תוכנת כופר כשירות: הפנים החדשות של פשע סייבר מתועש

המודל של תוכנת כופר כשירות הקל על מיקוד ותיעוש מהירים של ההישגים האפשריים של פושעים פחות מיומנים. בעבר, ייתכן שפושעים פחות מתוחכמים אלה השתמש במצרך של תוכנה זדונית שהם בנו או רכשו כדי לבצע מתקפות שההיקף שלהן מוגבל, אבל עכשיו הם יכולים לקבל את כל מה שנחוץ להם - החל מגישה לרשתות ועד תוכני מנה של תוכנת כופר - מאופרטורים של RaaS (בתמורה למחיר, כמובן). תוכניות RaaS רבות ממשיכות לכלול חבילה של הצעות לתמיכה בסחיטה, כולל אירוח דליפת אתר ושילוב לתוך הערות כופר, וכן משא ומתן על פיענוח, לחץ על ביצוע תשלום ושירותי ביצוע עסקאות במטבע קריפטו.

משמעות הדבר היא שההשפעה של תוכנת כופר מוצלחת ומתקפת סחיטה נותרת זהה ללא קשר למיומנויות התוקף.

דרך אחת שבה אופרטורים של RaaS מספקים ערך לשותפים העסקיים שלהם היא על-ידי מתן גישה לרשתות שנחשפו לסכנה. ברוקרים של גישה סורקים את האינטרנט לאיתור מערכות פגיעות, שהם יכולים לחשוף לסכנה ולשמור למען רווח עתידי.

כדי להצליח, תוקפים צריכים פרטי כניסה. פרטי כניסה שנחשפו לסכנה הם עד כדי כך חשובים למתקפות אלה שכאשר פושעי סייבר מוכרים גישה לרשת, במקרים רבים, המחיר כולל חשבון מנהל מערכת מובטח.

הפעולות שהפושעים מבצעים עם הגישה שלהם לאחר שהשיגו אותה, יכולות להשתנות עד מאוד בהתאם לקבוצות ולתוכני המנה או לגורמי המוטיבציה שלהם. אי לכך, משך הזמן בין הגישה הראשונית לפריסת מקלדת ממשית יכול לנוע בטווח של החל מדקות ועד לימים או יותר, אך כאשר הנסיבות מתירות, הנזק יכול להיגרם במהירות מוגזמת. למעשה, נצפה שמשך הזמן מהגישה הראשונית ועד לכופר במלואו (כולל העברה מברוקר גישה לשותף RaaS) אורך פחות משעה.

ברגע שתוקפים משיגים גישה לרשת, הם מתעבים את הרעיון שעליהם לעזוב - אפילו לאחר איסוף הכופר שלהם. למעשה, ייתכן שתשלום הכופר לא יפחית את הסיכון לרשת מושפעת וככל הנראה יפעל אך ורק לטובת הכספים של פושעי הסייבר, שימשיכו לנסות להפוך מתקפות למקור רווח באמצעות תוכני מנה שונים של תוכנה זדונית או תוכנת כופר עד שהם יגורשו.

משמעות ההעברה שנתגלתה בין תוקפים שונים כמעברים בהתרחשות כלכלת פושעי הסייבר היא שקבוצות פעילות מרובות עשויות להתמיד בסביבה באמצעות שיטות שונות שנפרדות מהכלים שמשמשים במתקפת תוכנת כופר. לדוגמה, ניתן להשיג גישה ראשונית על-ידי הפניות טרויאניות בבנקאות לפריסת Cobalt Strike, אך השותף העסקי של RaaS שרכש את הגישה עשוי לבחור להשתמש בכלי גישה מרוחק כגון TeamViewer כדי להפעיל את הקמפיין שלו.

השימוש בכלים לגיטימיים ובהגדרות כדי להתמיד בהטמעות של תוכנה זדונית מגוונת כגון Cobalt Strike הוא טכניקה פופולרית בקרב תוקפי תוכנת כופר כדי להימנע מזיהוי ולהמשיך להתגורר ברשת למשך זמן רב יותר.

טכניקה פופולרית אחרת של תוקפים היא ליצור חשבון משתמש חדש בדלת האחורית, בין אם באופן מקומי או ב- Active Directory, שניתן בשלב הבא להוסיף אותו לכלי גישה מרחוק כגון רשת וירטואלית פרטית (VPN) או שולחן עבודה מרוחק. תוקפי תוכנת כופר נצפו גם עורכים את ההגדרות במערכות כדי לאפשר שולחן עבודה מרוחק, להקטין את אבטחת הפרוטוקול ולהוסיף משתמשים חדשים לקבוצת משתמשים בשולחן עבודה מרוחק.

אחת מהאיכויות של RaaS שהופכת את האיום לכה מדאיג היא האופן שבו היא מסתמכת על תוקפים אנושיים שיכולים לקבל החלטות מיודעות ומחושבות ולשנות דפוסי מתקפה שמבוססים על מה שהם מוצאים ברשתות שאליהן הם מגיעים, ובכך מבטיחים עמידה במטרות שלהם.

Microsoft טבעה את המונח תוכנת כופר שמופעלת על-ידי בני אדם כדי להגדיר את קטגוריה זו של מתקפות כגון שרשרת של פעילויות שמגיעות לשיא בתוכן מנה של תוכנת כופר, לא כקבוצה של תוכני מנה של תוכנה זדונית שייחסמו.

בעוד שרוב הקמפיינים של גישה ראשונית מסתמכים על איסוף זדוני של מידע אוטומטי, ברגע שהמתקפה עוברת לשלה המתקפה הידנית, התוקפים ישתמשו בידע ובמיומנות שלהם כדי לנסות להביס את מוצרי האבטחה בסביבה.

תוקפים המשתמשים בתוכנת כופר מונעים מרווחים קלים, כך שהוספה על העלות שלהם באמצעות הקשחת האבטחה היא המפתח בהפרעה לכלכלת פשעי הסייבר. המשמעות של קבלת החלטות אנושית זו היא שאפילו אם מוצרי אבטחה מזהים שלבי מתקפה ספציפיים, התוקפים בעצמם לא מגורשים באופן מלא; הם מנסים להמשיך אם הם לא נחסמים על-ידי בקרת אבטחה. במקרים רבים, אם כלי או תוכן מנה מזוהה ונחסם על-ידי מוצר אנטי-וירוס, התוקפים פשוט תוספים כלי אחר או משנים את תוכן המנה שלהם.

תוקפים גם מודעים לזמני התגובה של מרכז תפעול אבטחה המידע (SOC) וליכולות ולמגבלות של כלי זיהוי. עד שהמתקפה מגיע לשלב של מחיקת גיבויים או הטלת צל על עותקים, היא נמצאת במרחק של דקות מפריסת תוכנת כופר. היריב ככל הנראה כבר ביצע פעולות מזיקות כגון חילוץ של נתונים. ידע זה חשוב ביותר למרכזי SOC שמגיבים לתוכנת כופר: חקירת זיהויים כגון Cobalt Strike לפני שלב הפריסת של תוכנת הכופר וביצוע פעולות תיקון מהירות ונהלים של תגובה לתקריות (IR), הם קריטיים להכלה של יריב אנושי.