Ucjenjivački softver kao usluga: Novo lice industrijaliziranog računalnog zločina

Model ucjenjivačkog softvera kao usluge omogućio je brzo usavršavanje i industrijalizaciju onog što manje uspješni zločincu mogu ostvariti. U prošlosti su ovi manje sofisticirani zločinci možda koristili zlonamjerni softver kao proizvod koji su ugradili ili kupili radi provođenja napada koji su ograničeni u opsegu, ali sada mogu dobiti sve što im je potrebno – od pristupa mrežama do korisnih podataka ucjenjivačkog softvera – od svojih RaaS operatora (naravno, po određenoj cijeni). Mnogi RaaS programi nadalje obuhvaćaju paket ponuda za podršku u iznuđivanju, uključujući hostiranje web-mjesta koje je procurilo i integraciju u bilješke o otkupnini, kao što je pregovaranje o dešifriranju, pritisak u vezi plaćanja te usluge transakcije kriptovaluta.

To znači da utjecaj uspješnog ucjenjivačkog softvera i napad iznuđivanjem ostaje isti bez obzira na vještine napadača.

Jedan od načina kojim RaaS operatori pružaju vrijednost svojim suradnicima je pružanje pristupa ugroženim mrežama. Agenti za pristup pretražuju ranjive sustave na internetu, a koje mogu ugroziti i rezervirati za kasniji profit.

Da bi bili uspješni, napadačima su potrebne vjerodajnice. Ugrožene vjerodajnice toliko su važne ovim napadima da kada računalni zločinci prodaju pristup mrežama, u mnogim slučajevima cijena obuhvaća zajamčeni administratorski račun.

Ono što zločinci rade s pristupom kada ga ostvare može uvelike ovisiti o grupama i njihovim radnim opterećenjima i motivacijama. Vrijeme između inicijalnog pristupa i implementacije s rukama na tipkovnici može se stoga razlikovati od minuta do dana ili dulje, ali kada okolnosti dopuštaju, šteta se može nanijeti brzinom munje. Zapravo, uočeno je da je vrijeme od inicijalnog pristupa do potpune otkupnine (uključujući predaju od agenta za pristup do RaaS suradnika) manje od sat vremena.

Kada napadači dobiju ostvare pristup mreži, teško im je otići – čak i kada dobiju svoju otkupninu. Zapravo, plaćanje otkupnine ne mora smanjiti rizik pogođenoj mreži i potencijalno samo služi za financiranje računalnih zločinaca koji će i dalje pokušavati monetizirati napade različitim korisnim podacima zlonamjernog ili ucjenjivačkog softvera sve dok se ne izbace.

Predaja koja se otkriva između različitih napadača kao prijelazi u ekonomiji računalnog zločina znači da više grupa aktivnosti može ustrajati u okruženju koristeći razne metode različite od alata koji se koriste u napadu ucjenjivačkog softvera. Na primjer, inicijalni pristup koji je ostvaren bankarskim trojancem vodi do Cobalt Strike implementacije, ali RaaS suradnik koji je kupio pristup može odabrati korištenje alata za pristup na daljinu kao što je TeamViewer kako bi upravljao svojom kampanjom.

Korištenje zakonitih alata i postavki za upornost naspram umetanja zlonamjernog softvera kao što je Cobalt Strike popularna je tehnika među napadačima ucjenjivačkog softvera radi izbjegavanja otkrivanja i duljeg boravka u mreži.

Druga popularna tehnika napadača je stvoriti nove korisničke račune za programe za neovlašten ulazak u sustav, ili lokalne ili na servisu Active Directory, koji se zatim mogu dodati alatima za pristup na daljinu kao što su virtualna privatna mreža (VPN) ili udaljena radna površina. Također je uočeno da napadači ucjenjivačkim softverom uređuju postavke na sustavima kako bi omogućili udaljenu radnu površinu, smanjili sigurnost protokola i dodali nove korisnike grupi korisnika udaljene radne površine.

Jedna od kvaliteta RaaS-a zbog čega je računalna prijetnja tako zabrinjavajuća jest kako se oslanja na ljudske napadače koji donose informirane i proračunate odluke te koji variraju u obrascima napada ovisno o tome što će pronaći na mrežama gdje dospiju, osiguravajući da zadovoljavaju njihove ciljeve.

Microsoft je skovao pojam ucjenjivački softver kojim upravlja čovjek kako bi definirao ovu kategoriju napada kao lanca aktivnosti koji kulminira u korisnim podacima ucjenjivačkog softvera, ne kao niz korisnih podataka zlonamjernog softvera koje treba blokirati.

Dok se većina inicijalnih kampanja oslanja na automatiziranu izvidnicu, kada se napad prebaci na fazu s rukama na tipkovnici, napadači će koristiti svoje znanje i vještinu i pokušati poraziti sigurnosne proizvode u okruženju.

Napadači koji koriste ucjenjivački softver motivirani su lakom zaradom pa je povećavanje njihovih troškova jačanjem sigurnosti ključno za ometanje ekonomije računalnog zločina. Ovo ljudsko donošenje odluka znači da čak i ako sigurnosni proizvodi otkriju određene faze napada, sami se napadači neće u potpunosti izbaciti, pokušavaju nastavljati ako ih ne blokira sigurnosna kontrola. U mnogim slučajevima, ako antivirusni proizvod otkrije alat ili korisni podatak, napadači jednostavno grabe različit alat ili mijenjaju svoje korisne podatke.

Napadači su također svjesni vremena reagiranja centra za sigurnosne operacije (SOC) i sposobnosti i ograničenja alata otkrivanja. Dok napad ne dođe do faze brisanja sigurnosnih kopija ili kopija u sjeni, malo minuta još treba do implementacije ucjenjivačkog softvera. Protivnik je vjerojatno već proveo štetne radnje poput izvlačenja podataka. Ovo je znanje ključno za SOC-ove koji odgovaraju na ucjenjivački softver i istražuju detekcije kao što je Cobalt Strike prije faze implementacije ucjenjivačkog softvera te je provođenje brzih radnji popravka i procedura odgovora na incident (IR) ključno za suzbijanje ljudskog protivnika.