Нове дослідження, яке вивчає технічну інфраструктуру кількох великих програм-вимагачів, зокрема INC Ransom, Lynx, MedusaLocker та активності, пов'язаної з LockBit, виявило, що попри роботу під різними брендами, ці угруповання покладаються на разюче схожі схеми атак. Ця послідовність важлива для кожного, хто намагається зрозуміти програми-вимагачі, адже вона означає, що інструменти й тактики, які захисники використовують для викриття однієї банди, часто працюють проти кількох інших одночасно.

Спільна інфраструктура за різними брендами програм-вимагачів

Про програми-вимагачі часто пишуть так, ніби кожне назване угруповання — це цілком окреме кримінальне підприємство з власною унікальною стратегією. Реальність, розкрита цим дослідженням, є заплутанішою і, певною мірою, кориснішою для захисту. Відстежуючи інфраструктуру, тобто сервери, канали командування й управління та системи підготовки, що використовуються в атаках, пов'язаних з INC Ransom, Lynx, MedusaLocker і LockBit, дослідники виявили повторювані технічні відбитки в нібито не пов'язаних між собою кампаніях.

Цей збіг відображає ширшу тенденцію, вже помітну в інших частинах екосистеми програм-вимагачів. Як зазначено в матеріалі про те, як угруповання програм-вимагачів досягли рекордних 93 активних команд, кримінальне підпілля роздробилося на велику кількість названих операцій, навіть коли ключові техніки, а в деяких випадках і сама інфраструктура, повторно використовуються або передаються спільно. Афіліати програм-вимагачів як послуги часто переходять між брендами, а злиті або перепродані набори інструментів означають, що різні «угруповання» можуть виглядати дуже схоже під капотом.

Спочатку викрасти, потім зашифрувати: стандарт подвійного вимагання

Одна з найчіткіших закономірностей, виявлених дослідженням, — це часова послідовність. Перш ніж заблокувати системи жертви, більшість досліджених операцій програм-вимагачів тихо викрадають конфіденційні дані. Шифрування — та частина атаки, яку помічають, бо системи раптово перестають працювати, — часто є останнім кроком, а не першим.

Ця послідовність є основою подвійного вимагання: зловмисники тихо викрадають дані, потім шифрують файли, а далі погрожують публічно оприлюднити викрадені дані, якщо викуп не буде сплачено. Це дає жертвам дві окремі причини заплатити й дає зловмисникам важіль тиску, навіть якщо компанія може відновити свої системи з резервних копій без оплати ключа для розшифрування. Ця тактика стала настільки стандартною, що її відсутність тепер була б радше винятком, ніж правилом, і це збігається з окремими висновками про те, як тактики вимагання змінюються, коли викупи сягають рекордно низьких рівнів, штовхаючи угруповання до жорсткіших методів тиску, коли жертви відмовляються платити.

Чому раннє виявлення тепер є найкращим захистом

Оскільки крадіжка даних зазвичай відбувається задовго до шифрування, часто існує вікно — іноді дні або тижні, — коли компрометація вже триває, але ще не перетворилася на повномасштабну кризу. Інфраструктурні закономірності, виявлені в цьому дослідженні, дають захисникам спосіб помітити це вікно: повторювана поведінка командування й управління, техніки підготовки та мережеві сигнатури, які з'являються в активності, пов'язаній з INC Ransom, Lynx, MedusaLocker і LockBit.

Це важливо, тому що початковий злам дедалі частіше стає найслабшою ланкою, яку використовують зловмисники. Окреме дослідження, висвітлене на цьому сайті, виявило, що 79% інцидентів із програмами-вимагачами починаються з викрадених облікових даних, а не з витончених експлойтів. Поєднайте це з інфраструктурою, яка поводиться передбачувано, щойно зловмисники опиняються всередині, і складається чіткіша картина: більшість атак програм-вимагачів — це не непереборні шедеври нульового дня. Вони покладаються на викрадений доступ і повторно використані інструменти, і обидва залишають виявні сліди, якщо організації знають, на що звертати увагу.

Що це означає для вас

Для пересічних користувачів це дослідження є нагадуванням, що програми-вимагачі рідко з'являються нізвідки. Зазвичай вони йдуть за викраденим паролем, фішинговим листом або відкритою точкою віддаленого доступу, і зазвичай викрадають дані задовго до того, як щось буде заблоковано або з'явиться записка про викуп. Для бізнесу та ІТ-команд висновок пряміший: моніторинг інфраструктурних закономірностей, спільних для основних сімейств програм-вимагачів, може виявити вторгнення на етапі крадіжки даних, перш ніж станеться шифрування.

Для окремих осіб практичний захист залишається тим самим, що й завжди: унікальні паролі, багатофакторна автентифікація та обережність щодо несподіваних запитів на вхід або запитів облікових даних. Угруповання програм-вимагачів залежать від викраденого доступу, щоб потрапити всередину, тож закриття цієї точки доступу усуває значну частину їхньої переваги ще до того, як у гру вступлять складніші інфраструктурні тактики.

Ключові висновки

  • Угруповання програм-вимагачів із різними назвами часто поділяють спільну інфраструктуру й тактики, а отже, інструменти виявлення, створені для однієї банди, часто застосовні й до інших.
  • Крадіжка даних зазвичай відбувається до шифрування, створюючи вікно виявлення, у якому захисники можуть діяти.
  • Викрадені облікові дані залишаються однією з головних точок входу, що робить гігієну паролів і багатофакторну автентифікацію одними з найефективніших доступних засобів захисту.
  • Організаціям слід надавати пріоритет моніторингу ранніх ознак вторгнення, а не лише фінальної, найпомітнішої стадії програм-вимагачів.

Розуміння того, як насправді працює інфраструктура програм-вимагачів, замість ставлення до кожної атаки як до ізольованої події, дає і окремим особам, і організаціям чіткіший шлях до виявлення загроз, перш ніж вони загостряться. Залишатися поінформованим про ці спільні закономірності — один із найпростіших способів бути на крок попереду.