Ransomver kao usluga: Novo lice industrijalizovanog kibernetičkog kriminala

Ransomver kao model usluge omogućio je brzo usavršavanje i industrijalizaciju onoga što manje sposobni kriminalci mogu da postignu. U prošlosti, ovi manje sofisticirani kriminalci možda su koristili zlonamerni softver koji su napravili ili kupili da bi izvodili napade ograničenog obima, ali sada mogu da dobiju sve što im je potrebno – od pristupa mrežama do ransomvera – od svojih RaaS operatera (naravno, uz određenu nadoknadu). Mnogi RaaS programi dalje uključuju skup ponuda za podršku pri iznuđivanju, uključujući hostovanje sajtova sa curenjem podataka i integraciju u beleške o otkupnini, kao i pregovaranje o dešifrovanju, pritisak za plaćanje i usluge transakcija kriptovalutama.

To znači da uticaj uspešnog ransomvera i napada iznude ostaje isti bez obzira na veštine napadača.

Jedan od načina na koje RaaS operateri obezbeđuju vrednost svojim filijalama jeste pružanje pristupa ugroženim mrežama. Brokeri pristupa skeniraju internet u potrazi za ranjivim sistemima, koje mogu kompromitovati i rezervisati za kasniji profit.

Da bi bili uspešni, napadačima su potrebni akreditivi. Kompromitovani akreditivi su toliko važni za ove napade da kada kibernetički kriminalci prodaju pristup mreži, u mnogim slučajevima cena uključuje garantovani administratorski nalog.

Ono što kriminalci rade sa svojim pristupom nakon što se to postigne može se veoma razlikovati u zavisnosti od grupa, količine podataka ili motivacije. Vreme između početnog pristupa i praktične primene iznutra stoga može da varira od minuta do dana ili duže, ali kad okolnosti to dozvoljavaju, šteta može biti naneta vrtoglavom brzinom. U stvari, primećeno je da vreme od početnog pristupa do potpunog otkupa (uključujući primopredaju posrednika pristupa RaaS filijali) traje manje od jednog sata.

Jednom kad napadači dobiju pristup mreži, teško će je napustiti – čak i pošto dobiju otkup. U stvari, plaćanje otkupnine možda neće smanjiti rizik za pogođenu mrežu i potencijalno služi samo za finansiranje kibernetičkih kriminalaca, koji će nastaviti da pokušavaju da unovče napade različitim sadržajima zlonamernog softvera ili ransomvera sve dok ne budu izbačeni.

Prenos koji se dešava između različitih napadača kako se dešavaju tranzicije u ekonomiji kibernetičkog kriminala znači da više grupa aktivnosti može opstati u okruženju koristeći različite metode koje se razlikuju od alatki koje se koriste u napadima ransomverom. Na primer, početni pristup koji je stekao bankarski trojanac dovodi do primene alatke Cobalt Strike, ali RaaS filijala koja je kupila pristup može izabrati da koristi alatku za daljinski pristup kao što je TeamViewer za upravljanje kampanjom.

Korišćenje legitimnih alatki i podešavanja za opstanak u odnosu na implantate zlonamernog softvera kao što je Cobalt Strike popularna je tehnika među napadačima ransomverom kako bi se izbeglo otkrivanje i duže zadržavanje u mreži.

Još jedna popularna tehnika napadača jeste kreiranje novih pozadinskih korisničkih naloga, bilo lokalnih ili u usluzi Active Directory, koji se zatim mogu dodati alatkama za daljinski pristup kao što su virtuelna privatna mreža (VPN) ili udaljena radna površina. Napadači ransomverom takođe su primećeni kako uređuju podešavanja na sistemima da bi omogućili udaljenu radnu površinu, smanjili bezbednost protokola i dodali nove korisnike u grupu korisnika udaljene radne površine.

Jedan od kvaliteta RaaS-a koji pretnju čini toliko zabrinjavajućim jeste to kako se oslanja na ljude napadače koji mogu da donose informisane i proračunate odluke i menjaju obrasce napada na osnovu onoga što pronađu na mrežama u koje dopru obezbeđujući ostvarenje svojih ciljeva.

Microsoft je skovao termin ransomver kojim upravljaju ljudi da bi definisao ovu kategoriju napada kao lanac aktivnosti koji kulminira korisnim podacima ransomvera, a ne kao skup korisnih podataka zlonamernog softvera koji treba blokirati.

Dok se većina početnih kampanja za pristup oslanja na automatizovano izviđanje, kada napad pređe na fazu praktične upotrebe iznutra, napadači će koristiti svoje znanje i veštinu da pokušaju da pobede bezbednosne proizvode u okruženju.

Napadači ransomverom su motivisani lakom zaradom, tako da je povećanje njihovih troškova kroz bezbednosno jačanje ključno za narušavanje ekonomije kibernetičkog kriminala. Ovo ljudsko donošenje odluka znači da čak i ako bezbednosni proizvodi otkriju određene faze napada, sami napadači neće biti u potpunosti isterani; oni će pokušati da nastave ako ih bezbednosna kontrola ne blokira. U mnogim slučajevima, ako antivirusni proizvod otkrije i blokira alatku ili korisne podatke, napadači jednostavno mogu da ugrabe drugu alatku ili modifikuju podatke.

Napadači su takođe svesni vremena odgovora operativnog centra za bezbednost (SOC) i mogućnosti i ograničenja alatki za otkrivanje. Dok napad ne dostigne fazu brisanja rezervnih kopija ili kopija u senci, biće na samo nekoliko minuta od primene ransomvera. Protivnik bi verovatno već izvršio štetne radnje kao što je izvlačenje podataka. Ovo znanje je ključno za SOC-ove koji reaguju na ransomver: istraživanje detekcija kao što je Cobalt Strike pre faze implementacije ransomvera i izvođenje brzih akcija sanacije i postupaka odgovora na incidente (IR) kritični su za zadržavanje ljudskog protivnika.