Ransomware as a service: Den industrialiserede cyberkriminalitets nye ansigt

Ransomware som en servicemodel har muliggjort en hurtig finindstilling og industrialisering af, hvad mindre dygtige kriminelle kan udrette. Tidligere har disse mindre sofistikerede kriminelle måske brugt almindelig malware, som de enten har bygget eller købt, til at udføre angreb, der er begrænsede i omfang, men nu kan de få alt, hvad de har brug for - fra adgang til netværk til ransomware-nyttelast - fra deres RaaS-operatører (mod en pris, selvfølgelig). Mange RaaS-programmer indeholder desuden en række supporttilbud til afpresning, herunder hosting af sider til lækage og integration i løsesumsnotater, samt dekrypteringsforhandlinger, betalingspres og kryptovaluta-transaktionstjenester.

Det betyder, at virkningen af et vellykket ransomware- og afpresningsangreb forbliver den samme, uanset angriberens færdigheder.

En måde, hvorpå RaaS-operatører giver værdi til deres partnere, er ved at give adgang til kompromitterede netværk. Access brokers (adgangsmæglere) scanner internettet for sårbare systemer, som de kan kompromittere og reservere til senere profit.

For at få succes har angriberne brug for legitimationsoplysninger. Kompromitterede legitimationsoplysninger er så vigtige for disse angreb, at når cyberkriminelle sælger netværksadgang, inkluderer prisen i mange tilfælde en garanteret administratorkonto.

Hvad de kriminelle gør med deres adgang, når den er opnået, kan variere meget afhængigt af grupperne og deres arbejdsbyrde eller motivation. Tiden mellem den første adgang til en praktisk tastatur-udrulning kan derfor variere fra minutter til dage eller længere, men når omstændighederne tillader det, kan skaden ske i et hæsblæsende tempo. Faktisk har man observeret, at tiden fra den første adgang til den fulde løsesum (inklusive overdragelse fra en adgangsmægler til en RaaS-partner) tager mindre end en time.

Når personer med ondsindede hensigter først har fået adgang til et netværk, er de ikke meget for at forlade det – selv efter at have fået deres løsesum. Faktisk er det ikke sikkert, at betaling af løsepenge reducerer risikoen for et berørt netværk, og det tjener potentielt kun til at finansiere cyberkriminelle, som vil fortsætte med at forsøge at tjene penge på angreb med forskellige malware- eller ransomware-nyttelaster, indtil de bliver smidt ud.

Den overlevering, der sker mellem forskellige angribere, når der sker overgange i den cyberkriminelle økonomi, betyder, at flere aktivitetsgrupper kan fortsætte i et miljø ved hjælp af forskellige metoder, der er forskellige fra de værktøjer, der bruges i et ransomware-angreb. For eksempel fører den første adgang, der er opnået med en banktrojaner, til en Cobalt Strike-udrulning, men RaaS-partneren, der købte adgangen, kan vælge at bruge et fjernadgangsværktøj som TeamViewer til at køre sin kampagne.

At bruge legitime værktøjer og indstillinger til at overleve malware-implantater som Cobalt Strike er en populær teknik blandt ransomware-angribere til at undgå at blive opdaget og forblive i et netværk i længere tid.

En anden populær angrebsteknik er at oprette nye bagdørsbrugerkonti, enten lokalt eller i Active Directory, som derefter kan føjes til fjernadgangsværktøjer såsom et virtuelt privat netværk (VPN) eller Remote Desktop. Ransomware-angribere er også blevet set redigere indstillingerne på systemer for at aktivere Remote Desktop, reducere protokollens sikkerhed og tilføje nye brugere til Remote Desktop Users-gruppen.

En af de kvaliteter ved RaaS, der gør truslen så bekymrende, er, hvordan den er afhængig af menneskelige angribere, der kan træffe informerede og beregnede beslutninger og variere angrebsmønstre baseret på, hvad de finder i de netværk, hvor de lander, hvilket sikrer, at de når deres mål.

Microsoft opfandt udtrykket menneskestyret ransomware for at definere denne kategori af angreb som en kæde af aktiviteter, der kulminerer i en ransomware-nyttelast, ikke som et sæt af malware-nyttelaster, der skal blokeres.

Mens de fleste indledende adgangskampagner er afhængige af automatiseret rekognoscering, vil personer med ondsindede hensigter, hvis angrebet skifter til den praktiske tastaturfase, bruge deres viden og færdigheder til at forsøge at overvinde sikkerhedsprodukterne i miljøet.

Ransomwarekriminelle er motiveret af let og stor fortjeneste, og derfor er nøglen til at bekæmpe deres cyberkriminelle økonomi at øge deres omkostninger via sikkerhedshærdning. Denne menneskelige beslutningstagning betyder, at selv om sikkerhedsprodukter opdager specifikke angrebsstadier, bliver angriberne ikke helt smidt ud; de forsøger at fortsætte, hvis de ikke blokeres af en sikkerhedskontrol. I mange tilfælde, hvis et værktøj eller en nyttelast opdages og blokeres af et antivirusprodukt, bruger personerne med ondsindede hensigter bare et andet værktøj eller ændrer deres nyttelast.

Personer med ondsindede hensigter er også opmærksomme på responstider for sikkerhedsoperationscentre (SOC) og funktioner og begrænsninger værktøjer til registrering. Når angrebet når så langt som til at slette sikkerhedskopier eller skyggekopier, er der kun få minutter til, at ransomware bliver udrullet. Modstanderen ville sandsynligvis allerede have udført skadelige handlinger som udtrækning af data. Denne viden er afgørende for SOC'er, der reagerer på ransomware: At undersøge registreringer som Cobalt Strike, før ransomware bliver udrullet, og at udføre hurtige afhjælpningsforanstaltninger og svar på hændelser er afgørende for at inddæmme en menneskelig modstander.