Ransomware as a Service: il nuovo volto del crimine informatico industrializzato

Il modello del Ransomware as a Service ha accelerato il perfezionamento e l'industrializzazione delle attività realizzabili dai criminali meno competenti. In passato, questi criminali meno sofisticati potrebbero aver utilizzato malware commerciale creato da loro o acquistato per eseguire attacchi di portata limitata, ma ora possono ottenere tutto ciò di cui hanno bisogno, dall'accesso alle reti ai payload di ransomware, dai loro operatori RaaS (a pagamento, ovviamente). Molti programmi RaaS includono inoltre un gruppo di offerte di supporto all'estorsione, tra cui l'hosting di leak site e l'integrazione nelle richieste di riscatto, nonché la negoziazione della decrittografia, la pressione sui pagamenti e i servizi di transazione di criptovaluta.

Ciò significa che l'impatto di un attacco ransomware a fini di estorsione riuscito rimane lo stesso indipendentemente dalle competenze dell'utente malintenzionato.

Un modo in cui gli operatori RaaS forniscono valore ai propri affiliati è fornendo l'accesso a reti compromesse. I broker di accesso scansionano Internet alla ricerca di sistemi vulnerabili, che possono compromettere e riservare per profitti successivi.

Per riuscire nel loro intento, gli utenti malintenzionati hanno bisogno di credenziali. Le credenziali compromesse sono talmente importanti per questi attacchi che, quando i criminali informatici vendono l'accesso alla rete, in molti casi, il prezzo include un account amministratore garantito.

Ciò che i criminali fanno con l'accesso una volta ottenuto può variare notevolmente a seconda dei gruppi e dei loro carichi di lavoro o delle loro motivazioni. Il tempo che intercorre tra l'accesso iniziale e la distribuzione hands-on-keyboard può quindi variare da minuti a giorni o anche di più, ma quando le circostanze lo consentono, il danno può essere inflitto a una velocità incredibile. In effetti, è stato osservato che il tempo che intercorre tra l'accesso iniziale e il riscatto completo (incluso il trasferimento da un broker di accesso a un affiliato RaaS) richiede meno di un'ora.

Una volta che gli utenti malintenzionati riescono ad accedere a una rete, sono restii ad andarsene, anche dopo aver incassato il riscatto. In effetti, il pagamento del riscatto potrebbe non ridurre il rischio per una rete colpita e potenzialmente serve solo a finanziare i criminali informatici, che continueranno a tentare di monetizzare gli attacchi con diversi payload di malware o di ransomware finché non verranno bloccati.

Il passaggio che avviene tra diversi utenti malintenzionati man mano che si verificano le transizioni nell'economia criminale informatica significa che più gruppi di attività possono persistere in un ambiente utilizzando vari metodi diversi dagli strumenti utilizzati in un attacco ransomware. Ad esempio, l'accesso iniziale ottenuto da un trojan bancario porta alla distribuzione di Cobalt Strike, ma l'affiliato RaaS che ha acquistato l'accesso può scegliere di usare uno strumento di accesso remoto come TeamViewer per gestire la propria campagna.

L'utilizzo di strumenti e impostazioni legittimi per persistere nell'attacco rispetto agli impianti malware come Cobalt Strike è una tecnica popolare tra gli utenti malintenzionati che usano ransomware per evitare il rilevamento e restare in una rete più a lungo.

Un'altra tecnica comune tra gli utenti malintenzionati consiste nel creare nuovi account utente backdoor, locali o in Active Directory, che è possibile poi aggiungere a strumenti di accesso remoto come una rete privata virtuale (VPN) o Desktop remoto. È stato anche osservato che gli utenti malintenzionati che usano ransomware modificano le impostazioni sui sistemi per abilitare Desktop remoto, per ridurre la sicurezza del protocollo e per aggiungere nuovi utenti al gruppo utenti di Desktop remoto.

Una delle qualità del RaaS che rende la minaccia così preoccupante è la sua dipendenza dagli utenti malintenzionati che possono prendere decisioni informate e calcolate e variare i modelli di attacco in base a ciò che trovano nelle reti in cui penetrano, assicurandosi di raggiungere i loro obiettivi.

Microsoft ha coniato il termine ransomware con intervento umano per definire questa categoria di attacchi come una catena di attività che culmina in un payload di ransomware, non come un insieme di payload di malware da bloccare.

Mentre la maggior parte delle campagne di accesso iniziale si basa sulla ricognizione automatizzata, una volta che l'attacco passa alla fase hands-on-keyboard, gli utenti malintenzionati sfruttano le proprie conoscenze e competenze per cercare di aggirare i prodotti di sicurezza presenti nell'ambiente.

Gli attacchi ransomware sono motivati da profitti facili, quindi aggiungere al loro costo la fatica di superare le misure di sicurezza è fondamentale per colpire l'economia criminale informatica. Questo processo decisionale umano significa che, anche se i prodotti di sicurezza rilevano fasi specifiche dell'attacco, gli utenti malintenzionati stessi non vengono espulsi completamente. Anzi, questi tentano di continuare se non vengono bloccati da un controllo di sicurezza. In molti casi, se uno strumento o un payload viene rilevato e bloccato da un prodotto antivirus, gli utenti malintenzionati usano semplicemente uno strumento diverso o modificano il proprio payload.

Gli utenti malintenzionati sono inoltre consapevoli dei tempi di risposta del centro operazioni per la sicurezza (SOC) e delle capacità e limitazioni degli strumenti di rilevamento. Nel momento in cui l'attacco raggiunge la fase di eliminazione dei backup o delle copie shadow, mancano pochi minuti alla distribuzione del ransomware. L'antagonista ha probabilmente già eseguito azioni dannose come l'esfiltrazione dei dati. Questa conoscenza è fondamentale per i SOC che rispondono al ransomware: analizzare i rilevamenti come Cobalt Strike prima della fase di distribuzione del ransomware ed eseguire azioni di rimedio rapide e procedure di risposta agli incidenti (IR) sono passaggi fondamentali per contrastare un antagonista umano.