Ransomware: Το τελευταίο κεφάλαιο

Το Ransomware είναι η πιο σημαντική απειλή για την ασφάλεια στον κυβερνοχώρο που αντιμετωπίζουν σήμερα οι οργανισμοί. Αλλά πρόσφατα, ηγέτες από την Εθνική Υπηρεσία Ασφαλείας και το FBI και τα δύο έδειξε ότι οι επιθέσεις μειώθηκαν κατά το πρώτο εξάμηνο του 2022. Ο συνδυασμός των κυρώσεων στη Ρωσία, από όπου προέρχονται πολλές συμμορίες κυβερνοεγκληματιών, και η κατάρρευση των αγορών κρυπτονομισμάτων μπορεί να είχε αποτέλεσμα, δυσκολεύοντας τις συμμορίες ransomware να αποσπάσουν κεφάλαια και να λάβουν τις πληρωμές τους.

Αλλά δεν έχουμε βγει ακόμα από το δάσος. Παρά την προσωρινή πτώση, το ransomware όχι μόνο ακμάζει αλλά και εξελίσσεται. Σήμερα, το ransomware-as-a-service (RaaS) έχει εξελιχθεί από ένα εμπορευματοποιημένο, αυτοματοποιημένο μοντέλο που βασίζεται σε προσυσκευασμένα κιτ εκμετάλλευσης, σε μια ανθρώπινη, εξαιρετικά στοχευμένη και εξελιγμένη επιχειρηματική λειτουργία. Αυτός είναι ο λόγος για τις επιχειρήσεις οποιουδήποτε μεγέθους να ανησυχούν.

Γίνοντας RaaS

Είναι ευρέως γνωστό ότι οι σημερινοί κυβερνοεγκληματίες είναι καλά εξοπλισμένοι, έχουν υψηλά κίνητρα και πολύ αποτελεσματικοί. Δεν τα κατάφεραν τυχαία, και δεν έχουν παραμείνει τόσο αποτελεσματικά χωρίς συνέχεια εξελίσσουν τις τεχνολογίες και τις μεθοδολογίες τους. Το κίνητρο του τεράστιου οικονομικού κέρδους ήταν το μόνο σταθερό.

Οι πρώτες επιθέσεις ransomware ήταν απλές επιθέσεις με γνώμονα την τεχνολογία. Οι επιθέσεις οδήγησαν σε αυξημένη εστίαση στις δυνατότητες δημιουργίας αντιγράφων ασφαλείας και επαναφοράς, γεγονός που οδήγησε τους αντιπάλους να αναζητήσουν ηλεκτρονικά αντίγραφα ασφαλείας και να τα κρυπτογραφήσουν επίσης κατά τη διάρκεια μιας επίθεσης. Η επιτυχία του επιτιθέμενου οδήγησε σε μεγαλύτερα λύτρα και οι μεγαλύτερες απαιτήσεις για λύτρα έκαναν λιγότερο πιθανό να πληρώσει το θύμα και πιο πιθανό να εμπλακεί η επιβολή του νόμου. Οι συμμορίες ransomware απάντησαν με εκβιασμό. Πέρασαν όχι μόνο στην κρυπτογράφηση δεδομένων, αλλά και στην εκδίωξη και στην απειλή να δημοσιοποιήσουν τα συχνά ευαίσθητα δεδομένα των πελατών ή των συνεργατών του θύματος, εισάγοντας έναν πιο περίπλοκο κίνδυνο ζημίας της επωνυμίας και της φήμης. Σήμερα, δεν είναι ασυνήθιστο για τους εισβολείς ransomware να αναζητούν την πολιτική ασφάλισης στον κυβερνοχώρο ενός θύματος για να βοηθήσουν στον καθορισμό της ζήτησης λύτρων και να κάνουν την όλη διαδικασία (συμπεριλαμβανομένης της πληρωμής) όσο το δυνατόν πιο αποτελεσματική.

Έχουμε δει επίσης λιγότερο πειθαρχημένες (αλλά εξίσου επιζήμιες) επιθέσεις ransomware. Για παράδειγμα, η επιλογή πληρωμής λύτρων με τη σειρά του προσδιορίζει επίσης ένα θύμα ως αξιόπιστο κατάλληλο για μελλοντική επίθεση, αυξάνοντας την πιθανότητα να χτυπηθεί ξανά, από την ίδια ή διαφορετική συμμορία ransomware. Ερευνητικές εκτιμήσεις μεταξύ 50% σε 80% (PDF) οργανώσεων που πλήρωσαν λύτρα υπέστησαν επανειλημμένη επίθεση.

Καθώς οι επιθέσεις ransomware έχουν εξελιχθεί, το ίδιο συμβαίνει και με τις τεχνολογίες ασφαλείας, ειδικά σε τομείς αναγνώρισης και αποκλεισμού απειλών. Τεχνολογίες κατά του phishing, φίλτρων ανεπιθύμητης αλληλογραφίας, προστασίας από ιούς και εντοπισμού κακόβουλου λογισμικού έχουν όλα βελτιωθεί για την αντιμετώπιση σύγχρονων απειλών για την ελαχιστοποίηση της απειλής συμβιβασμού μέσω email, κακόβουλων ιστότοπων ή άλλων δημοφιλών φορέων επίθεσης.

Αυτό το παροιμιώδες παιχνίδι «γάτας με το ποντίκι» μεταξύ αντιπάλων και παρόχων ασφάλειας που προσφέρουν καλύτερες άμυνες και εξελιγμένες προσεγγίσεις για τον τερματισμό των επιθέσεων ransomware έχει οδηγήσει σε περισσότερη συνεργασία εντός παγκόσμιων κυκλωμάτων κυβερνοεγκληματικότητας. Όπως οι ειδικοί κροτίδων και συναγερμών που χρησιμοποιούνται σε παραδοσιακές ληστείες, οι ειδικοί στην ανάπτυξη κακόβουλου λογισμικού, την πρόσβαση στο δίκτυο και την εκμετάλλευση τροφοδοτούν τις σημερινές επιθέσεις και δημιούργησε συνθήκες για την επόμενη εξέλιξη στο ransomware.

Το μοντέλο RaaS σήμερα

Το RaaS έχει εξελιχθεί για να γίνει μια εξελιγμένη, ανθρωποκεντρική επιχείρηση με ένα πολύπλοκο επιχειρηματικό μοντέλο επιμερισμού κερδών. Ένας χειριστής RaaS που μπορεί να εργαζόταν ανεξάρτητα στο παρελθόν τώρα συνάπτει συμβάσεις με ειδικούς για να αυξήσει τις πιθανότητες επιτυχίας.

Ένας χειριστής RaaS — ο οποίος διατηρεί συγκεκριμένα εργαλεία ransomware, επικοινωνεί με το θύμα και εξασφαλίζει πληρωμές — θα εργάζεται τώρα συχνά μαζί με έναν χάκερ υψηλού επιπέδου, ο οποίος θα πραγματοποιήσει ο ίδιος την εισβολή. Η ύπαρξη ενός διαδραστικού εισβολέα εντός του περιβάλλοντος στόχου επιτρέπει τη ζωντανή λήψη αποφάσεων κατά τη διάρκεια της επίθεσης. Δουλεύοντας μαζί, εντοπίζουν συγκεκριμένες αδυναμίες εντός του δικτύου, κλιμακώνουν τα προνόμια και κρυπτογραφούν τα πιο ευαίσθητα δεδομένα για να εξασφαλίσουν πληρωμές. Επιπλέον, πραγματοποιούν αναγνώριση για να βρουν και να διαγράψουν ηλεκτρονικά αντίγραφα ασφαλείας και να απενεργοποιήσουν τα εργαλεία ασφαλείας. Ο συμβεβλημένος χάκερ θα εργάζεται συχνά μαζί με έναν μεσίτη πρόσβασης, ο οποίος είναι υπεύθυνος για την παροχή πρόσβασης στο δίκτυο μέσω κλεμμένων διαπιστευτηρίων ή μηχανισμών επιμονής που υπάρχουν ήδη.

Οι επιθέσεις που προκύπτουν από αυτή τη συνεργασία εμπειρογνωμοσύνης έχουν την αίσθηση και την εμφάνιση «παλιομοδίτικων» προηγμένων, επίμονων επιθέσεων τύπου απειλής που χρηματοδοτούνται από το κράτος, αλλά είναι πολύ πιο διαδεδομένες.

Πώς οι οργανισμοί μπορούν να υπερασπιστούν τον εαυτό τους

Το νέο μοντέλο RaaS που λειτουργεί από τον άνθρωπο είναι πολύ πιο εξελιγμένο, στοχευμένο και καταστροφικό από τα μοντέλα RaaS του παρελθόντος, αλλά εξακολουθούν να υπάρχουν βέλτιστες πρακτικές που μπορούν να ακολουθήσουν οι οργανισμοί για να αμυνθούν.

Οι οργανισμοί πρέπει να είναι πειθαρχημένοι σχετικά με την υγιεινή ασφάλειάς τους. Το IT αλλάζει πάντα και κάθε φορά που προστίθεται ένα νέο τελικό σημείο ή ενημερώνεται ένα σύστημα, έχει τη δυνατότητα να εισαγάγει μια νέα ευπάθεια ή κίνδυνο. Οι ομάδες ασφαλείας πρέπει να παραμείνουν εστιασμένες στις βέλτιστες πρακτικές ασφαλείας: επιδιόρθωση, χρήση ελέγχου ταυτότητας πολλαπλών παραγόντων, επιβολή ισχυρών διαπιστευτηρίων, σάρωση του Dark Web για παραβιασμένα διαπιστευτήρια, εκπαίδευση εργαζομένων για τον εντοπισμό προσπαθειών ηλεκτρονικού ψαρέματος και πολλά άλλα. Αυτά τα Οι βέλτιστες πρακτικές συμβάλλουν στη μείωση της επιφάνειας επίθεσης και ελαχιστοποιήστε τον κίνδυνο ότι ένας μεσίτης πρόσβασης θα είναι σε θέση να εκμεταλλευτεί μια ευπάθεια για να αποκτήσει είσοδο. Επιπλέον, όσο ισχυρότερη υγιεινή ασφαλείας έχει ένας οργανισμός, τόσο λιγότερος «θόρυβος» θα υπάρχει για τους αναλυτές που θα μπορούν να ταξινομήσουν στο κέντρο επιχειρήσεων ασφαλείας (SOC), δίνοντάς τους τη δυνατότητα να επικεντρωθούν στην πραγματική απειλή όταν κάποιος εντοπιστεί.

Πέρα από τις βέλτιστες πρακτικές ασφάλειας, οι οργανισμοί πρέπει επίσης να διασφαλίσουν ότι διαθέτουν προηγμένες δυνατότητες ανίχνευσης και απόκρισης απειλών. Επειδή οι μεσίτες πρόσβασης ξοδεύουν χρόνο εκτελώντας αναγνωρίσεις στην υποδομή του οργανισμού, οι αναλυτές ασφαλείας έχουν την ευκαιρία να τους εντοπίσουν και να σταματήσουν την επίθεση στα αρχικά της στάδια — αλλά μόνο εάν διαθέτουν τα κατάλληλα εργαλεία. Οι οργανισμοί θα πρέπει να αναζητήσουν λύσεις εκτεταμένης ανίχνευσης και απόκρισης που μπορούν να ανιχνεύουν και να συσχετίζουν την τηλεμετρία από συμβάντα ασφαλείας στα τελικά σημεία, τα δίκτυα, τους διακομιστές, τα συστήματα ηλεκτρονικού ταχυδρομείου και cloud και τις εφαρμογές τους. Χρειάζονται επίσης την ικανότητα να ανταποκρίνονται οπουδήποτε εντοπίζεται η επίθεση για να την τερματίσουν γρήγορα. Οι μεγάλες επιχειρήσεις μπορεί να έχουν αυτές τις δυνατότητες ενσωματωμένες στο SOC τους, ενώ οι μεσαίου μεγέθους οργανισμοί μπορεί να θέλουν να εξετάσουν το μοντέλο διαχειριζόμενης ανίχνευσης και απόκρισης για παρακολούθηση και απόκριση απειλών 24/7.

Παρά την πρόσφατη μείωση των επιθέσεων ransomware, οι επαγγελματίες ασφάλειας δεν θα πρέπει να αναμένουν ότι η απειλή θα εξαφανιστεί σύντομα. Το RaaS θα συνεχίσει να εξελίσσεται, με τις πιο πρόσφατες προσαρμογές να αντικατασταθούν από νέες προσεγγίσεις ως απάντηση στις καινοτομίες στον τομέα της κυβερνοασφάλειας. Αλλά με εστίαση στις βέλτιστες πρακτικές ασφάλειας σε συνδυασμό με τις βασικές τεχνολογίες πρόληψης, ανίχνευσης και απόκρισης απειλών, οι οργανισμοί θα γίνουν πιο ανθεκτικοί στις επιθέσεις.