Ransomware Gentlemen: 483 nạn nhân bị tấn công bởi công cụ GentleKiller

Một băng nhóm ransomware với 483 nạn nhân và bộ công cụ ngày càng mở rộng

Một chiến dịch ransomware được biết đến với tên gọi The Gentlemen được cho là đã xâm phạm 483 nạn nhân bằng cách kết hợp hai công cụ độc hại riêng biệt: một tiện ích né tránh phòng thủ có tên GentleKiller và một trojan truy cập từ xa có tên EtherRAT. Cùng với nhau, những công cụ này cho phép nhóm vô hiệu hóa phần mềm bảo mật trên máy của mục tiêu và duy trì liên lạc chỉ huy và kiểm soát bí mật mà các chuyên gia phòng thủ khó có thể ngăn chặn hơn.

Nhóm này, mà các nhà nghiên cứu bảo mật cũng đã liên kết với các cuộc tấn công nhằm vào các tổ chức như sân vận động băng đá Hà Lan được đề cập trong báo cáo của chúng tôi về cuộc tấn công của băng nhóm ransomware The Gentlemen vào Thialf, đã không ngừng mở rộng phạm vi hoạt động. Thay vì dựa vào một lỗ hổng khai thác mới duy nhất, thành công của băng nhóm dường như đến từ việc xếp chồng nhiều kỹ thuật né tránh đã biết vào một gói tự động, rồi tái sử dụng gói đó trên một số lượng lớn mục tiêu.

Cách GentleKiller đánh bại phần mềm bảo mật

Trung tâm của chiến dịch này là GentleKiller, một công cụ được xây dựng dựa trên kỹ thuật thường được gọi là BYOVD, hay "Bring Your Own Vulnerable Driver" (Mang theo trình điều khiển dễ bị tổn thương của riêng bạn). Nói một cách đơn giản, kẻ tấn công cài đặt một trình điều khiển phần cứng hoặc phần mềm hợp pháp nhưng có lỗ hổng lên máy tính của nạn nhân. Vì trình điều khiển đó thường được ký số và được Windows tin cậy, nó có thể chạy với đặc quyền cấp hệ thống sâu. Kẻ tấn công sau đó khai thác một điểm yếu đã biết trong trình điều khiển đó để tắt hoặc làm mù phần mềm bảo mật đang chạy trên máy, biến một phần mềm đáng tin cậy thành vũ khí chống lại chính các công cụ được thiết kế để ngăn chặn nó.

Theo các báo cáo về chiến dịch này, GentleKiller đã được sử dụng để đánh bại sản phẩm của 48 nhà cung cấp bảo mật khác nhau. Con số đó quan trọng vì nó cho thấy công cụ này không được thiết kế để né tránh một hoặc hai chương trình diệt virus cụ thể. Thay vào đó, nó được xây dựng như một khuôn khổ rộng rãi, có thể tái sử dụng, có khả năng vô hiệu hóa một phạm vi rộng của thị trường bảo vệ điểm cuối. Điều này phản ánh một mô hình mà chúng tôi đã theo dõi trước đây trong bài viết về cách ransomware The Gentlemen làm mù các công cụ EDR, nơi các nhà điều hành của nhóm đã thể hiện sự quan tâm nhất quán trong việc vô hiệu hóa phát hiện trước khi triển khai tải trọng mã hóa thực tế của chúng.

EtherRAT và bước ngoặt blockchain

Thành phần thứ hai, EtherRAT, xử lý liên lạc chỉ huy và kiểm soát (C2), kênh mà kẻ tấn công sử dụng để gửi hướng dẫn đến các máy bị nhiễm và nhận dữ liệu bị đánh cắp hoặc cập nhật trạng thái trở lại. Điều khiến EtherRAT khác biệt là việc sử dụng cơ sở hạ tầng blockchain cho mục đích này. Các máy chủ C2 truyền thống có thể bị xác định và gỡ bỏ bởi các nhà nghiên cứu hoặc cơ quan thực thi pháp luật sau khi được phát hiện. Bằng cách định tuyến liên lạc qua các cơ chế dựa trên blockchain, kẻ tấn công khiến loại gỡ bỏ đó trở nên khó khăn hơn đáng kể, vì dữ liệu blockchain được phân tán và chống lại một điểm tắt duy nhất.

Sự kết hợp này, một công cụ diệt phòng thủ dựa trên trình điều khiển đi kèm với một kênh C2 kiên cường, phản ánh một xu hướng rộng hơn trong các hoạt động ransomware-as-a-service: xây dựng một lần, bán hoặc cấp phép rộng rãi, và để các chi nhánh chạy các chiến dịch quy mô lớn nhằm vào nhiều mục tiêu khác nhau, bao gồm các doanh nghiệp vừa và nhỏ đang ngày càng bị các nhóm cạnh tranh thị phần nhắm đến, như chúng tôi đã trình bày chi tiết trong bài viết về Qilin và The Gentlemen leo thang tấn công SMB.

Điều này có ý nghĩa gì với bạn

Nếu bạn quản lý hệ thống CNTT cho một doanh nghiệp, hoặc thậm chí chỉ quan tâm đến bảo mật mạng gia đình của mình, bài học cốt lõi ở đây không dành riêng cho The Gentlemen. Đó là về giới hạn của việc dựa vào bất kỳ sản phẩm bảo mật đơn lẻ nào. Một công cụ có khả năng đánh bại 48 nhà cung cấp khác nhau chứng minh rằng phần mềm diệt virus hoặc phát hiện điểm cuối một mình không thể được coi là biện pháp phòng thủ hoàn chỉnh.

Đối với cá nhân, rủi ro thực tế thấp hơn nhưng không phải bằng không: các nhóm ransomware thường có quyền truy cập ban đầu thông qua email lừa đảo, dịch vụ truy cập từ xa bị lộ hoặc phần mềm chưa được vá, cùng những điểm xâm nhập đặt dữ liệu cá nhân và mạng gia đình vào rủi ro. Giữ hệ thống được cập nhật, sử dụng mật khẩu duy nhất và thận trọng với các tệp đính kèm không mong muốn vẫn là biện pháp bảo vệ nền tảng bất kể phần mềm độc hại phía sau trở nên tinh vi đến đâu.

Đối với các tổ chức, chiến dịch này là lời nhắc nhở rằng việc trả tiền chuộc không đảm bảo an toàn trong tương lai. Như đã đề cập trong phân tích trước đây của chúng tôi về nghiên cứu của Proofpoint về những người trả tiền chuộc, khoảng một trong ba công ty trả tiền chuộc bị nhắm mục tiêu lại. Phòng thủ nhiều lớp, sao lưu ngoại tuyến và chính sách danh sách cho phép trình điều khiển hạn chế những trình điều khiển cấp kernel nào có thể tải là những biện pháp bảo vệ bền vững hơn nhiều so với việc hy vọng một công cụ bảo mật duy nhất sẽ bắt được mọi mối đe dọa.

Những điểm chính

• Đừng dựa vào một sản phẩm bảo mật; phòng thủ nhiều lớp quan trọng hơn khi kẻ tấn công thiết kế công cụ cụ thể để vượt qua từng nhà cung cấp riêng lẻ.
• Hạn chế những trình điều khiển nào có thể tải trên hệ thống của bạn, vì các cuộc tấn công BYOVD phụ thuộc vào việc cài đặt trình điều khiển bên ngoài có quyền truy cập kernel.
• Duy trì sao lưu ngoại tuyến đã được kiểm tra để nhiễm ransomware không buộc phải đưa ra quyết định trả tiền.
• Đối xử với email, liên kết và yêu cầu truy cập từ xa không mong muốn một cách nghi ngờ, vì quyền truy cập ban đầu vẫn thường bắt đầu bằng kỹ thuật xã hội cơ bản hoặc phần mềm chưa được vá.
• Luôn cập nhật thông tin về các nhóm như chiến dịch ransomware The Gentlemen, vì công cụ và mục tiêu của chúng tiếp tục phát triển.