Угруповання програм-вимагачів, яке називає себе WhiteArmor, заявило, що викрало дані з логістичної компанії Ryder. Ця заява не підтверджена, і у вихідному звіті наведено мало конкретних деталей. Попри це, інцидент є корисним прикладом того, як працює крадіжка облікових даних за допомогою інфосталерів у схемах програм-вимагачів, і того, що звичайні користувачі можуть зробити, щоб не стати першою ланкою в подібному ланцюжку.

Що WhiteArmor заявляє про Ryder

Згідно зі звітом про кіберзагрози від Quasar Cybertech, WhiteArmor стверджує, що викрало дані з Ryder. Доступний текст звіту обмежений, і він не підтверджує, які саме дані могли бути викрадені, в якому обсязі або як угруповання отримало доступ. У вихідних матеріалах не показано, що Ryder підтвердила цю заяву.

Ця різниця важлива. Угруповання програм-вимагачів і здирництва іноді публікують заяви, які виявляються перебільшеними, а іноді — точними. Доки компанія або незалежна сторона не підтвердить деталі, правильною позицією є обережність, а не паніка.

На чому звіт наголошує, то це на оборонному висновку. Він описує інцидент як нагадування про ризики, які становлять кампанії програм-вимагачів, що спираються на інфосталери, і радить командам безпеки відстежувати спроби несанкціонованого доступу, що походять від скомпрометованих облікових даних. Він також рекомендує переглянути плани реагування на інциденти, щоб організації були готові до потенційного здирництва.

Як інфосталери живлять здирництво через програми-вимагачі

Інфосталер — це тип шкідливого програмного забезпечення, створений для тихого вилучення конфіденційної інформації з інфікованого пристрою. Це може включати збережені паролі, дані браузера та інший матеріал для входу. Зазвичай він не оголошує про себе так, як деструктивне шкідливе ПЗ, і частково саме тому може залишатися непоміченим протягом тривалого часу.

Зв'язок зі здирництвом є прямим. Викрадені облікові дані можна збирати, продавати або повторно використовувати. Атакуючому, який має дійсні дані для входу в корпоративну систему, може не знадобитися зламувати її силою; він може просто увійти. Звідти дані можна скопіювати, і після цього угруповання може погрожувати опублікувати їх, якщо не буде сплачено. Саме на цю схему вказує звіт, коли згадує кампанії програм-вимагачів, що спираються на інфосталери.

Два моменти варто відзначити для неспеціалістів:

  • Перша компрометація часто відбувається через один звичайний пристрій, наприклад, ноутбук співробітника або персональний комп'ютер, який використовується для роботи.
  • Облікові дані, що виглядають легітимними, важко відрізнити від справжніх входів, тому моніторинг має зосереджуватися на незвичайних закономірностях, таких як доступ із неочікуваних місць або в дивний час.

Що це означає для вас

Якщо ви є клієнтом, співробітником або партнером Ryder, у вихідному матеріалі немає підтвердженої інформації про те, що було викрадено, тому робити висновки ще зарано. Розумні кроки — стежити за офіційними повідомленнями компанії та ставитися зі скепсисом до небажаних електронних листів, дзвінків або текстових повідомлень, які згадують Ryder, відправлення або проблеми з обліковим записом. Кампанії здирництва та подальший фішинг іноді спираються на розголос навколо заявленого зламу.

Якщо ви маєте обліковий запис у будь-якій компанії, названій у непідтвердженій заяві, вам не потрібно панікувати, але розумно:

  • Змінити пароль на цьому обліковому записі, якщо ви використовували його деінде.
  • Увімкнути багатофакторну автентифікацію, якщо вона доступна.
  • Переглянути нещодавню активність входу на предмет чогось незнайомого.

Для співробітників і адміністраторів порада зі звіту застосовна безпосередньо: відстежуйте спроби несанкціонованого доступу, що використовують відомі скомпрометовані облікові дані, і переконайтеся, що ваш план реагування на інциденти охоплює дії на випадок надходження вимоги про викуп.

Як захистити особисті облікові записи від крадіжки облікових даних

Ви не можете контролювати, як велика компанія захищає свої системи, але ви можете зменшити цінність усього, що інфосталер може викрасти з ваших власних пристроїв.

Використовуйте унікальний пароль для кожного облікового запису. Повторне використання — це те, що перетворює один викрадений логін на багато. Менеджер паролів робить це практичним.

Увімкніть багатофакторну автентифікацію. Навіть коли пароль викрадено, другий фактор може заблокувати вхід. Де можливо, надавайте перевагу методам на основі застосунків або апаратним методам над текстовими повідомленнями.

Тримайте пристрої та програмне забезпечення оновленими. Оновлення операційної системи, браузера та програм безпеки закривають діри, на які покладається шкідливе ПЗ.

Будьте обережні з тим, що ви встановлюєте й на що натискаєте. Інфосталери зазвичай потрапляють через шкідливі завантаження, підроблене програмне забезпечення та фішингові посилання. Дотримуйтеся офіційних джерел.

Уникайте збереження конфіденційних логінів у місцях, де це не потрібно. Паролі, збережені в браузері, є поширеною ціллю, тому розгляньте спеціалізований менеджер паролів із надійним майстер-паролем.

Якщо ви підозрюєте зараження, від'єднайтеся від мережі, запустіть перевірку надійним антивірусом і змініть свої паролі з чистого пристрою.

Головний висновок

Заява WhiteArmor про Ryder залишається непідтвердженою, а деталі — мізерними. Що є зрозумілим, то це ширший урок: крадіжка облікових даних інфосталерами в схемах програм-вимагачів починається зі звичайних логінів, і ці логи часто походять зі звичайних пристроїв. Використовуйте унікальні паролі, увімкніть багатофакторну автентифікацію та тримайте свої пристрої оновленими. Ці звички не зупинять кожну атаку, але вони роблять ваші облікові записи значно складнішою та менш вигідною ціллю.