Рансъмуерът като услуга: Новото лице на индустриализираната киберпрестъпност

Рансъмуерът като услуга улесни бързото усъвършенстване и индустриализиране на това, което по-малко способните престъпници могат да постигнат. В миналото тези по-малко опитни престъпници може да са използвали стоков злонамерен софтуер, който са създали или закупили, за да извършват ограничени по обхват атаки, но сега те могат да получат всичко, от което се нуждаят – от достъп до мрежи до платени товари с изнудвачески софтуер – от операторите на RaaS (срещу заплащане, разбира се). Много RaaS програми допълнително включват набор от предложения за поддръжка на изнудването, включително хостинг на сайт за изтичане на информация и интегриране в бележки за откуп, както и преговори за декриптиране, натиск за плащане и услуги за транзакции с криптовалути.

Това означава, че последиците от успешен рансъмуер и изнудване остават едни и същи, независимо от уменията на нападателя.

Един от начините, по които операторите на RaaS предоставят стойност на своите партньори, е като предоставят достъп до компрометирани мрежи. Брокерите на достъп сканират интернет за уязвими системи, които могат да компрометират и да запазят за последваща печалба.

За да бъдат успешни, нападателите се нуждаят от пълномощия. Компрометираните пълномощия са толкова важни за тези атаки, че когато киберпрестъпниците продават достъп до мрежата, в много случаи цената включва гарантиран администраторски акаунт.

Това, което престъпниците правят със своя достъп, след като той е постигнат, може да варира в широки граници в зависимост от групите и техните работни натоварвания или мотивации. Следователно времето от първоначалния достъп до практическото внедряване на клавиатурата може да варира от минути до дни и повече, но когато обстоятелствата го позволяват, щетите могат да бъдат нанесени с главоломна скорост. Всъщност е наблюдавано, че времето от първоначалния достъп до пълното откупуване (включително предаването от брокер на достъп към партньор на RaaS) отнема по-малко от час.

След като получат достъп до мрежата, нападателите не желаят да я напускат – дори и след като са събрали откупа. Всъщност плащането на откупа може да не намали риска за засегнатата мрежа и потенциално служи само за финансиране на киберпрестъпниците, които ще продължат да се опитват да печелят от атаки с различен злонамерен софтуер или рансъмуер, докато не бъдат отстранени.

Предаването, което се осъществява между различните нападатели при прехода в икономиката на киберпрестъпността, означава, че в дадена среда могат да продължат да действат множество групи, които използват различни методи, различни от инструментите, използвани при рансъмуера. Например първоначалният достъп, получен от банков троянец, води до разгръщане на Cobalt Strike, но филиалът на RaaS, който е закупил достъпа, може да избере да използва инструмент за отдалечен достъп, като TeamViewer, за да проведе своята кампания.

Използването на легитимни инструменти и настройки, за да се запази срещу имплантирането на злонамерен софтуер като Cobalt Strike, е популярна техника сред атакуващите с рансъмуер, за да избегнат откриване и да останат по-дълго време в мрежата.

Друга популярна техника на нападателите е да създават нови потребителски акаунти със задна врата, независимо дали са локални или в Active Directory, които след това могат да бъдат добавени към инструменти за отдалечен достъп, като например виртуална частна мрежа (VPN) или Отдалечен работен плот. Наблюдавани са също така нападатели с рансъмуер, които редактират настройките на системите, за да активират Отдалечен работен плот, да намалят сигурността на протокола и да добавят нови потребители към групата потребители на Отдалечен работен плот.

Едно от качествата на RaaS, които правят заплахата толкова обезпокоителна, е как тя разчита на човешки нападатели, които могат да вземат информирани и изчислени решения и да променят моделите на атаки въз основа на това, което намират в мрежите, в които попадат, като гарантират, че ще постигнат целите си.

Microsoft измисли термина рансъмуер, управляван от хора, за да определи тази категория атаки като верига от дейности, които завършват с полезен обем на рансъмуер, а не като набор от зловреден софтуер, който трябва да бъде блокиран.

Макар че повечето кампании за първоначален достъп разчитат на автоматизирано разузнаване, след като атаката премине към фазата „ръка на клавиатурата“, нападателите ще използват своите знания и умения, за да се опитат да преодолеят продуктите за сигурност в средата.

Атакуващите с рансъмуер са мотивирани от лесни печалби, така че увеличаването на техните разходи чрез подсилване на защитата е от ключово значение за нарушаването на киберпрестъпната икономика. Този човешки процес на вземане на решения означава, че дори ако продуктите за защита откриват определени етапи на атаката, самите нападатели не се изселват напълно; те се опитват да продължат, ако не са блокирани от контрола за сигурност. В много случаи, ако даден инструмент или полезен товар е открит и блокиран от антивирусен продукт, нападателите просто вземат друг инструмент или променят полезния си товар.

Атакуващите също така са наясно с времето за реакция на центъра за операции по сигурността (SOC) и с възможностите и ограниченията на инструментите за откриване. В момента, в който атаката достигне до етапа на изтриване на резервни копия или копия в сянка, до внедряването на рансъмуер ще останат броени минути. Противникът вероятно вече ще е извършил вредни действия като ексфилтрация на данни. Това знание е от ключово значение за SOC, които реагират на рансъмуер: разследването на открития като Cobalt Strike преди етапа на разгръщане на рансъмуер и извършването на бързи коригиращи действия и процедури за реагиране при инциденти (IR) са от решаващо значение за овладяването на човешкия противник.