Kuinka väistää uusia kiristyshaittaohjelmia

Kyberrikollisista on tulossa entistä strategisempia ja ammattimaisempia ransomware. He jäljittelevät yhä enemmän laillisten yritysten toimintaa, mukaan lukien kasvavaa tietoverkkorikollisuutta palveluna tarjoava toimitusketjua.

Tässä artikkelissa kuvataan neljä keskeistä kiristysohjelmatrendiä ja neuvotaan, kuinka vältät joutumasta näiden uusien hyökkäysten uhriksi. 

1. IAB:t nousussa

Tietoverkkorikollisuudesta on tulossa kannattavampaa, mistä on osoituksena yritysten murtamiseen, valtuustietojen varastamiseen ja pääsyn myymiseen muille hyökkääjille erikoistuneiden IAB-välittäjien määrä. IAB:t ovat ensimmäinen lenkki kyberrikollisuuden palveluna tappamisketjussa, varjotaloudessa, jossa on valmiita palveluita, joita kuka tahansa rikollinen voi ostaa rakentaakseen kehittyneitä työkaluketjuja lähes minkä tahansa kuviteltavissa olevan digitaalisen rikoksen toteuttamiseen.

IAB:n tärkeimmät asiakkaat ovat ransomware-operaattoreita, jotka ovat valmiita maksamaan pääsystä valmiiden uhrien luo, samalla kun he keskittävät omat voimansa kiristykseen ja haittaohjelmiensa parantamiseen.

Vuonna 2021 niitä oli enemmän kuin 1,300 XNUMX IAB-listausta KELA Cyber ​​Intelligence Centerin valvomilla suurilla kyberrikosfoorumeilla, joista lähes puolet tulee 10:ltä IAB:lta. Useimmissa tapauksissa pääsyn hinta oli 1,000 10,000–4,600 XNUMX dollaria ja keskimääräinen myyntihinta XNUMX XNUMX dollaria. Kaikista saatavilla olevista tarjouksista kuuluivat VPN-tunnistetiedot ja verkkotunnuksen järjestelmänvalvojan käyttöoikeudet arvokkain.

2. Tiedostottomat hyökkäykset lentävät tutkan alla

Kyberrikolliset ottavat mallia kehittyneiltä jatkuvalta uhilta (APT) ja kansallisvaltion hyökkääjiltä käyttämällä elämisen ulkopuolisia (LotL) ja tiedostottomia tekniikoita parantaakseen mahdollisuuksiaan kiertää havaitsemista ja ottaa onnistuneesti käyttöön kiristysohjelmat.

Nämä hyökkäykset hyödyntävät laillisia, julkisesti saatavilla olevia ohjelmistotyökaluja, joita usein löytyy kohteen ympäristöstä. Esimerkiksi 91 % DarkSide lunnasohjelma Hyökkäyksissä käytettiin laillisia työkaluja, ja vain 9 % käytti haittaohjelmia raportti kirjoittanut Picus Security. Muita hyökkäyksiä on havaittu, jotka olivat 100 % tiedostottomia.

Tällä tavalla uhkatekijät välttävät havaitsemisen välttämällä "tunnettuja huonoja" ilmaisimia, kuten prosessien nimiä tai tiedostojen hajautusmerkkejä. Sovellusten sallimisluettelot, jotka sallivat luotettujen sovellusten käytön, eivät myöskään rajoita haitallisia käyttäjiä, etenkään kaikkialla olevien sovellusten osalta. 

3. Ransomware-ryhmät, jotka kohdistavat matalan profiilin kohteet

Korkean profiilin Siirtomaa putki ransomware-hyökkäys toukokuussa 2021 vaikutti kriittiseen infrastruktuuriin niin vakavasti, että se laukaisi kansainvälisen ja hallituksen korkein vastaus.

Tällaiset otsikoihin kaappaavat hyökkäykset saavat lainvalvonta- ja puolustusviranomaiset tarkastelemaan ja ryhtymään yhteisiin ponnisteluihin ransomware-operaattoreiden torjumiseksi, mikä johtaa rikollisen toiminnan häiriintymiseen sekä pidätyksiä ja syytteitä vastaan. Useimmat rikolliset mieluummin pitävät toimintansa tutkan alla. Mahdollisten kohteiden lukumäärän vuoksi operaattoreilla on varaa olla opportunistisia ja samalla minimoida omaan toimintaansa kohdistuva riski. Ransomware-toimijat ovat tulleet paljon valikoivammiksi uhrien kohdistamisessa IAB:n toimittamien yksityiskohtaisten ja yksityiskohtaisten firmografisten tietojen ansiosta.

4. Sisäpiiriläiset houkuttelevat palan piirakkaa

Ransomware-operaattorit ovat myös havainneet, että he voivat palkata roistotyöntekijöitä auttamaan heitä pääsemään sisään. Muuntoprosentti voi olla alhainen, mutta voitto voi olla vaivan arvoinen.

A Hitachi ID:n tekemä tutkimus 7. joulukuuta 2021 ja 4. tammikuuta 2022 välisenä aikana tehtyjen tietojen mukaan 65 % vastaajista sanoi, että uhkatekijät olivat ottaneet heidän työntekijöitään yhteyttä saadakseen yhteyden alkuun. Sisäpiiriläisillä, jotka tarttuvat syöttiin, on erilaisia ​​syitä olla valmiita pettämään yrityksensä, vaikka tyytymättömyys työnantajaansa on yleisin motivaattori.

Oli syy mikä tahansa, lunnasohjelmaryhmien tekemät tarjoukset voivat olla houkuttelevia. Hitachi ID -tutkimuksessa 57 prosentille työntekijöistä tarjottiin alle 500,000 28 dollaria, 500,000 prosentille 1 11 - 1 miljoona dollaria ja XNUMX prosentille yli miljoona dollaria.

Käytännön vaiheita suojauksen parantamiseksi

Tässä käsitellyt kehittyvät taktiikat lisäävät ransomware-operaattoreiden uhkaa, mutta organisaatiot voivat ryhtyä toimiin suojellakseen itseään:

• Noudata nollaluottamuksen parhaita käytäntöjä, kuten monitekijätodennus (MFA) ja vähiten etuoikeuskäyttö, jotta voidaan rajoittaa vaarantuneiden valtuustietojen vaikutusta ja lisätä mahdollisuutta havaita poikkeava toiminta.
• Keskity sisäpiiriuhkien lieventämiseen, käytäntö, joka voi auttaa rajoittamaan paitsi työntekijöiden myös ulkopuolisten toimijoiden (jotka loppujen lopuksi vaikuttavat sisäpiiriläisiltä saatuaan pääsyn) haitallisia toimia.
  
• harjoittaa säännöllistä uhkametsästystä, jotka voivat auttaa havaitsemaan tiedostottomat hyökkäykset ja uhkatekijät, jotka pyrkivät kiertämään puolustusta varhaisessa vaiheessa.

Hyökkääjät etsivät jatkuvasti uusia tapoja tunkeutua organisaatioiden järjestelmiin, ja näkemämme uudet temput lisäävät varmasti kyberrikollisten etuja hyökkäyksiin valmistautumattomiin organisaatioihin verrattuna. Organisaatiot eivät kuitenkaan ole läheskään avuttomia. Ottamalla tässä artikkelissa kuvatut käytännölliset ja todistetut askeleet organisaatiot voivat tehdä IAB:n ja kiristyshaittaohjelmaryhmien elämästä erittäin vaikeaa niiden uusista taktiikoista huolimatta.