Ransomware as a service: het nieuwe gezicht van geïndustrialiseerde cybercriminaliteit

Het Ransomware as a Service-model heeft een snelle verfijning en industrialisatie mogelijk gemaakt van wat minder handige criminelen kunnen bereiken. In het verleden hebben deze minder handige criminelen misschien zelf ontwikkelde of gekochte standaardmalware gebruikt om beperkte aanvallen uit te voeren, maar nu kunnen ze alles krijgen wat ze nodig hebben, van toegang tot netwerken tot ransomware-payloads, alles van hun RaaS-operators (voor een prijs natuurlijk). Veel RaaS-programma's bevatten een pakket aan aanbiedingen voor afpersingsondersteuning, waaronder leksitehosting en integratie in ransom-tekst, evenals ontsleutelingsonderhandeling, betalingsdruk en services voor cryptovaluta-transacties.

Dit betekent dat de impact van een succesvolle ransomware- en afpersingsaanval hetzelfde blijft ongeacht welke vaardigheden de aanvaller heeft.

Eén manier waarop RaaS-operators waarde aan hun partners leveren is door toegang tot gecompromitteerde netwerken te bieden. Toegangsbemiddelaars scannen het internet op kwetsbare systemen waarop ze inbreuk kunnen plegen en die ze voor latere winsten kunnen reserveren.

Aanvallers hebben aanmeldingsgegevens nodig om succesvol te zijn. Gecompromitteerde aanmeldingsgegevens zijn zo belangrijk bij deze aanvallen dat bij de verkoop van netwerktoegang in veel gevallen de prijs een gegarandeerd beheerdersaccount omvat.

Wat de criminelen met hun toegang doen, kan variëren afhankelijk van de groepen en hun workloads of motivaties. De tijd tussen initiële toegang tot een hands-on keyboard implementatie kan daarom variëren van enkele minuten tot dagen of langer, maar wanneer de omstandigheden het toestaan kan er heel snel schade worden berokkend. Er is waargenomen dat de tijd van initiële toegang tot volledige afpersing (inclusief overdracht van een toegangsbemiddelaar aan een RaaS-partner) in feite minder dan een uur in beslag hoeft te nemen.

Als aanvallers eenmaal toegang tot een netwerk hebben, gaan ze niet graag weg, zelfs niet nadat ze het geld hebben gekregen. Het kan zelfs zo zijn dat het betalen van losgeld het risico op een gecompromitteerd netwerk niet vermindert. Cybercriminelen kunnen met het geld aanvallen met andere malware of ransomware-payloads financieren totdat ze uit het systeem zijn verwijderd.

De overdracht die plaatsvindt tussen verschillende aanvallers als transities in de cybercriminele economie betekent dat meerdere activiteitengroepen zich in een omgeving kunnen bevinden die verschillende methoden apart van de in een ransomware-aanval gebruikte tools gebruiken. Zo leidt bijvoorbeeld een eerste toegang van een Trojaans paard voor bankieren tot een Cobalt Strike-implementatie, maar de RaaS-partner die de toegang heeft gekocht kan ervoor kiezen een tool voor externe toegang zoals TeamViewer te gebruiken om zijn werk uit te voeren.

Het gebruik van legitieme tools en instellingen om te persisteren versus malware-implementaties zoals Cobalt Strike is een populaire techniek onder ransomware-aanvallers om detectie te vermijden en voor langere tijd resident in het netwerk te blijven.

Een andere populaire aanvalstechniek is het maken van nieuwe backdoor-gebruikersaccounts, lokaal of in Active Directory, die vervolgens kunnen worden toegevoegd aan tools voor externe toegang zoals een VPN of Extern bureaublad. Ook is waargenomen dat ransomware-aanvallers de instellingen op systemen bewerken om Extern bureaublad in te schakelen, de beveiliging van het protocol te reduceren en nieuwe gebruikers toe te voegen aan de groep Gebruikers van Extern bureaublad.

Een van de kwaliteiten van RaaS die de bedreiging zo zorgelijk maakt, is hoe deze wordt uitgevoerd door mensen die geïnformeerde en berekende beslissingen kunnen nemen en aanvalspatronen kunnen variëren op basis van wat ze vinden in de netwerken waarin ze terechtkomen, waardoor ze zeker weten dat ze hun doelen bereiken.

Microsoft gebruikt de term door mensen beheerde ransomware om deze categorie aanvallen te definiëren als een reeks activiteiten die uitmondt in een ransomware-payload, niet als een set malware-payloads die moeten worden geblokkeerd.

Terwijl de meeste campagnes voor eerste toegang werken met geautomatiseerde verkenning, gebruiken aanvallers wanneer ze overstappen op de hands-on-keyboard fase hun kennis en vaardigheden om de beveiligingsproducten in de omgeving te verslaan.

Ransomware-aanvallers worden gemotiveerd door gemakkelijke winsten, dus het opvoeren van hun kosten via beveiliging is de sleutel tot het verstoren van de cybercriminele economie. Deze menselijke besluitvorming betekent dat zelfs als beveiligingsproducten specifieke aanvalsfasen ontdekken, de aanvallers zelf niet volledig worden verwijderd. Ze zullen pogingen blijven ondernemen als ze niet door een beveiligingsmaatregel worden geblokkeerd. Als een tool of payload wordt gedetecteerd en geblokkeerd door een antivirusproduct, zullen aanvallers in de meeste gevallen gewoon een andere tool gebruiken of hun payload aanpassen.

Aanvallers zijn zich ook bewust van de reactietijden van het beveiligingscentrum en de mogelijkheden en beperkingen van detectietools. Slechts enkele minuten na de ransomware-implementatie kan de aanval al back-ups of schaduwkopieën verwijderen. De aanvaller heeft waarschijnlijk al schadelijke acties uitgevoerd, zoals de exfiltratie van gegevens. Deze kennis is belangrijk voor SOC's om op ransomware te reageren: detecties zoals Cobalt Strike onderzoeken vóór de implementatie van ransomware en snelle herstelacties en IR-procedures (incident response) uitvoeren is van cruciaal belang om menselijke aanvallen te beperken.