Løsepengevirus som tjeneste: Industrialisert nettkriminalitet satt i et nytt lys

Løsepengevirus som tjeneste-modellen har lagt til rette for en rask forbedring og industrialisering av det mindre dyktige kriminelle kan oppnå. Tidligere har disse mindre avanserte kriminelle brukt handelsprogramvare som de enten har bygd eller kjøpt, for å utføre angrep i begrenset i omfang, men nå kan de få alt de trenger – fra tilgang til nettverk til nyttelaster for løsepengevirus – fra RaaS-operatørene (ved å betale for det, naturligvis). Mange RaaS-programmer inkluderer også en serie med utpressingsstøttetilbud, inkludert drift av lekkasjenettsteder og integrasjon i løsepengenotater, samt dekrypteringsforhandling, betalingspress, og transaksjonstjenester for kryptotjenester.

Dette betyr at virkningen av et løsepengevirus- og utpressingsangrep forblir det samme uavhengig av angriperens ferdigheter.

Én måte RaaS-operatører gir verdi til partnerne sine er ved å gi tilgang til kompromitterte nettverk. Tilgangsprogrammer skanner Internett for sårbare systemer, som de kan kompromittere og reservere for senere fortjeneste.

For å lykkes trenger angriperne legitimasjon. Kompromittert legitimasjon er så viktig for disse angrepene, at når nettkriminelle selger nettverkstilgang, inkluderer prisen i mange tilfeller en garantert administratorkonto.

Hva de kriminelle gjør med tilgangen så fort den er oppnådd, kan variere veldig, avhengig av grupper og arbeidsbelastningen eller motivasjon. Tiden mellom innledningsvis tilgang til en praktisk tastaturdistribusjon kan derfor strekke seg fra minutter til dager eller lenger, men når omstendighetene tillater det, kan skade påføres ved halsbrekkende hastighet. Tiden det tar fra innledningsvis tilgang til fullstendig løsepengesum (inkludert overføring fra et tilgangsprogram til en RaaS-partner) er observert å være mindre enn en time.

Når angripere få tilgang til et nettverk, er de lite villige til å forlate det – selv etter å ha hentet løsepengene. Det er faktisk ikke sikkert at det å betale løsepenger reduserer risikoen for et påvirket nettverk, og hjelper potensielt bare med å finansiere nettkriminelle, som vil fortsette å prøve å generere inntekter fra angrep med ulike nyttelaster for skadelig programvare eller løsepengevirus, til de blir utestengt.

Overføringen som skjer mellom ulike angripere, mens overganger i økonomien til nettkriminelle oppstår, betyr at flere aktivitetsgrupper kan bestå i et miljø som bruker ulike metoder som er annerledes enn verktøyene som brukes et angrep med løsepengevirus. Innledende tilgang som oppnås av en bank-trojaner, fører for eksempel til en Cobalt Strike-distribusjon, men RaaS-partneren som kjøpte tilgangen, kan velge å bruke et eksternt tilgangsverktøy, som TeamViewer, til å drive kampanjen.

Bruk av legitime verktøy og innstillinger for å fortsette, kontra skadelig programvare-implantater som Cobalt Strike, er en populær teknikk blant løsepengevirusangripere for å unngå gjenkjenning og forbli lenger i et nettverk.

En annen populær angriperteknikk er å lage nye bakdørbrukerkontoer, enten lokale eller i Active Directory, som deretter kan legge til i eksterne tilgangsverktøy, som virtuelt privat nettverk (VPN) eller eksternt skrivebord. Det har også blitt observert at løsepengevirusangripere redigerer innstillinger i systemer for å aktivere eksternt skrivebord, redusere protokollens sikkerhet og legge til nye brukere i brukergruppen til eksternt skrivebord.

En av kvalitetene til RaaS som gjør trusselen så bekymringsverdig, er hvordan den avhenger av menneskelige angripere som kan foreta informerte og kalkulerte beslutninger, og variere angrepsmønstre basert på hva de finner i nettverkene der de lander, for å sikre at de når målene sine.

Microsoft lagde uttrykket menneskestyrt løsepengevirus for å definere denne angrepskategorien som en kjede med aktivitet, som kulminerer i en nyttelast for løsepengevirus, og ikke som et sett med skadelig programvare-nyttelaster som skal blokkeres.

Selv om de fleste tilgangskampanjer avhenger av automatisk rekognosering, bruker angriperne kunnskapen og ferdighetene de har, til å prøve å tilintetgjøre sikkerhetsproduktene i miljøet så fort angrepet skifter til den praktiske tastaturfasen.

Angripere med løsepengevirus er motivert av enkel fortjeneste. Å øke kostnadene deres med sikkerhetsherding er dermed viktig for å bryte ned økonomien til nettkriminelle. Denne menneskelige beslutningtakingen betyr at selv om sikkerhetsprodukter kjenner igjen bestemte angrepsstadier, blir ikke angriperne helt utestengt. De prøver å fortsette hvis de ikke blir blokkert av en sikkerhetskontroll. I mange tilfeller, hvis et verktøy eller en nyttelast gjenkjennes og blokkeres av et antivirusprodukt, henter angriperne bare et annet verktøy eller endrer nyttelasten.

Angriperne er også oppmerksomme på responstidene til sikkerhetsoperasjonssenteret (SOC) og funksjonene og begrensningene til gjenkjenningsverktøyene. Innen angrepet når stadiet for sletting av sikkerhetskopier eller skyggekopier, er det bare minutter unna distribusjon av løsepengeviruset. Motstanderen har sannsynligvis allerede da utført skadelige handlinger som eksfiltrasjon av data. Denne kunnskapen er avgjørende for SOC-er som responderer på løsepengevirus: å undersøke gjenkjenninger som Cobalt Strike, før stadiet for distribusjon av løsepengevirus, og utføre raske utbedringshandlnger og hendelsesrespons (IR) -prosedyrer, er avgjørende for å holde tilbake en menneskelig motstander.