Nhóm Ransomware Settra là gì và Nó Hoạt động Như thế nào
Một nhóm ransomware được theo dõi với tên Settra đã được các nhà nghiên cứu bảo mật ghi nhận là một tác nhân đe dọa đang hoạt động, điều hành một chiến dịch tống tiền liên tục. Theo dữ liệu theo dõi do Ransomnews tổng hợp, Settra tuân theo kịch bản đã trở thành tiêu chuẩn cho các hoạt động ransomware hiện đại: nhóm này mã hóa các tệp của nạn nhân và, riêng biệt, đe dọa công bố dữ liệu bị đánh cắp trên một trang rò rỉ công khai nếu nạn nhân từ chối trả tiền. Các tuyên bố về nạn nhân mới tiếp tục được đăng tải như một phần của chiến dịch này, một mô thức nhất quán với các nhóm coi tống tiền là một quy trình kinh doanh có thể lặp lại thay vì một cuộc tấn công đơn lẻ.
Mô hình hoạt động này, được gọi là tống tiền kép, đã trở thành mặc định cho các nhóm ransomware trong vài năm qua. Nó không phải là duy nhất đối với Settra, nhưng hoạt động liên tục của nhóm này là một lời nhắc nhở hữu ích rằng ransomware đã phát triển vượt xa việc chỉ khóa máy tính của một công ty. Nó đã trở thành một vấn đề phơi bày dữ liệu với những hậu quả vượt xa tổ chức nạn nhân ban đầu.
Tống tiền Kép biến Mã hóa thành Sự kiện Phơi bày Quyền riêng tư như thế nào
Các cuộc tấn công ransomware truyền thống tuân theo một công thức đơn giản: mã hóa các tệp của nạn nhân, yêu cầu thanh toán để lấy khóa giải mã, và hy vọng mục tiêu không có bản sao lưu khả dụng. Mô hình đó cho các nhà phòng thủ một biện pháp đối phó rõ ràng. Nếu một công ty duy trì bản sao lưu vững chắc, họ có thể khôi phục hệ thống mà không cần trả tiền, loại bỏ phần lớn đòn bẩy của kẻ tấn công.
Tống tiền kép phá vỡ biện pháp phòng thủ đó. Trước khi kích hoạt mã hóa, các nhóm như Settra thường trích xuất, hay sao chép, các tệp nhạy cảm từ mạng của nạn nhân. Chỉ sau khi dữ liệu đã rời khỏi hệ thống thì bước mã hóa mới xảy ra. Điều đó có nghĩa là ngay cả một tổ chức có bản sao lưu hoàn hảo vẫn phải đối mặt với mối đe dọa: kẻ tấn công đã có bản sao của dữ liệu và có thể công bố nó bất kể tiền chuộc có được trả hay hệ thống có được khôi phục hay không.
Sự thay đổi này quan trọng vì nó thay đổi những gì thực sự bị đe dọa. Một sự cố ransomware không còn chỉ là vấn đề về thời gian ngừng hoạt động của hệ thống hay mất năng suất. Nó trở thành một sự cố quyền riêng tư dữ liệu ngay khi các tệp bị đánh cắp, thường liên quan đến hồ sơ nhân viên, thông tin khách hàng, tài liệu tài chính, hoặc dữ liệu kinh doanh độc quyền. Bản thân trang rò rỉ hoạt động như một áp lực công khai: một đồng hồ đếm ngược và một mẫu dữ liệu một phần được thiết kế để thúc đẩy nạn nhân trả tiền trước khi phần còn lại của các tệp được phát hành.
Ai bị Ảnh hưởng khi Dữ liệu bị Đánh cắp xuất hiện trên Trang Rò rỉ
Tổ chức bị tấn công hiếm khi là bên duy nhất bị ảnh hưởng. Khi một nhóm ransomware đăng tải các tệp bị đánh cắp, hoặc đe dọa làm điều đó, sự phơi bày thường lan tỏa ra những người chưa bao giờ có mối quan hệ trực tiếp với kẻ tấn công và, trong nhiều trường hợp, có khả năng hạn chế trong việc ngăn chặn vi phạm ngay từ đầu.
Những nhân viên có hồ sơ nhân sự nằm trên máy chủ bị xâm phạm có thể bị phơi bày số An sinh Xã hội, địa chỉ, hoặc thông tin sức khỏe. Khách hàng có dữ liệu được lưu trữ bởi một nhà cung cấp bị vi phạm có thể thấy thông tin cá nhân hoặc tài chính của họ bị đăng công khai, đôi khi có thể tìm kiếm được, đôi khi bị bán hoặc tái sử dụng bởi tội phạm khác. Các đối tác kinh doanh và nhà cung cấp có hợp đồng hoặc thông tin liên lạc bị cuốn vào vụ đánh cắp cũng có thể thấy các chi tiết thương mại nhạy cảm bị phơi bày.
Đây là lý do cốt lõi khiến mối quan ngại về quyền riêng tư dữ liệu trong ransomware tống tiền kép đã tăng lên cùng với chính các cuộc tấn công. Một vụ xâm nhập thành công duy nhất có thể gây ra tổn hại lan rộng cho hàng trăm hoặc hàng nghìn cá nhân, những người không có tiếng nói trong tình trạng bảo mật của tổ chức mục tiêu, và thường không có cách nào biết ngay rằng thông tin của họ đã bị liên quan cho đến khi một danh sách trên trang rò rỉ xuất hiện hoặc một thông báo vi phạm đến.
Cá nhân và Doanh nghiệp có thể làm gì để Giảm thiểu Phơi bày Ransomware
Đối với doanh nghiệp, bài học thực tế từ các nhóm hoạt động như Settra là chỉ sao lưu thôi không còn đủ để phòng thủ. Ngăn chặn xâm nhập ban đầu và phát hiện trích xuất dữ liệu trước khi mã hóa xảy ra đã trở thành ưu tiên. Các nhóm bảo mật ngày càng dựa vào các công cụ giám sát được thiết kế để phát hiện sớm sự di chuyển dữ liệu bất thường và các dấu hiệu hành vi bị xâm phạm, lý tưởng nhất là trước khi kẻ tấn công đạt đến giai đoạn đánh cắp-và-mã hóa. Các phương pháp như săn lùng mối đe dọa dựa trên AI nhằm bắt ransomware trước khi mã hóa phản ánh sự chuyển dịch này: mục tiêu là phát hiện xâm nhập trong khi dữ liệu vẫn đang được chuẩn bị để trích xuất, không phải sau khi nó đã rời khỏi mạng.
Đối với cá nhân, các bước hành động cụ thể bị hạn chế hơn nhưng vẫn có ý nghĩa. Sử dụng mật khẩu duy nhất cho mỗi tài khoản, bật xác thực đa yếu tố ở mọi nơi được cung cấp, và theo dõi tài khoản tài chính và tín dụng để phát hiện hoạt động bất thường đều giảm thiểu thiệt hại nếu dữ liệu của bạn cuối cùng xuất hiện trên một trang rò rỉ. Chú ý đến các thông báo vi phạm từ các công ty bạn giao dịch, thay vì bỏ qua chúng, cho bạn lợi thế khóa chặt tài khoản hoặc phong tỏa tín dụng nếu cần.
Điều này có ý nghĩa gì đối với Bạn
Cho dù bạn tương tác với một tổ chức bị nhắm mục tiêu bởi một nhóm như Settra, với tư cách là nhân viên, khách hàng, hay đối tác, mô hình tống tiền kép có nghĩa là dữ liệu của bạn có thể bị phơi bày ngay cả khi tổ chức đó trả tiền chuộc và khôi phục hệ thống bình thường. Sự kiện mã hóa thường là phần ít quan trọng nhất của câu chuyện từ góc độ quyền riêng tư. Điều gì xảy ra với bản sao dữ liệu bị đánh cắp của bạn là phần đáng để theo dõi.
Những Điểm Chính
Các nhóm ransomware tống tiền kép như Settra đã biến việc đánh cắp dữ liệu, không chỉ gián đoạn hệ thống, thành mối đe dọa trung tâm của một cuộc tấn công ransomware. Điều đó có nghĩa là sao lưu và khôi phục hệ thống không còn vô hiệu hóa rủi ro một mình. Doanh nghiệp nên ưu tiên phát hiện xâm nhập và di chuyển dữ liệu trước khi mã hóa xảy ra, bao gồm khám phá các công cụ được xây dựng xung quanh phát hiện mối đe dọa trước mã hóa. Cá nhân nên xem trọng các thông báo vi phạm, bảo vệ tài khoản của họ bằng xác thực mạnh, và theo dõi các dấu hiệu thông tin của họ đã xuất hiện ở nơi khác. Khi tống tiền kép trở thành chuẩn mực thay vì ngoại lệ, việc nắm bắt thông tin về cách các chiến dịch này hoạt động là một trong những cách đơn giản nhất để đi trước hậu quả một bước.
