter varje klient vars information passerar genom byrån för risken att känsliga uppgifter läcker ut eller säljs.

Användningen av falska IT-arbetare tillför ytterligare en dimension av oro. Anställda är tränade att vara vaksamma mot misstänkta e-postmeddelanden eller länkar, men långt färre organisationer har robusta protokoll för att verifiera identiteten på någon som påstår sig vara IT-support och som kommer in genom dörren. Väl inne kan en person som utger sig för att vara någon annan få direkt tillgång till arbetsstationer, servrar eller inloggningsuppgifter som annars skulle kräva en teknisk sårbarhet för att nå på distans. Denna åtkomst kan sedan användas för att tyst exfiltrera data, långt innan någon inser att något är fel.

Vad detta innebär för dig

Även om du inte arbetar på en advokatbyrå spelar denna förändring roll. Den signalerar att angripare är villiga att investera tid och ansträngning i fysisk rekognosering och identitetsutgivning när digitala försvar blir för starka. Alla organisationer som hanterar känsliga personliga eller finansiella data, inklusive vårdgivare, finansinstitut och statliga entreprenörer, kan bli framtida mål med samma spelbok.

För individer handlar slutsatsen om medvetenhet. Data du delar med vilken professionell tjänst som helst, vare sig det är en advokat, revisor eller vårdgivare, är bara så säker som den organisationens svagaste länk, vilket i allt högre grad inkluderar deras verifieringsprocess vid dörren, inte bara deras brandväggar.

Åtgärdsbara slutsatser

  • Fråga tjänsteleverantörer som hanterar dina känsliga data, som advokatbyråer eller finansiella rådgivare, om de har rutiner för identitetsverifiering vid fysiska IT-besök.
  • Var försiktig med hur mycket personlig information du delar med någon organisation, och fråga hur länge de behåller den.
  • Om du får meddelande om ett dataintrång som involverar en professionell tjänst du använder, övervaka dina konton och kreditrapporter för misstänkt aktivitet.
  • Organisationer bör utbilda personalen att verifiera identiteten på alla som påstår sig vara IT-personal, oavsett om kontakten sker via telefon, e-post eller personligen.

Silent Ransom Groups svängning mot falska IT-arbetare är en påminnelse om att ransomware-försvar inte längre bara är ett tekniskt problem. I takt med att utpressningstaktiker utvecklas måste också de mänskliga processer som är utformade för att stoppa dem göra det.