Kiristysohjelma palveluna: Teollistuneen kyberrikollisuuden uudet kasvot

Palveluna tarjottava kiristysohjelma on mahdollistanut sen, että vähemmän kyvykkäät rikolliset ovat pystyneet nopeasti vahvistumaan ja teollistumaan. Aiemmin nämä vähemmän kehittyneet rikolliset ovat saattaneet käyttää joko rakentamiaan tai ostamiaan tavanomaisia haittaohjelmia tehdäkseen laajuudeltaan rajallisia hyökkäyksiä, mutta nyt he voivat saada RaaS-operaattoreilta kaiken tarvitsemansa – verkkoihin pääsystä kiristysohjelmien hyötykuormiin – (tietysti maksua vastaan). Monet RaaS-ohjelmat sisältävät lisäksi kiristystukipalveluja, kuten vuotosivuston isännöintiä ja integrointia kiristysmuistiinpanoihin sekä salauksen purku-, maksupaine- ja kryptovaluuttatransaktiopalveluja.

Tämä tarkoittaa, että onnistuneen kiristysohjelmahyökkäyksen vaikutukset pysyvät samoina hyökkääjän taidoista riippumatta.

Yksi tapa, jolla RaaS-operaattorit tuottavat lisäarvoa yhteistyökumppaneilleen, on tarjota pääsy vaarantuneisiin verkkoihin. Pääsynvälittäjät etsivät internetistä haavoittuvia järjestelmiä, jotka he voivat vaarantaa ja varata myöhempää hyötyä varten.

Onnistuakseen hyökkääjät tarvitsevat kirjautumistietoja. Vaarantuneet kirjautumistiedot ovat niin tärkeitä näissä hyökkäyksissä, että kun kyberrikolliset myyvät pääsyn verkkoon, monissa tapauksissa hintaan sisältyy taattu järjestelmänvalvojan tili.

Se, mitä rikolliset tekevät pääsyn saatuaan, voi vaihdella suuresti ryhmien ja niiden kuormitusten tai motiivien mukaan. Aika, joka kuluu ensimmäisestä pääsystä näppäimistön käyttöönottoon, voi siis vaihdella minuuteista päiviin tai pidempäänkin, mutta olosuhteiden salliessa vahinkoa voidaan aiheuttaa hurjaa vauhtia. Itse asiassa on havaittu, että aika ensimmäisestä pääsystä täydelliseen kiristykseen (mukaan lukien siirto pääsyn välittäjältä RaaS-kumppanille) on kestänyt alle tunnin.

Kun hyökkääjät ovat päässeet verkkoon, he eivät mielellään poistu sieltä – edes lunnaiden keräämisen jälkeen. Itse asiassa lunnaiden maksaminen ei välttämättä vähennä verkkoon kohdistuvaa riskiä, ja se mahdollisesti vain rahoittaa kyberrikollisia, jotka jatkavat hyökkäyksiä erilaisilla haittaohjelmien tai kiristysohjelmien hyötykuormilla, kunnes heidät häädetään.

Eri hyökkääjien välillä tapahtuu siirtymiä, kun kyberrikollisuuden taloudessa tapahtuu siirtymiä, mikä tarkoittaa, että useat toimintaryhmät voivat jatkaa toimintaansa ympäristössä käyttäen erilaisia menetelmiä, jotka poikkeavat kiristysohjelmahyökkäyksessä käytetyistä työkaluista. Esimerkiksi pankkitroijalaisen avulla saatu alkuperäinen pääsy johtaa Cobalt Striken käyttöönottoon, mutta pääsyn ostanut RaaS-kumppani voi käyttää kampanjan toteuttamiseen etäkäyttötyökalua, kuten TeamVieweria.

Laillisten työkalujen ja asetusten käyttäminen Cobalt Striken kaltaisiin haittaohjelmaimplantteihin nähden on suosittu tekniikka kiristysohjelmahyökkääjien keskuudessa, jotta he voivat välttää havaitsemisen ja pysyä verkossa pidempään.

Toinen suosittu hyökkääjien tekniikka on luoda uusia takaporttikäyttäjätilejä joko paikallisesti tai Active Directoryyn, jotka voidaan sitten lisätä etäkäyttövälineisiin, kuten näennäiseen yksityisverkkoon (VPN) tai etätyöpöytään. Kiristysohjelmahyökkääjien on myös havaittu muokkaavan järjestelmien asetuksia siten, että ne ottavat etätyöpöydän käyttöön, heikentävät protokollan tietoturvaa ja lisäävät uusia käyttäjiä etätyöpöydän käyttäjät -ryhmään.

Yksi RaaS:n ominaisuuksista, jotka tekevät uhasta niin huolestuttavan, on se, että se luottaa ihmishyökkääjiin, jotka voivat tehdä tietoon perustuvia ja laskelmoituja päätöksiä ja vaihdella hyökkäysmalleja sen mukaan, mitä he löytävät verkoista, joihin he laskeutuvat, varmistaen, että he saavuttavat tavoitteensa.

Microsoft on luonut termin ihmisten ohjaamat kiristysohjelmat määritelläkseen tämän hyökkäysluokan toimintaketjuksi, joka huipentuu kiristysohjelman hyötykuormaan, eikä joukoksi estettäviä haittaohjelmien hyötykuormia.

Vaikka useimmat ensimmäiset hyökkäyskampanjat perustuvat automaattiseen tiedusteluun, kun hyökkäys siirtyy näppäimistön käyttöönottoon, hyökkääjät käyttävät tietojaan ja taitojaan yrittäessään päihittää ympäristön tietoturvatuotteet.

Kiristysohjelmahyökkääjien motiivina on helppo tuotto, joten heidän kustannuksiensa lisääminen tietoturvaa vahvistamalla on tärkeää kyberrikollisen ekonomian häiritsemisessä. Tämä inhimillinen päätöksenteko tarkoittaa sitä, että vaikka tietoturvatuotteet havaitsevat tietyt hyökkäysvaiheet, hyökkääjiä itseään ei häädetä kokonaan, vaan he yrittävät jatkaa, jos tietoturvavalvonta ei estä heitä. Jos virustorjuntaohjelma havaitsee työkalun tai hyötykuorman ja estää sen käytön, hyökkääjät käyttävät usein yksinkertaisesti toista työkalua tai muokkaavat hyötykuormaa.

Hyökkääjät ovat myös tietoisia tietoturvakeskuksen (SOC) vasteajoista ja havaitsemisvälineiden kyvyistä ja rajoituksista. Kun hyökkäys pääsee vaiheeseen, jossa varmuuskopiot tai varjokopiot poistetaan, kiristysohjelman käyttöönotto on vain muutaman minuutin päässä. Vastustaja on todennäköisesti jo suorittanut haitallisia toimia, kuten poistanut tietoja. Tämä tieto on avainasemassa kiristysohjelmiin reagoiville SOC:ille: Cobalt Striken kaltaisten havaintojen tutkiminen ennen kiristysohjelman käyttöönottovaihetta sekä nopeat korjaustoimet ja tapausten käsittely (IR) ovat kriittisen tärkeitä inhimillisen vastustajan hillitsemiseksi.