Το Ransomware ως υπηρεσία: Το νέο πρόσωπο του κυβερνοεγκλήματος

Το μοντέλο του ransomware ως υπηρεσία έχει υποβοηθήσει την ταχεία βελτίωση και εκβιομηχάνιση αυτών που μπορούν να επιτύχουν οι λιγότερο ικανοί εγκληματίες. Παλαιότερα, αυτοί οι λιγότερο εξελιγμένοι εγκληματίες μπορεί να χρησιμοποιούσαν εμπορικό κακόβουλο λογισμικό που είτε κατασκεύαζαν είτε αγόραζαν για να εκτελούν επιθέσεις περιορισμένης έκτασης, αλλά τώρα μπορούν να αποκτήσουν ό,τι χρειάζονται—από πρόσβαση σε δίκτυα έως ωφέλιμα φορτία ransomware—από τους χειριστές του RaaS τους (για το ανάλογο αντίτιμο, φυσικά). Πολλά προγράμματα RaaS ενσωματώνουν επιπλέον μια οικογένεια προγραμμάτων προσφορών υποστήριξης εκβιασμών, συμπεριλαμβανομένης της φιλοξενίας της τοποθεσίας διαρροής δεδομένων και της ενοποίησης σε σημειώσεις λύτρων, καθώς και της διαπραγμάτευσης αποκρυπτογράφησης, της πίεσης πληρωμής και των υπηρεσιών συναλλαγών σε κρυπτονομίσματα.

Αυτό σημαίνει ότι ο αντίκτυπος μιας επιτυχημένης επίθεσης ransomware και εκβιασμού παραμένει ο ίδιος ανεξάρτητα από τις δεξιότητες του εισβολέα.

Ένας τρόπος με τον οποίο οι χειριστές RaaS παρέχουν αξία στους συνεργάτες τους είναι παρέχοντας πρόσβαση σε παραβιασμένα δίκτυα. Οι μεσίτες πρόσβασης σαρώνουν το internet αναζητώντας ευάλωτα συστήματα, τα οποία μπορούν να παραβιάσουν και να τα κρατήσουν για να αποκομίσουν κέρδος αργότερα.

Για να επιτύχουν, οι εισβολείς χρειάζονται διαπιστευτήρια. Τα παραβιασμένα διαπιστευτήρια είναι τόσο σημαντικά για αυτές τις επιθέσεις που όταν οι κυβερνοεγκληματίες πωλούν πρόσβαση στο δίκτυο, σε πολλές περιπτώσεις, η τιμή περιλαμβάνει έναν εγγυημένο λογαριασμό διαχειριστή.

Αυτό που κάνουν οι εγκληματίες αφού αποκτήσουν πρόσβασή μπορεί να ποικίλλει πολύ ανάλογα με τις ομάδες και τον φόρτο εργασίας ή τα κίνητρά τους. Ο χρόνος που μεσολαβεί μεταξύ της αρχικής πρόσβασης και μιας ανάπτυξης επίθεσης με πρόσβαση στο πληκτρολόγιο μπορεί επομένως να κυμαίνεται από λεπτά έως ημέρες ή περισσότερο, αλλά όταν οι συνθήκες το επιτρέψουν, μπορεί να προκληθεί ζημιά με ιλιγγιώδη ταχύτητα. Για την ακρίβεια, ο χρόνος από την αρχική πρόσβαση έως την απαίτηση λύτρων (συμπεριλαμβανομένης της παράδοσης από έναν μεσίτη πρόσβασης σε έναν συνεργάτη RaaS) έχει παρατηρηθεί ότι διαρκεί λιγότερο από μία ώρα.

Αφού οι εισβολείς αποκτήσουν πρόσβαση σε ένα δίκτυο, δεν θέλουν καθόλου να φύγουν—ακόμα και αφού λάβουν τα λύτρα τους. Για την ακρίβεια, η πληρωμή των λύτρων μπορεί να μην μειώνει τον κίνδυνο σε ένα προσβεβλημένο δίκτυο και πιθανόν να εξυπηρετεί μόνο ως χρηματοδότηση των κυβερνοεγκληματιών, οι οποίοι θα συνεχίσουν να προσπαθούν να δημιουργούν έσοδα από επιθέσεις με διαφορετικά ωφέλιμα φορτία κακόβουλου λογισμικού ή ransomware έως ότου εκδιωχθούν.

Η μεταφορά που προκύπτει μεταξύ διαφορετικών εισβολέων καθώς λαμβάνουν χώρα μεταβάσεις στην οικονομία του κυβερνοεγκλήματος σημαίνει ότι πολλές ομάδες δραστηριοτήτων ενδέχεται να εμμένουν σε ένα περιβάλλον χρησιμοποιώντας διάφορες μεθόδους διαφορετικές από τα εργαλεία που χρησιμοποιούνται σε μια επίθεση ransomware. Για παράδειγμα, η αρχική πρόσβαση που αποκτάται από ένα δούρειο ίππο τραπεζικών υπηρεσιών οδηγεί σε μια ανάπτυξη του Cobalt Strike, αλλά ο συνεργάτης του RaaS που αγόρασε την πρόσβαση μπορεί να επιλέξει να χρησιμοποιήσει ένα εργαλείο απομακρυσμένης πρόσβασης όπως το TeamViewer για να διαχειριστεί την εκστρατεία του.

Η χρήση νόμιμων εργαλείων και ρυθμίσεων έναντι εμφυτευμάτων κακόβουλου λογισμικού όπως το Cobalt Strike για να εμμένουν, είναι μια δημοφιλής τεχνική μεταξύ των εισβολέων ransomware για να αποφεύγουν τον εντοπισμό και να παραμένουν εντός ενός δικτύου για μεγαλύτερο χρονικό διάστημα.

Μια άλλη δημοφιλής τεχνική εισβολέων είναι η δημιουργία νέων λογαριασμών χρήστη από κερκόπορτα, είτε τοπικά είτε στην υπηρεσία καταλόγου Active Directory, που μπορούν στη συνέχεια να προστεθούν σε εργαλεία απομακρυσμένης πρόσβασης, όπως ένα εικονικό ιδιωτικό δίκτυο (VPN) ή μια απομακρυσμένη επιφάνεια εργασίας. Έχει επίσης παρατηρηθεί πως οι εισβολείς με ransomware επεξεργάζονται τις ρυθμίσεις στα συστήματα για να ενεργοποιήσουν την απομακρυσμένη επιφάνεια εργασίας, να μειώσουν την ασφάλεια του πρωτοκόλλου και να προσθέσουν νέους χρήστες στην ομάδα χρηστών απομακρυσμένης επιφάνειας εργασίας.

Μια από τις ιδιότητες του RaaS που καθιστά την απειλή τόσο ανησυχητική είναι το πώς στηρίζεται σε ανθρώπους εισβολείς που μπορούν να λάβουν ενημερωμένες και υπολογισμένες αποφάσεις και να διαφοροποιούν τα μοτίβα επίθεσης με βάση το τι βρίσκουν στα δίκτυα όπου εισβάλουν, διασφαλίζοντας ότι θα εκπληρώσουν τους στόχους τους.

Η Microsoft επινόησε τον όρο ransomware που το χειρίζεται άνθρωπος για να ορίσει αυτήν την κατηγορία επιθέσεων ως μια αλυσίδα δραστηριοτήτων που κορυφώνονται σε ένα ωφέλιμο φορτίο ransomware, όχι ως ένα σύνολο ωφέλιμων φορτίων κακόβουλου λογισμικού που πρέπει να αποκλειστούν.

Ενώ οι περισσότερες εκστρατείες αρχικής πρόσβασης βασίζονται στην αυτοματοποιημένη επίθεση υποκλοπής στοιχείων, όταν η επίθεση μεταβεί στη φάση της πρόσβασης στο πληκτρολόγιο, οι εισβολείς θα χρησιμοποιήσουν τις γνώσεις και τις δεξιότητές τους για να προσπαθήσουν να νικήσουν τα προϊόντα ασφαλείας στο περιβάλλον.

Οι εισβολείς ransomware παρακινούνται από τα εύκολα κέρδη, επομένως η αύξηση του κόστους τους μέσω της ενίσχυσης της ασφαλείας είναι σημαντική για τη διατάραξη της οικονομίας του κυβερνοεγκλήματος. Αυτή η λήψη αποφάσεων από ανθρώπους σημαίνει ότι ακόμα κι αν τα προϊόντα ασφαλείας ανιχνεύσουν συγκεκριμένα στάδια επίθεσης, οι ίδιοι οι εισβολείς δεν εκδιώχνονται πλήρως, αλλά προσπαθούν να συνεχίσουν εάν δεν αποκλειστούν από έναν έλεγχο ασφαλείας. Σε πολλές περιπτώσεις, εάν ένα εργαλείο ή ωφέλιμο φορτίο εντοπιστεί και αποκλειστεί από ένα προϊόν προστασίας από ιούς, οι εισβολείς απλώς αρπάζουν ένα διαφορετικό εργαλείο ή τροποποιούν το ωφέλιμο φορτίο τους.

Οι εισβολείς επίσης γνωρίζουν τους χρόνους απόκρισης του κέντρου επιχειρήσεων ασφαλείας (SOC) και τις δυνατότητες και τους περιορισμούς των εργαλείων εντοπισμού. Μέχρι να φτάσει η επίθεση στο στάδιο της διαγραφής των αντιγράφων ασφαλείας ή των σκιωδών αντιγράφων, θα απέχουν μόλις λίγα λεπτά από την ανάπτυξη του ransomware. Ο αντίπαλος πιθανότατα θα είχε ήδη πραγματοποιήσει επιβλαβείς ενέργειες όπως η διήθηση δεδομένων. Αυτή η γνώση είναι σημαντική για τις SOC που αποκρίνονται σε ransomware: η διερεύνηση εντοπισμών όπως το Cobalt Strike πριν από το στάδιο ανάπτυξης του ransomware και η εκτέλεση ενεργειών ταχείας αποκατάστασης και διαδικασιών απόκρισης σε περιστατικά (IR) είναι κρίσιμες για τον περιορισμό ενός ανθρώπινου αντιπάλου.