Атака програм-вимагачів, яка сама себе звела нанівець

Дослідники безпеки з Huntress задокументували випадок, коли афіліат програм-вимагачів Akira випадково саботував власну атаку, намагаючись вимкнути інструменти виявлення та реагування на кінцевих точках (EDR) у цільовій мережі. Замість того щоб непомітно прослизнути повз захист, спроба зловмисника ухилитися від виявлення призвела до аварійного завершення процесу шифрування самого вимагача, через що заплановане корисне навантаження залишилося незавершеним.

Це не перший випадок, коли афіліат Akira підриває власну операцію, намагаючись обійти захист EDR. В окремому інциденті, про який ми писали раніше, афіліат перезавантажив скомпрометовану Windows-машину в безпечний режим із мережею саме для того, щоб позбутися захисту кінцевих точок перед розгортанням програми-вимагача. Цей крок також обернувся проти зловмисників, порушивши роботу саме тих систем, які були їм потрібні для завершення процесу шифрування. Разом ці інциденти вказують на закономірність: афіліати Akira агресивно експериментують із методами протидії EDR, і ці методи на практиці виявляються крихкими.

Чому втручання в EDR постійно дає зворотний ефект

ПЗ EDR створене для глибокої інтеграції в операційну систему, воно в реальному часі відстежує процеси, файлову активність і системні виклики. Саме ця глибока інтеграція робить його цінним для захисників, і саме тому втручання в нього є технічно ризикованим для зловмисників. Коли оператори програм-вимагачів намагаються завершити процеси EDR, вимкнути драйвери або примусово перевести систему в спрощений стан, щоб уникнути виявлення, вони діють на незнайомій території в чужій мережі. Один-єдиний хибний крок, відсутня залежність, драйвер, який не вивантажується коректно, або процес, що несподівано завершується, можуть обрушити саме те корисне навантаження, яке зловмисник намагається розгорнути.

Документація цього інциденту від Huntress доповнює дедалі більше свідчень того, що інструменти для обходу EDR, хоча й становлять реальну й активну загрозу, не є безвідмовними й для самого зловмисника. Це кастомні або напівкастомні інструменти, створені нашвидкуруч і розгорнуті в умовах браку часу під час активного вторгнення. У таких умовах майже немає місця для тестування, і навіть невеликі помилки можуть мати непропорційно серйозні наслідки для операції зловмисника.

Що це означає для приватності та захисту даних

Хоча цей інцидент є технічною перемогою для залучених захисників, варто чітко розуміти, що він означає, а що ні для приватності. Аварійне завершення шифрувального навантаження не обов'язково означає, що зловмисник ніколи не отримував доступу до конфіденційних даних. Багато операцій програм-вимагачів, зокрема операція Akira, яка націлювалася на найрізноманітніші галузі та компанії різного розміру, тепер використовують модель подвійного вимагання. Дані часто викрадають ще до того, як взагалі починається спроба шифрування, тобто невдалий етап шифрування не запобігає автоматично витоку персональної чи бізнес-інформації або її подальшому використанню для вимагання.

Це важливо для всіх, хто розглядає цю історію крізь призму приватності. Організації, які зазнали частково невдалої атаки програм-вимагачів, усе одно повинні ставитися до інциденту як до потенційної події витоку даних, а не як до випадку, коли «куля пролетіла повз». Обов'язки щодо повідомлення, криміналістичне розслідування та моніторинг витоку даних не слід пропускати лише тому, що видимий симптом — зашифрована мережа — так і не проявився повністю.

Цей інцидент також вписується в ширший ландшафт програм-вимагачів, де угруповання постійно вдосконалюють тактику. Нещодавні галузеві спостереження показали, що Akira залишається серед найактивніших операцій програм-вимагачів поряд з іншими відомими іменами, підкреслюючи, що афіліати перебувають під тиском: їм доводиться діяти швидко й випробовувати нові методи ухилення, іноді ціною надійності.

Що це означає для вас

Для ІТ-команд і команд безпеки урок полягає не в самозаспокоєнні. Він підтверджує, що стійкі до втручання конфігурації EDR і багаторівневий моніторинг справді підвищують для зловмисників вартість атаки та ризик невдачі. Навіть частково зіпсоване вторгнення все одно може призвести до викрадення даних, тому плани реагування на інциденти мають виходити з того, що ексфільтрація відбулася, якщо немає доказів протилежного. Для звичайних користувачів і невеликих організацій без окремих команд безпеки висновок простіший: оновлюйте засоби захисту кінцевих точок, не вимикайте захисне ПЗ навіть тимчасово та ставтеся до будь-яких ознак несанкціонованих змін у системі, зокрема несподіваних перезавантажень або запитів щодо безпечного режиму, як до тривожного сигналу, який варто негайно перевірити.

Практичні висновки

  • Не припускайте, що невдале або незавершене шифрування програмою-вимагачем означає, що дані не були викрадені; незалежно від результату перевіряйте можливу ексфільтрацію.
  • Підтримуйте EDR та інструменти захисту кінцевих точок оновленими й налаштованими з увімкненим захистом від втручання, де це можливо.
  • Звертайте увагу на незвичну поведінку системи, як-от несподівані перезавантаження в безпечний режим, які афіліати Akira використовували як тактику обходу EDR.
  • Регулярно переглядайте плани резервного копіювання та відновлення, оскільки спроби програм-вимагачів, успішні чи ні, часто свідчать про ширше компрометування мережі.

Такі спроби обходу EDR з боку програми-вимагача Akira, як ця, показують, що зловмисники все ще вдосконалюють свій арсенал і що навіть досвідчені угруповання можуть спіткнутися об власні інструменти. Зберігати пильність, а не вважати, що «майже промах» — це повний промах, залишається найбезпечнішим підходом для захисників.