Feds varoittaa oikeasta Royal lunnasohjelmien riehumisesta, joka ohjaa TTP:iden kirjoa

Feds varoittaa oikeasta Royal lunnasohjelmien riehumisesta, joka ohjaa TTP:iden kirjoa

Aikaleima: 3. maaliskuuta 2023 12
Lähdesolmu: 1990268
by Paul Ducklin

Yhdysvallat Kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA), joka kutsuu itseään "Amerikan kyberpuolustusvirastoksi", on juuri julkaissut julkisen palvelun ilmoituksen. #StopRansomware bannerin.

Tämä raportti on numeroitu AA23-061a, ja jos olet luisunut tapaan olettaa, että kiristysohjelmat ovat eilisen uhka tai että muut tietyt kyberhyökkäykset olisivat luettelosi kärjessä vuonna 2023, kannattaa se lukea.

Riskit, jotka otat käyttöön ottamalla katseesi pois kiristyshaittaohjelmien uhalta vuonna 2023 keskittyäksesi seuraavaan, vanha on-uusi-jälleen kiiltävään aiheeseen (ChatGPT? Cryptojacking? Keylogging? Lähdekoodin varkaus? 2FA-petos?) ovat samankaltaisia ​​kuin riskit, joita sinulla on olisit kohdannut, jos olisit alkanut keskittyä yksinomaan lunnasohjelmiin muutama vuosi sitten, jolloin se oli päivän kuuma uusi pelko.

Ensinnäkin, huomaat usein, että kun yksi kyberuhka näyttää vähenevän, todellinen syy on se, että muut uhat lisääntyvät suhteellisesti, eikä se, että se, jonka uskot nähneeni, on kuolemassa absoluuttisesti.

Itse asiassa kyberrikollisuuden X ilmeinen lisääntyminen, joka liittyy Y:n näennäiseen laskuun, saattaa johtua yksinkertaisesti siitä, että yhä useammat roistot, jotka aiemmin erikoistuivat Y:hen, tekevät nyt X:n paremmin kuin Y:n sijaan.

Toiseksi, vaikka tietyn verkkorikollisuuden esiintyvyys on laskenut absoluuttisesti, huomaat melkein aina, että sitä on edelleen paljon ja että vaara pysyy ennallaan, jos joudut osumaan.

Kuten haluamme sanoa Naked Securityssa: "Ne, jotka ei voi muistaa menneisyyttä on tuomittu toistamaan se."

Kuninkaallinen jengi

AA23-061a-neuvonta keskittyy kiristysohjelmaperheeseen, joka tunnetaan nimellä Kuninkaallinen, mutta tärkeimmät poiminnot CISA: n selkeästi sanottuna neuvontapalvelut ovat seuraavat:

  • Nämä roistot murtautuvat sisään käyttämällä hyväksi havaittuja ja luotettavia menetelmiä. Näitä ovat tietojenkalastelu (2/3 hyökkäyksistä), väärin määritettyjen RDP-palvelimien etsiminen (1/6 niistä), korjaamattomien verkkopalveluiden etsiminen verkosta tai yksinkertaisesti käyttöoikeustietojen ostaminen aiemmin toimineilta huijauksilta. niitä. Kyberrikolliset, jotka myyvät tunnuksia toimeentuloa varten, tyypillisesti datavarkaille ja kiristysohjelmien ryhmille, tunnetaan ammattikielessä nimellä IAB:t, lyhenne itsekuvaavasta termistä alkupääsyn välittäjät.
  • Päästyään sisään rikolliset yrittävät välttää ohjelmia, jotka voivat ilmeisesti esiintyä haittaohjelmina. He joko etsivät olemassa olevia hallintatyökaluja tai tuovat omansa tietäen, että on helpompi välttää epäilyksiä, jos pukeudut, puhut ja toimit kuin paikallinen – ammattikieltä, jos elää maasta. Hyökkääjien väärin käyttämiä laillisia työkaluja ovat apuohjelmat, joita käytetään usein viralliseen etäkäyttöön, järjestelmänvalvojan komentojen suorittamiseen etänä ja tyypillisiin järjestelmänvalvojan tehtäviin. Esimerkkejä: PsExec Microsoft Sysinternalsilta; the AnyDesk etäkäyttö työkalu; ja Microsoft PowerShell, joka on esiasennettu jokaiseen Windows-tietokoneeseen.
  • Ennen tiedostojen sekoitusta hyökkääjät yrittävät monimutkaistaa palautuspolkuasi. Kuten luultavasti odotat, ne tuhoavat volyymin varjokopiot (Windowsin "palautus" -vedoskuvat). He lisäävät myös omat epäviralliset järjestelmänvalvojan tilinsä, jotta he voivat päästä takaisin sisään, jos potkaiset heidät ulos, muokata tietoturvaohjelmistosi asetuksia hälytyksiä vaimentaakseen, ottaa hallintaansa tiedostot, joita he eivät muuten voisi sekoittaa, ja sotkea järjestelmän. lokit, jotta on vaikea ymmärtää myöhemmin, mitä ne muuttivat.

Selvyyden vuoksi sinun on lisättävä itseluottamustasi puolustaaksesi kaikkia näitä TTP:itä (työkalut, tekniikat ja menettelyt), pyrkiikö jokin tietty hyökkääjien aalto kiristämään sinua osana loppupeliään.

Tästä huolimatta tämä kuninkaallinen jengi on ilmeisesti todella kiinnostunut tekniikasta, jonka Yhdysvaltain hallituksen MITER ATT&CK -kehys tunnistaa vaatimattomalla tunnisteella. T1486, joka on merkitty huolestuttavalla nimellä Tiedot on salattu vaikutusta varten.

Yksinkertaisesti sanottuna T1486 tarkoittaa yleensä hyökkääjiä, jotka aikovat kiristää sinulta rahaa vastineeksi arvokkaiden tiedostojesi salaamisesta ja jotka pyrkivät puristamaan sinua kovemmin kuin koskaan aiheuttamalla mahdollisimman paljon häiriöitä ja siten antamalla itselleen suurimman mahdollisen kiristyskeinon. .

Itse asiassa AA23-061a-tiedote varoittaa, että:

Royal [lunnasohjelmarikolliset] ovat vaatineet lunnaita noin 1 miljoonasta dollariin 11 miljoonaan dollariin Bitcoinina.

Ja selvyyden vuoksi he yleensä varastavat (tai tarkemmin sanottuna ottavat luvattomia kopioita) niin paljon tiedoistasi kuin pystyvät ennen tiedostojen jäädyttämistä, mikä lisää kiristyspainetta:

Päästyään pääsyn uhrien verkkoihin kuninkaalliset toimijat poistavat virustorjuntaohjelmiston käytöstä ja suodattavat suuria määriä tietoa ennen kuin lopulta ottavat käyttöön kiristysohjelman ja salaavat järjestelmät.

Mitä tehdä?

Kuninkaallisen jengin kaltaiset roistot tunnetaan ammattikielessä nimellä aktiivisia vastustajia, koska ne eivät vain laukaise sinua haittaohjelmia ja katso, pysyykö ne kiinni.

He käyttävät esiohjelmoituja työkaluja ja komentosarjoja missä vain voivat (rikolliset rakastavat automaatiota yhtä paljon kuin kuka tahansa), mutta he kiinnittävät jokaiseen hyökkäykseen yksilöllistä huomiota.

Tämä tekee heistä paitsi mukautumiskykyisempiä (he vaihtavat TTP-pisteitään hetkessä, jos he huomaavat paremman tavan tehdä huonompia asioita), mutta myös salakavampia (he mukauttavat TTP:ään reaaliajassa, kun he selvittävät puolustusasi leikkikirja).

  • Lue lisää lukemalla meidän Active Aversary Playbook, kiehtova tutkimus Sophos Fieldin teknologiajohtajan John Shierin 144 tosielämän hyökkäyksestä.

Aikaleima:

Lisää aiheesta Naked Security