Oprogramowanie ransomware jako usługa: nowe oblicze uprzemysłowionego cyberprzestępstwa

Model oprogramowania ransomware jako usługa ułatwił szybkie udoskonalenie i uprzemysłowienie działań mniej wyspecjalizowanych przestępców. Dawniej tacy mniej doświadczeni przestępcy mogli wykorzystywać stworzone przez siebie lub kupione oprogramowanie malware, aby przeprowadzać ataki o ograniczonym zakresie. Jednak obecnie mogą osiągnąć wszystkie swoje cele — od dostępu do sieci po ładunki ransomware’owe — z pomocą operatorów RaaS (oczywiście za odpowiednią opłatą). Wiele programów RaaS oferuje inne możliwości wymuszeń, w tym hosting witryn z wyciekami danych, integracja z żądaniami okupu, a także negocjacje dotyczące odszyfrowywania, wymuszania zapłaty i transakcji w kryptowalutach.

Oznacza to, że skuteczne oprogramowanie ransomware i ataki wymuszające okup pozostają takie same bez względu na umiejętności atakujących.

Jednym ze sposobów, w jaki operatorzy RaaS zapewniają korzyści podmiotom stowarzyszonym, jest zapewnienie dostępu do sieci z naruszonymi zabezpieczeniami. Brokerzy dostępu skanują internet pod kątem systemów podatnych na ataki. Następnie naruszają ich zabezpieczenia i zachowują takie zasoby, by później czerpać z nich korzyści.

Aby odnieść sukces, atakujący potrzebują informacji logowania. Naruszone dane logowania odgrywają kluczową rolę w takich atakach, ponieważ kiedy cyberprzestępcy sprzedają dostęp do sieci, to w wielu przypadkach w cenę wliczone jest gwarantowane konto administratora.

To, co przestępcy zrobią z dostępem, zależy od danej grupy, ich specjalizacji lub motywów działania. Zatem czas między pierwszym dostępem a wdrożeniem może wynosić od kilku minut do kilku dni lub dłużej, ale gdy okoliczności są sprzyjające, może do tego dojść błyskawicznie. Tak naprawdę, szacuje się, że od pierwszego dostępu do pełnego wymuszenia okupu (łącznie z przekazaniem dostępu podmiotowi stowarzyszonemu RaaS przez brokera) może minąć niecała godzina.

Gdy atakujący uzyskają dostęp do sieci, nie są skłonni jej opuszczasz, nawet po odebraniu okupu. W zasadzie to zapłata okupu nie oznacza, że niebezpieczeństwo dla danej sieci minęło. Może ona nadal służyć cyberprzestępcom do zarabiania na atakach z użyciem innych ładunków oprogramowania malware lub ransomware, dopóki nie opuszczą sieci.

Przekazanie dostępów między różnymi atakującymi w trakcie zmian w gospodarce cyberprzestępczej oznacza, że w środowisku może działać wiele grup, które korzystają z różnych metod, w zależności od narzędzi używanych podczas ataków ransomware’owych. Na przykład początkowy dostęp uzyskany przez trojana bankowego prowadzi do wdrożenia Cobalt Strike, ale podmiot stowarzyszony RaaS, który zakupił dostęp, może zechcieć wykorzystać do zarządzania kampanią narzędzie dostępu zdalnego, takie jak TeamViewer.

Używanie legalnych narzędzi i ustawień w celu utrzymania się w walce z elementami złośliwego oprogramowania, takimi jak Cobalt Strike, to popularna technika wśród atakujących oprogramowaniem ransomware, pozwalająca uniknąć wykrycia i umożliwiająca dłuższe działanie w sieci.

Inną popularną techniką jest stworzenie nowego konta użytkownika typu backdoor, lokalnie lub w Active Directory, które można potem dodać do narzędzi dostępu zdalnego, takich jak VPN lub pulpit zdalny. Atakujący oprogramowaniem ransomware zmieniają także ustawienia systemów, aby umożliwić działanie pulpitu zdalnego, ograniczyć bezpieczeństwo protokołu i dodać nowych użytkowników do grupy użytkowników pulpitu zdalnego.

Jedną z cech RaaS, która sprawia, że jest to tak poważne zagrożenie, jest to, że atakującymi są ludzie, którzy mogą podejmować świadome i przemyślane decyzje oraz zmieniać wzorce ataków w oparciu o to, co znajdą w sieci, w której się znajdą, przez co osiągają swoje cele.

Microsoft stworzył pojęcie oprogramowania ransomware obsługiwanego przez człowieka, aby określić tę kategorię ataków jako łańcuch działań, których kulminacją jest ładunek oprogramowania ransomware, a nie zestaw ładunków, które należy zablokować.

Podczas gdy większość kampanii początkowego dostępu opiera się na automatycznym rozpoznaniu, gdy atak przejdzie do fazy „ręce na klawiaturze”, atakujący wykorzystają swoją wiedzę i umiejętności, aby spróbować pokonać produkty zabezpieczające zasoby w środowisku.

Atakujący używający oprogramowania wymuszającego okup są motywowani łatwymi zyskami, więc zwiększenie ich kosztów poprzez utwardzenie zabezpieczeń jest kluczem do zakłócenia ekonomii cyberprzestępców. Taka ludzka decyzja oznacza, że nawet jeśli produkt zabezpieczający wykryje poszczególne etapy ataku, sami atakujący nie zostaną usunięci z sieci. Jeśli nie zostaną zablokowani przez kontrolę bezpieczeństwa, będą próbować kontynuować działania. W wielu przypadkach, jeśli narzędzie lub ładunek zostanie wykryty i zablokowany przez program antywirusowy, atakujący po prostu wykorzystują inne narzędzie lub modyfikują ładunek.

Atakujący wiedzą też o czasie odpowiedzi Security Operations Center (SOC) oraz możliwościach i ograniczeniach narzędzi wykrywających. Gdy atak dojdzie do etapu skasowania kopii zapasowej lub kopii w tle, wystarczą minuty, aby wdrożyć oprogramowanie ransomware. W tym czasie wróg prawdopodobnie dokonał już szkód, na przykład wykradł dane. Ta wiedza jest kluczowa dla reakcji SOC na oprogramowanie ransomware: wykrywanie narzędzi, takich jak Cobalt Strike, zanim oprogramowanie ransomware zostanie wdrożone i sprawne działania korygujące oraz reagowanie na zdarzenia są niezwykle istotne w walce z ludzkim wrogiem.