Spirals ransomware krypterar nätverk på under 24 timmar

En ny ransomwarestam byggd för snabbhet

Säkerhetsforskare har identifierat en ny ransomwarevariant vid namn Spirals som kan kryptera ett helt offers nätverk på under 24 timmar, en tidsram som är mycket snabbare än vad många etablerade ransomwarefamiljer vanligtvis kräver. Snabbheten beror på en teknik som kallas intermittent kryptering, vilken skadeprogrammet tillämpar på alla filer större än 5 MB. Istället för att kryptera varje byte i en stor fil, krypterar Spirals endast delar av den, vilket dramatiskt minskar bearbetningstiden samtidigt som data fortfarande blir oanvändbara utan en dekrypteringsnyckel.

Denna effektivitet spelar roll eftersom ransomwareoperatörer länge har ställts inför en avvägning: ju längre tid en attack tar för att helt kryptera ett nätverk, desto fler chanser har försvarare att upptäcka ovanlig aktivitet och stänga ner den innan verklig skada uppstår. Genom att pressa in det fönstret på en enda dag ger Spirals säkerhetsteam betydligt mindre tid att reagera när skadeprogrammet väl aktiveras inuti en komprometterad miljö.

Så här utvecklas attacken

När Spirals har krypterat filer på ett komprometterat system släpper den en lösensummanotering vid namn RECOVERY_SECTION.log direkt på offrets C:\-enhet. Noteringen innehåller instruktioner för att förhandla om betalning med angriparna. Som många moderna ransomwareoperationer följer Spirals en dubbel utpressningsmodell: utöver att låsa filer påstår sig gruppen bakom den redan ha stulit känslig data innan krypteringen påbörjades.

Offren ges en strikt tidsfrist på sex dagar att betala innan angriparna hotar att offentliggöra den stulna informationen. Denna taktik har blivit standard inom ransomware-ekosystemet just för att den fungerar. Även organisationer som har robusta säkerhetskopior och kan återställa krypterade filer utan att betala en lösensumma utsätts för press från hotet att kundregister, personaluppgifter eller proprietär information ska dyka upp på en läckagesajt på dark web. Detta mönster påminner om vad som hände i Genesis ransomwareattack mot United Personal, där en bemanningsbyrå stod inför risken att hundratals gigabyte data skulle exponeras tillsammans med själva krypteringen.

Varför snabbare kryptering höjer insatserna för alla

Det komprimerade attackfönstret som Spirals introducerar får verkliga konsekvenser bortom den omedelbart drabbade organisationen. Ransomwareincidenter innebär i allt högre grad stöld av personuppgifter som tillhör kunder, patienter eller anställda som inte har någon direkt roll i en organisations säkerhetshållning men som bär den efterföljande risken när dessa uppgifter exponeras. Sjukvårdssystem har i synnerhet varit frekventa måltavlor, vilket kan ses i incidenter som iRhythm ransomwareintrånget som exponerade hjärtpatientdata. När kryptering sker på timmar i stället för dagar har säkerhetsteam mindre möjlighet att isolera drabbade system innan angriparna slutför både krypteringen och datastölden som underblåser utpressningshotet.

För vanliga internetanvändare skiljer sig det praktiska resultatet av en ransomwareattack sällan beroende på hur snabbt skadeprogrammet krypterade filer. Det som spelar störst roll är vad som händer med eventuella personuppgifter som fångas upp i intrånget. Som vi redogör för i vår genomgång av vad som händer med dina data efter ett intrång cirkulerar stulen information ofta långt bortom den ursprungliga läckageplatsen, där den köps, säljs och paketeras om för nätfiskekampanjer, identitetsstöld och attacker med stulna inloggningsuppgifter långt efter att rubrikerna har försvunnit.

Vad detta innebär för dig

Om du är en enskild konsument är Spirals i sig inget du behöver försvara dig direkt mot. Denna ransomware riktar sig mot organisationsnätverk, inte personliga enheter. Den bredare trend den representerar (snabbare, effektivare attacker med kortare utpressningsfrister) innebär dock att meddelanden om dataintrång sannolikt kommer att fortsätta komma med mindre förvarning och potentiellt större omfattning. Om ett företag du gör affärer med, eller en arbetsgivare, avslöjar en Spirals-relaterad incident, ta det på allvar och agera snabbt i stället för att vänta och se om dina data dyker upp någonstans.

För IT- och säkerhetsteam komprimerar sexdagarsfristen för exponering även tidslinjen för incidenthantering. Upptäckt och inneslutning måste ske snabbt, eftersom traditionella responsfönster mätt i dagar kanske inte längre räcker till när själva krypteringen är klar på under 24 timmar.

Praktiska råd

Om du får ett meddelande om dataintrång som hänvisar till Spirals eller en liknande snabbverkande ransomwarestam, byt lösenord omedelbart för alla drabbade konton och aktivera flerfaktorsautentisering där det erbjuds. Övervaka dina kontoutdrag och kreditupplysningar för ovanlig aktivitet under veckorna efter ett meddelande, eftersom stulna data från dessa attacker ofta inte dyker upp öppet på webben omedelbart. Överväg att lägga in en bedrägerivarning eller kreditspärr om intrånget omfattade känsliga identifierare som personnummer eller medicinska journaler. Organisationer bör prioritera nätverkssegmentering och snabba detekteringsverktyg, eftersom hastigheten i attacker som Spirals ger liten marginal för långsam incidenthantering. Att hålla sig informerad om vilka företag och plattformar du använder som har rapporterat incidenter är fortfarande ett av de enklaste sätten att skydda sig innan problemen eskalerar.