Τα θύματα Ransomware αυξάνονται καθώς οι ηθοποιοί απειλών περιστρέφονται σε Zero-Day Exploits

Τα θύματα Ransomware αυξάνονται καθώς οι ηθοποιοί απειλών περιστρέφονται σε Zero-Day Exploits

Χρονική σήμανση: 7 Αυγούστου 2023 10:00 μ.μ.
Τα θύματα Ransomware αυξάνονται καθώς οι πρωταγωνιστές απειλών στρέφονται προς την Zero-Day που εκμεταλλεύεται την ευφυΐα δεδομένων PlatoBlockchain. Κάθετη αναζήτηση. Ολα συμπεριλαμβάνονται.

Ο αριθμός των οργανισμών που έπεσαν θύματα επιθέσεων ransomware αυξήθηκε κατά 143% μεταξύ του πρώτου τριμήνου του 2022 και του πρώτου τριμήνου του τρέχοντος έτους, καθώς οι επιτιθέμενοι αξιοποιούσαν όλο και περισσότερο τις ευπάθειες και τις ατέλειες μιας ημέρας για να εισχωρήσουν στα δίκτυα-στόχους.

Σε πολλές από αυτές τις επιθέσεις, οι φορείς απειλών δεν μπήκαν τόσο πολύ στον κόπο να κρυπτογραφήσουν δεδομένα που ανήκαν σε οργανώσεις-θύματα. Αντίθετα, εστίασαν αποκλειστικά στην κλοπή των ευαίσθητων δεδομένων τους και στην εκβίαση των θυμάτων απειλώντας να πουλήσουν ή να διαρρεύσουν τα δεδομένα σε άλλους. Η τακτική άφησε ακόμη και εκείνους με κατά τα άλλα ισχυρές διαδικασίες δημιουργίας αντιγράφων ασφαλείας και αποκατάστασης στη γωνία.

Αύξηση των θυμάτων

Ερευνητές στο Akamai ανακάλυψε τις τάσεις όταν ανέλυσαν πρόσφατα δεδομένα που συγκεντρώθηκαν από ιστότοπους διαρροής που ανήκουν σε 90 ομάδες ransomware. Οι ιστότοποι διαρροών είναι τοποθεσίες όπου οι ομάδες ransomware συνήθως δημοσιοποιούν λεπτομέρειες σχετικά με τις επιθέσεις τους, τα θύματά τους και τυχόν δεδομένα που ενδέχεται να έχουν κρυπτογραφήσει ή διεισδύσει.

Η ανάλυση του Akamai έδειξε ότι αρκετές δημοφιλείς αντιλήψεις σχετικά με τις επιθέσεις ransomware δεν είναι πλέον πλήρως αληθινές. Ένα από τα πιο σημαντικά, σύμφωνα με την εταιρεία, είναι η μετάβαση από το phishing ως φορέα αρχικής πρόσβασης στην εκμετάλλευση ευπάθειας. Η Akamai διαπίστωσε ότι αρκετοί μεγάλοι χειριστές ransomware επικεντρώνονται στην απόκτηση τρωτών σημείων zero-day - είτε μέσω εσωτερικής έρευνας είτε μέσω προμήθειας από πηγές της γκρίζας αγοράς - για χρήση στις επιθέσεις τους.

Ένα αξιοσημείωτο παράδειγμα είναι η ομάδα ransomware Cl0P, η οποία έκανε κατάχρηση μιας ευπάθειας zero-day SQL-injection στο λογισμικό GoAnywhere της Fortra (CVE-2023-0669) στις αρχές του τρέχοντος έτους για να σπάσει σε πολλές εταιρείες υψηλού προφίλ. Τον Μάιο, ο ίδιος παράγοντας απειλής έκανε κατάχρηση ενός άλλου σφάλματος zero-day που ανακάλυψε — αυτή τη φορά στην εφαρμογή μεταφοράς αρχείων MOVEIt της Progress Software (CVE-2023-34362) — να διεισδύσει σε δεκάδες σημαντικούς οργανισμούς παγκοσμίως. Η Akamai διαπίστωσε ότι ο αριθμός των θυμάτων του Cl0p εννεπλασιάστηκε μεταξύ του πρώτου τριμήνου του 2022 και του πρώτου τριμήνου του τρέχοντος έτους, αφού άρχισε να εκμεταλλεύεται σφάλματα zero-day.

Αν και η αξιοποίηση των τρωτών σημείων zero-day δεν είναι ιδιαίτερα νέα, η αναδυόμενη τάση μεταξύ των φορέων ransomware να τα χρησιμοποιούν σε επιθέσεις μεγάλης κλίμακας είναι σημαντική, είπε ο Akamai.

«Ιδιαίτερα ανησυχητική είναι η εσωτερική ανάπτυξη των τρωτών σημείων zero-day», λέει ο Eliad Kimhy, επικεφαλής της ομάδας CORE της έρευνας ασφαλείας της Akamai. "Το βλέπουμε αυτό με το Cl0p με τις δύο πρόσφατες σημαντικές επιθέσεις τους και αναμένουμε από άλλες ομάδες να ακολουθήσουν το παράδειγμά τους και να αξιοποιήσουν τους πόρους τους για να αγοράσουν και να προμηθεύσουν αυτούς τους τύπους τρωτών σημείων."

Σε άλλες περιπτώσεις, μεγάλες εταιρίες ransomware όπως το LockBit και το ALPHV (γνωστό και ως BlackCat) προκάλεσαν όλεθρο πηδώντας σε ευπάθειες που αποκαλύφθηκαν πρόσφατα προτού οι οργανισμοί είχαν την ευκαιρία να εφαρμόσουν την επιδιόρθωση του προμηθευτή για αυτά. Παραδείγματα τέτοιων τρωτών σημείων της «πρώτης ημέρας» περιλαμβάνουν το Τρωτά σημεία PaperCut του Απριλίου 2023 (CVE-2023-27350 και CVE-2023-27351) και τρωτά σημεία στους διακομιστές ESXi της VMware που εκμεταλλεύτηκε ο χειριστής της καμπάνιας ESXiArgs.

Περιστροφή από την κρυπτογράφηση στην εξαγωγή

Η Akamai διαπίστωσε επίσης ότι ορισμένοι χειριστές ransomware - όπως αυτοί που βρίσκονται πίσω από την καμπάνια BianLian - έχουν στραφεί εξ ολοκλήρου από την κρυπτογράφηση δεδομένων σε εκβιασμό μέσω κλοπής δεδομένων. Ο λόγος που η αλλαγή είναι σημαντική είναι ότι με την κρυπτογράφηση δεδομένων, οι οργανισμοί είχαν την ευκαιρία να ανακτήσουν τα κλειδωμένα δεδομένα τους εάν είχαν μια αρκετά ισχυρή διαδικασία δημιουργίας αντιγράφων ασφαλείας και επαναφοράς δεδομένων. Με την κλοπή δεδομένων, οι οργανισμοί δεν έχουν αυτή την ευκαιρία και αντ 'αυτού πρέπει είτε να πληρώσουν είτε να διακινδυνεύσουν να διαρρεύσουν δημόσια τα δεδομένα τους από τους φορείς απειλής — ή χειρότερα, να τα πουλήσουν σε άλλους.

Η διαφοροποίηση των τεχνικών εκβιασμού είναι αξιοσημείωτη, λέει ο Kimhy. «Η εξαγωγή δεδομένων είχε ξεκινήσει ως πρόσθετη μόχλευση που κατά κάποιο τρόπο ήταν δευτερεύουσα σε σχέση με την κρυπτογράφηση των αρχείων», σημειώνει η Kimhy. «Σήμερα βλέπουμε ότι χρησιμοποιείται ως κύριος μοχλός για εκβιασμό, πράγμα που σημαίνει ότι η δημιουργία αντιγράφων ασφαλείας αρχείων, για παράδειγμα, μπορεί να μην είναι επαρκής».

Τα περισσότερα από τα θύματα στο σύνολο δεδομένων του Akamai - περίπου το 65% από αυτά, στην πραγματικότητα - ήταν μικρές έως μεσαίες επιχειρήσεις με αναφερόμενα έσοδα έως και 50 εκατομμύρια δολάρια. Οι μεγαλύτεροι οργανισμοί, που συχνά θεωρούνται οι μεγαλύτεροι στόχοι ransomware, στην πραγματικότητα αποτελούσαν μόνο το 12% των θυμάτων. Οι κατασκευαστικές εταιρείες υπέστησαν δυσανάλογο ποσοστό των επιθέσεων, ακολουθούμενες από οντότητες υγειονομικής περίθαλψης και εταιρείες χρηματοοικονομικών υπηρεσιών. Είναι σημαντικό ότι ο Akamai διαπίστωσε ότι οι οργανισμοί που αντιμετωπίζουν μια επίθεση ransomware είχαν πολύ μεγάλη πιθανότητα να υποστούν μια δεύτερη επίθεση εντός τριών μηνών από την πρώτη επίθεση.

Είναι σημαντικό να τονίσουμε ότι το phishing εξακολουθεί να είναι πολύ σημαντικό για την άμυνα, λέει η Kimhy. Ταυτόχρονα, οι οργανισμοί πρέπει να δώσουν προτεραιότητα στην επιδιόρθωση των τρωτών σημείων που αποκαλύφθηκαν πρόσφατα. Και προσθέτει, «ισχύουν ακόμη οι ίδιες συστάσεις που κάνουμε, όπως η κατανόηση του αντιπάλου, οι επιφάνειες απειλών, οι τεχνικές που χρησιμοποιούνται, προτιμώνται και αναπτύσσονται, και ιδιαίτερα ποια προϊόντα, διαδικασίες και άτομα πρέπει να αναπτύξετε για να σταματήστε μια σύγχρονη επίθεση ransomware».

Σφραγίδα ώρας:

Περισσότερα από Σκοτεινή ανάγνωση