Powstrzymywanie ransomware: techniczne spojrzenie na wektory ataków i strategie ochrony z Bitdefender

Ewolucja ransomware, przyspieszona przez model Ransomware-as-a-Service (RaaS), wymaga ciągłej rewizji strategii obronnych. Niniejszy dokument analizuje współczesny łańcuch ataku ransomware, ujawniając metody napastników na każdym etapie. Przeanalizujemy, jak RaaS zmienił zachowanie atakujących i dlaczego wielowarstwowa architektura obrony w głąb pozostaje najskuteczniejszym sposobem zwalczania zagrożeń ransomware.

Ekosystem ransomware

Zanim przejdziemy do szczegółów technicznych, przyjrzyjmy się finansowej stronie ataków ransomware. Wyjaśnimy również kilka powszechnych nieporozumień dotyczących modelu RaaS.

Ekosystem cyberprzestępczy napędzają te same siły ekonomiczne, co zwykłe rynki. Nowy pomysł biznesowy może szybko stać się standardem, zastępując wcześniejsze praktyki. Samo ransomware przeszło rewolucję wraz z wprowadzeniem modelu RaaS.

RaaS często opisuje się jako model umożliwiający mniej wykwalifikowanym osobom udział w cyberprzestępczości. To pozorne ułatwienie dostępu do narzędzi ransomware może sugerować, dlaczego ataki wydają się tak powszechne. To jednak błędne przekonanie. Ransomware as a Service (RaaS) umożliwia specjalizację wśród atakujących, prowadząc do modelu współpracy, w którym ataki organizują zespoły specjalistów, a nie pojedyncze osoby. To przejście od generalistów do wyspecjalizowanych grup jest przyczyną rosnącej złożoności, skalowalności i wyższych żądań okupu.

Często błędnie opisywany jako model franczyzowy (który był wczesną formą RaaS w 2017 r.), RaaS ewoluował. Dziś funkcjonuje bardziej jak gig economy. Największa firma taksówkowa na świecie nie posiada samochodów. Największa firma noclegowa nie ma nieruchomości. A największe grupy ransomware nie wdrażają ransomware.

Ale zacznijmy od dwóch kluczowych graczy: operatorów i afiliantów.

• Operatorzy: Można ich porównać do „dostawców platform” w zwykłej gospodarce. Tworzą kod ransomware, zarządzają infrastrukturą, ale także zajmują się pieniędzmi – negocjują i pobierają okupy.
• Afilianci: To atakujący, którzy przeprowadzają właściwe włamania – od uzyskania wstępnego dostępu po wdrożenie ransomware.

Anatomia ataku ransomware

Ciągła ewolucja ransomware to główny powód, dla którego pozostaje on jednym z najpoważniejszych zagrożeń cyberbezpieczeństwa dla firm każdej wielkości. Problem jest dwojaki: po pierwsze, w przeciwieństwie do wcześniejszych wersji, które po prostu blokowały pojedyncze urządzenia, współczesne ataki ransomware to ręczne operacje hakerskie wymierzone w całe sieci. Ataki manualne trudniej przewidzieć, ponieważ są bardziej elastyczne i polegają na wykorzystywaniu każdej napotkanej okazji. Ta ciągła zmiana utrudnia obronie utrzymanie przewagi.

Po drugie, wiele grup ransomware przestało skupiać się wyłącznie na szyfrowaniu danych (co narusza ich dostępność), a zaczęło również je kradnąć i grozić ich publicznym ujawnieniem – co stanowi naruszenie poufności. Ta ewolucja taktyk sugeruje, że nawet termin „ransomware” może być już nieco przestarzały. W istocie ransomware stał się znacznie bardziej wyrafinowanym zagrożeniem, skupiającym się na maksymalizacji szkód i presji, a nie na szybkości ataku. Napastnicy mogą spędzić tygodnie lub miesiące na przygotowaniach do wykonania ataku.

Tygodnie przygotowań często poprzedzają atak ransomware. Hakerzy nie działają od razu – najpierw przez tygodnie infiltrują Twoją sieć i przygotowują grunt pod atak.

Wiele ataków ransomware ma dziś swoje źródło w rozszerzonym łańcuchu dostaw, a nie tylko w zhakowanych aktualizacjach oprogramowania (tradycyjne ataki na łańcuch dostaw oprogramowania). Napastnicy celują w każde słabe ogniwo – zhakowanego dostawcę, klienta, kontrahenta lub podwykonawcę – aby uzyskać dostęp do innych powiązanych firm. Pozwala im to przeprowadzać ataki na większą skalę, a nawet koordynować ataki na wielu ofiarach jednocześnie. Nawet jeśli opisane scenariusze nie dotyczą bezpośrednio Twojej firmy, naruszenie w rozszerzonym łańcuchu dostaw może doprowadzić do włamania do Twoich systemów.

Najlepszą obroną przed ciągle zmieniającym się przeciwnikiem jest elastyczna strategia bezpieczeństwa. Oto kluczowe założenia:

• Zmniejsz powierzchnię ataku: Zidentyfikuj i zminimalizuj słabe punkty, które napastnicy mogliby wykorzystać („odsłonięte obszary” Twojej sieci). Obejmuje to hardening systemów, stosowanie silnych haseł i edukowanie pracowników w zakresie phishingu (zapobieganie).

• Wielowarstwowe zabezpieczenia: Zbuduj wielowarstwową tarczę, wdrażając takie narzędzia jak zapory ogniowe i oprogramowanie antymalware (ochrona).

• Bądź gotów na reakcję: Miej plan identyfikacji i reagowania na oznaki cyberataku (wykrywanie i odpowiedź).

W przeciwieństwie do prostszych ataków, współczesne ransomware obejmuje aktywny hacking przez cały proces. Dobra wiadomość? Ta aktywna faza często generuje dużo „szumu” w Twojej sieci. Oznacza to, że przy odpowiednich narzędziach i solidnych praktykach bezpieczeństwa możesz wykryć te ataki, zanim przekształcą się w poważne naruszenia.

Rozumiejąc różne etapy ataku ransomware, możesz zidentyfikować możliwości całkowitego zablokowania ataku lub wykrycia i reagowania na niego w trakcie jego trwania.

W kolejnych sekcjach szczegółowo omówimy cztery etapy typowego ataku ransomware: Początkowy dostęp, Przygotowanie, Ekspansja i Wymuszenie. Przeanalizujemy, co robią napastnicy na każdym etapie, a co ważniejsze – jak możesz się bronić, stosując skuteczne zabezpieczenia i najlepsze praktyki.

Początkowy dostęp

W tym rozdziale szczegółowo omówimy różne metody, których używają napastnicy, aby uzyskać początkowy dostęp. Przeanalizujemy popularne wektory ataków, takie jak wiadomości phishingowe, wykorzystywane luki w zabezpieczeniach i skompromitowane dane uwierzytelniające. Zrozumienie tych technik pozwoli Ci podjąć proaktywne kroki w celu wzmocnienia obrony i znacząco zmniejszyć ryzyko skutecznego ataku ransomware.

Kiedyś kluczowym czynnikiem w uzyskiwaniu początkowego dostępu był podział na ataki targetowane i okazjonalne. Jednak wraz z pojawieniem się zautomatyzowanych narzędzi do skanowania i wykorzystywania luk ta granica się zatarła. Grupy ransomware mogą dziś zhakować ogromną liczbę ofiar w krótkim czasie, ale sortowanie ich może zająć miesiące. Dlatego praktyczniejszym frameworkiem obrony jest rozróżnienie na ataki bezpośrednie i opóźnione.

Ataki bezpośrednie

W atakach bezpośrednich napastnicy działają szybko, przechodząc do kolejnych etapów ataku krótko po zhakowaniu ofiary.

Najczęstszym przykładem tej metody jest wykorzystanie inżynierii społecznej, zazwyczaj w postaci sprecyzowanych wiadomości phishingowych (spearphishing). Podstępne e-maile, mające na celu nakłonienie odbiorców do kliknięcia złośliwych linków lub otwarcia zainfekowanych załączników, pozostają prostą, ale skuteczną taktyką. Tradycyjnie szkolenia świadomościowe użytkowników były obroną przed spearphishingiem. Jednak LLM (modele językowe) dały napastnikom możliwość tworzenia wyjątkowo przekonujących wiadomości phishingowych, przez co samo szkolenie użytkowników stało się jeszcze bardziej niewystarczające niż wcześniej. LLM potrafią personalizować te wiadomości, dodając odpowiednie szczegóły, a nawet naśladować style pisarskie, przez co trudno je odróżnić od prawdziwych.

Wielokrotnie wspominaliśmy już o wielowarstwowym bezpieczeństwie. Teraz przeanalizujemy rzeczywisty przykład: phishingowy e-mail i zobaczymy, jak warstwy obrony mogą go zatrzymać.

Phishingowy e-mail ze złośliwym dokumentem zawierającym kod VBA to pierwszy etap ataku. Ten kod łączy się z serwerem dowodzenia i kontroli (C2), aby pobrać właściwy ładunek. Po wykonaniu ładunek tworzy reverse shell, umożliwiając napastnikowi zdalne połączenie z systemem.

Nawet tak pozornie prosty atak może wywołać wielokrotne wykrycia w ramach wielowarstwowej platformy bezpieczeństwa, podkreślając znaczenie kompleksowej obrony. Przykładowo, Bitdefender GravityZone demonstruje to, aktywując różne mechanizmy wykrywania w odpowiedzi na takie zagrożenia.

1. Ochrona poczty e-mail: Zanim podejrzana wiadomość trafi do skrzynki odbiorczej, GravityZone skanuje ją wieloma silnikami i danymi threat intelligence, aby zidentyfikować potencjalne zagrożenia.

2. Ochrona przed malwarem: Jeśli otworzysz załącznik, podlega on dalszej analizie. Silnik statyczny sprawdza, czy to znane zagrożenie, a uczenie maszynowe pomaga wykryć nawet sprytnie zamaskowane złośliwe oprogramowanie.

3. Analiza sandbox: Jeśli załącznik wydaje się podejrzany, jest przesyłany do bezpiecznego środowiska „sandbox”, gdzie można go bezpiecznie uruchomić. Pozwala to GravityZone na szczegółową analizę jego zachowania i zrozumienie, co osadzony kod VBA może zrobić.

4. Wielowarstwowa ochrona podczas wykonania: Jeśli kod VBA zacznie działać, aktywują się różne moduły bezpieczeństwa:

• Ochrona przed atakami bezplikowymi (fileless): Analizuje sam kod, monitoruje jego aktywność przy użyciu AMSI i naszego własnego skanera linii poleceń.

• Ochrona przed exploitami oprogramowania: Skupia się na lukach w popularnym oprogramowaniu, takim jak Microsoft Outlook, w tym specjalne heurystyki do wykrywania VBA i shellcode’u.

• Ochrona procesów: Monitoruje procesy (nawet te zaufane) w czasie rzeczywistym, szukając podejrzanych zachowań, np. gdy program Microsoft Office próbuje uruchomić wiersz poleceń.

5. Ochrona sieci: Nawet jeśli kod spróbuje pobrać dodatkowe złośliwe oprogramowanie z serwera C2, GravityZone wykorzystuje threat intelligence, aby sprawdzić reputację serwera. Jeśli jest znany jako złośliwy, pobieranie zostanie zablokowane.

6. Obrona przed atakami sieciowymi (Network Attack Defense): W najgorszym przypadku, jeśli napastnikowi uda się wykonać złośliwy kod i nawiązać połączenie reverse shell, nasze rozwiązanie do głębokiej inspekcji pakietów (DPI) nadal może interweniować. Rozpoznaje podejrzane wzorce ruchu i blokuje połączenie; może nawet wykrywać niestandardowe protokoły sieciowe używane w złośliwych celach. Nawet jeśli połączenie jest dozwolone, skaner treści może rozpoznać fragmenty kodu wykonywalnego w pakietach sieciowych.

7. Każdy pobrany kod z serwera C2 nadal napotkałby wielowarstwowe zabezpieczenia zaprojektowane do identyfikacji i blokowania zagrożeń.

Nakładające się moduły bezpieczeństwa, przypisane do różnych etapów wykonania złośliwego oprogramowania, wykrywają i zatrzymują zagrożenia przez cały cykl życia ataku.

To tylko zarys współpracy warstw bezpieczeństwa. Platforma GravityZone nie jest statyczna. Przez lata stale udoskonalaliśmy naszą obronę, dodając kolejne warstwy, jednocześnie minimalizując fałszywe alarmy.

Ataki opóźnione

Ataki opóźnione charakteryzują się znaczną luką czasową (dni lub tygodnie) między początkowym dostępem a kolejnym etapem. Często w takich atakach uczestniczą brokerzy początkowego dostępu (IABs). Specjalizują się oni w uzyskiwaniu wstępnego dostępu do sieci, a następnie sprzedają go innym cyberprzestępcom, w tym grupom ransomware. W tych scenariuszach napastnicy, którzy uzyskali początkowy dostęp, mogą nie mieć żadnego związku z ostatecznym wdrożeniem ransomware. Poza inżynierią społeczną, wycieki danych uwierzytelniających i ataki brute-force na urządzenia brzegowe to dodatkowe metody wykorzystywane przez IABs.

Wycieknięte dane uwierzytelniające, często krążące w dark webie, mogą zapewnić napastnikom łatwy dostęp do Twoich systemów. Zespół Bitdefender MDR aktywnie monitoruje takie wycieki, alertując Cię o znalezionych skompromitowanych danych i pomagając podjąć natychmiastowe działania w celu ich unieważnienia. Ataki brute-force często koncentrują się na urządzeniach brzegowych i zasobach wystawionych na internet. Skup się na zabezpieczeniu punktów dostępu takich jak RDP, VPN i SSH na tych urządzeniach, szczególnie w przypadku mniejszych firm z ograniczonymi zasobami IT. Jednak najlepszą obroną jest silna ofensywa – choć uwierzytelnianie bezhasłowe (np. FIDO2) oferuje najskuteczniejszą ochronę przed kradzieżą danych uwierzytelniających, uwierzytelnianie wieloskładnikowe (MFA) pozostaje bardziej realistycznym pierwszym krokiem. MFA dodaje kluczową dodatkową warstwę bezpieczeństwa, znacząco redukując ryzyko nieautoryzowanego dostępu.

Oprócz silnych metod uwierzytelniania, GravityZone Risk Management może znacząco zmniejszyć Twoją podatność na te zagrożenia. Zarządzanie ryzykiem jest częścią warstwy prewencji, identyfikując słabe punkty na Twoich urządzeniach i wśród użytkowników. Może wykryć błędne konfiguracje na endpointach, przestarzałe luki w oprogramowaniu, a nawet ryzykowne wzorce zachowań użytkowników. Te informacje umożliwiają podjęcie ukierunkowanych działań, takich jak łatanie luk, wzmacnianie ustawień bezpieczeństwa endpointów i szkolenia świadomościowe dla użytkowników najbardziej podatnych na phishing. Rozszerzenie strategii zarządzania ryzykiem na chmurę za pomocą rozwiązania Cloud Security Posture Management+ (CSPM+) dodaje kolejną warstwę ochrony. CSPM zapewnia ciągłe monitorowanie środowiska chmurowego, identyfikując błędne konfiguracje, które mogliby wykorzystać napastnicy.

Na koniec zostawiliśmy najgroźniejszą metodę ataku: wykorzystywanie luk w oprogramowaniu urządzeń brzegowych. Choć łatanie zawsze było rozwiązaniem, ta taktyka stała się znacznie większym zagrożeniem w ostatnich latach (począwszy od Log4Shell w 2021 r.). Kluczowa zmiana to szybkość, z jaką nowe luki są przekształcane w broń.

Złośliwi aktorzy, w tym cyberprzestępcy motywowani finansowo i grupy powiązane z państwami, priorytetowo traktują luki o wysokim wskaźniku CVSS, szczególnie te umożliwiające zdalne wykonanie kodu (RCE) i dotyczące publicznie dostępnych systemów. Po odkryciu wysokoryzykownej luki napastnicy budują zautomatyzowane skanery wykorzystujące tę słabość. Mogą one zhakować podatne systemy i utworzyć backdoor (np. web shell) do późniejszego dostępu, często w ciągu 24 godzin od publikacji szczegółów luki. Wykorzystaj zautomatyzowane rozwiązania, takie jak GravityZone Patch Management, aby systemy operacyjne i aplikacje były aktualne.

Zarówno zarządzanie poprawkami, jak i analiza ryzyka są najbardziej skuteczne, gdy są wdrażane jako procesy ciągłe. Wybór dobrze zintegrowanego, łatwego w użyciu rozwiązania pomaga ustalić dobre praktyki cyberhigieny w całej organizacji.

Po początkowym naruszeniu następuje drugi etap ataku:

• Etap 1: Szybki atak (godziny lub dni)
  Napastnicy wykorzystują lukę za pomocą zautomatyzowanych narzędzi, potencjalnie kompromitując setki lub tysiące sieci w bardzo krótkim czasie.

• Etap 2: Długotrwała gra (tygodnie lub miesiące)
  Po początkowym naruszeniu napastnicy muszą przesiać skompromitowane systemy, wybierając najbardziej wartościowe cele. Następnie przechodzą do fazy manualnego hakowania.

Przejście od początkowego naruszenia (Etap 1) do wdrożenia ransomware lub kradzieży danych (Etap 2) może zająć tygodnie lub miesiące. To opóźnienie wynika z konieczności przeanalizowania wielu zhakowanych systemów i wybrania najcenniejszych celów. Etap 2 obejmuje również ręczną pracę hakerską, która zajmuje jeszcze więcej czasu.

Duże grupy ransomware coraz częściej wykorzystują doraźne metody początkowego dostępu do uruchamiania manualnych operacji hakerskich.

Dlatego rozwiązania wykrywania i reagowania (EDR, XDR lub MDR) zyskują na popularności: minimalizują czas, przez jaki napastnicy pozostają niewykryci w Twoich systemach (tzw. „dwell time”). Narzędzia te powstały do walki z wyrafinowanymi atakami grup powiązanych z państwami, ale dziś są równie ważne w zwalczaniu afiliantów RaaS stosujących podobne taktyki. Wykrywając i powstrzymując napastników przed finalnym atakiem, te rozwiązania znacząco redukują ryzyko naruszenia bezpieczeństwa.

Faza przygotowania (Staging)

Gdy napastnicy uzyskają początkowy dostęp do Twojej sieci, mogą znaleźć się w różnych lokalizacjach, takich jak DMZ (strefa buforowa między siecią wewnętrzną a internetem), odizolowane środowiska chmurowe lub nawet tymczasowe środowiska deweloperskie i testowe. Niezależnie od punktu wejścia, ich głównym celem w fazie przygotowania jest utrwalenie swojej obecności w sieci.

Wyobraź sobie włamywacza w Twoim domu. Nie zabrałby pierwszej lepszej rzeczy i nie uciekł. Zamiast tego mógłby przygotować sposób na powrót z odpowiednimi narzędziami do większej kradzieży. Dla niektórych napastników utrwalenie dostępu jest celem samym w sobie. Brokerzy dostępu mogą sprzedać go na dark webie innym grupom, takim jak afilianci powiązani z ransomware.

Oto, co napastnicy próbują zrobić w tej fazie:

1. Próba dostępu do kolejnych systemów

• • Na co uważać: Nieautoryzowane próby dostępu, nietypowa aktywność sieciowa sugerująca mapowanie sieci.

  • Co robić: Podziel sieć na mniejsze segmenty, aby ograniczyć ruch lateralny napastników.

2. Instalacja mechanizmów utrwalenia

• • Na co uważać: Podejrzane instalacje oprogramowania lub modyfikacje konfiguracji.

  • Co robić: Wykrywaj mechanizmy utrwalenia, wykorzystuj EDR/XDR do analizy podejrzanych zdarzeń, przeprowadzaj regularne „polowania” na ukrytych napastników.

3. Testowanie metod eskalacji uprawnień

• • Na co uważać: Ślady testowania exploitów na systemach.

  • Co robić: Ogranicz dostęp do krytycznych systemów, wdrażaj zasadę najmniejszych uprawnień, monitoruj aktywność użytkowników.

4. Zacieranie śladów

• • Na co uważać: Próby usuwania logów aktywności.

  • Co robić: Włącz i regularnie weryfikuj logowanie zdarzeń, aby zachować widoczność.

Faza przygotowania to „cisza przed burzą”. Choć dane nie są jeszcze kradzione ani szyfrowane, napastnicy przygotowują grunt pod poważniejszy atak. Dobra wiadomość? To również okazja do ich wykrycia. Kluczem jest monitorowanie podejrzanej aktywności – nawet jeśli próbują się ukryć, ich działania generują „szum”, który można wychwycić.

W tej fazie mogą zostać aktywowane nakładające się moduły GravityZone – od eskalacji uprawnień po ruch lateralny w sieci. Każde takie wykrycie może uruchomić reakcję, powstrzymując pełne rozwinięcie ataku. Bitdefender zapewnia ochronę przed, w trakcie i po podejrzanym zdarzeniu.

Choć silna ochrona jest ważna, aby generować alerty w fazie przygotowania, jeszcze bardziej kluczowym jest dojrzałe podejście do operacji bezpieczeństwa. Napastnicy są wytrwali – jeśli zdobędą przyczółek i dasz im wystarczająco dużo czasu, znajdą sposób. Dlatego zmniejsz „szum” w normalnych operacjach, aby wyraźniej widzieć podejrzane aktywności. Bądź gotów szybko zareagować.

XDR z wykrywaniem anomalii sprawdza się w tych scenariuszach. Wykrywa nietypowe zachowania, nawet uprzywilejowanych kont, które mogłyby umknąć uwadze. Np. gdy użytkownik próbuje wyłączyć usługi monitorujące (jak usługa logowania AWS), sensor GravityZone XDR to wychwyci. Podobnie sensor Azure AD może zgłosić nadanie aplikacji praw administratora globalnego – co jest czerwoną flagą.

Tajemnicą tej skutecznej detekcji są niestandardowe modele uczenia maszynowego. W przeciwieństwie do generycznych, są one trenowane indywidualnie dla każdego systemu w Twoim środowisku. Dzięki temu XDR wykrywa nawet subtelne odstępstwa od normy, mogące wskazywać na obecność napastnika.

Jeszcze lepiej, nie czekaj na prawdziwy atak, aby przetestować obronę. Rozważ usługi etycznego hakowania, które symulują realne ataki, pomagając zidentyfikować słabości i skonfigurować narzędzia bezpieczeństwa.

Ekspansja

Po uzyskaniu wstępnego dostępu do Twojej sieci napastnicy zwykle wchodzą w fazę ekspansji. Ich głównym celem jest wówczas zmaksymalizowanie skuteczności ewentualnego ataku ransomware.

• Przejęcie kontroli: Napastnicy będą atakować systemy dające im szerszą kontrolę nad siecią, takie jak kontrolery domeny (zarządzające kontami użytkowników i uprawnieniami) oraz hipernadzorcy (kontrolujący maszyny wirtualne). Kompromitacja tych systemów pozwala im zablokować dostęp do krytycznych zasobów lub wdrożyć ransomware na wielu maszynach jednocześnie.
• Poszukiwanie wartościowych danych: Podobnie jak złodziej przeszukujący dom, napastnicy aktywnie szukają wrażliwych danych – dokumentów finansowych, informacji o klientach czy własności intelektualnej. Dane te mogą zostać sprzedane na dark webie lub wykorzystane do wymuszenia okupu. Aby ustalić jego wysokość, napastnicy mogą próbować uzyskać informacje o Twoim ubezpieczeniu cybernetycznym.
• Ocena Twoich zabezpieczeń: Napastnicy zbierają informacje o Twojej gotowości na atak, w tym o planie reagowania na incydenty czy strategii tworzenia kopii zapasowych.

Napastnicy rozumieją wartość techniki „Living off the Land” (LOLbins) – wykorzystywania legalnych narzędzi administracyjnych już dostępnych w systemach. Narzędzia takie jak PowerShell, WMI/WMIC i PsExec są znane profesjonalistom IT i wtapiają się w ruch sieciowy, co czyni je znacznie trudniejszymi do wykrycia w porównaniu z łatwo rozpoznawalnym złośliwym oprogramowaniem czy znanymi narzędziami hakerskimi.

Napastnicy mogą posunąć technikę LOLbins jeszcze dalej, wykorzystując istniejące oprogramowanie. Wyobraź sobie, że czytają dokumentację dostępu zdalnego i uzyskują legalny certyfikat VPN lub wykorzystują wcześniej wdrożone oprogramowanie do zdalnego sterowania jak TeamViewer czy AnyDesk. Wykorzystując własne narzędzia i procedury ofiary, mogą stworzyć pozory legalności, sprawiając że ich aktywność wydaje się nieszkodliwa i opóźniając wykrycie.

Napastnicy nie poprzestają na jednym punkcie wejścia. Dywersyfikują backdoory, wdrażając je w różnych lokalizacjach sieci i stosując różnorodne narzędzia i techniki ich tworzenia. Ta redundancja zapewnia napastnikom wiele punktów wejścia, jeśli ich początkowa pozycja zostanie odkryta. Ogromna liczba i różnorodność backdoorów może niezwykle utrudnić obrońcom ich identyfikację i eliminację. Ta złożoność to celowy zabieg napastników mający na celu przedłużenie ich obecności w sieci.

Jednak ta strategia niesie też ryzyko dla napastników. Im więcej backdoorów wdrożą, tym większa szansa, że jeden z nich może zostać odkryty podczas rutynowego przeszukiwania pod kątem zagrożeń. Jeśli jeden backdoor zostanie wykryty, może to doprowadzić do ujawnienia całej operacji.

Gdy napastnicy zbliżają się do etapu wdrażania ransomware, faza testów przed atakiem daje zespołom bezpieczeństwa jedną z ostatnich szans na zidentyfikowanie trwającego zagrożenia. Należy zwracać uwagę na oznaki ingerencji w oprogramowanie zabezpieczające endpointy, nietypową aktywność związaną z obiektami zasad grupy (GPO) lub innymi mechanizmami mogącymi rozpowszechniać złośliwe oprogramowanie w całej sieci. Wykrycie szyfrowania małych ilości danych może wskazywać, że napastnicy testują swoje narzędzie szyfrujące przed pełnym atakiem.

Faza ekspansji stanowi wyjątkowe wyzwanie dla zespołów bezpieczeństwa, ponieważ napastnicy często polegają na legalnych narzędziach. W przeciwieństwie do wcześniejszych etapów, gdzie wykrywanie złośliwego oprogramowania może być proste, identyfikacja złośliwych intencji tutaj zależy od zauważenia nietypowej aktywności. Tutaj właśnie rozwiązania takie jak Bitdefender XDR czy Bitdefender MDR odgrywają kluczową rolę, koncentrując się na identyfikacji podejrzanych zachowań, które mogą wskazywać na trwający atak, nawet jeśli nie jest to idealne dopasowanie do znanego zagrożenia. Zdarzenia są zbierane przez czujniki XDR, następnie analizowane pod kątem podejrzanych zachowań i przypisywany jest im wynik ryzyka. Jeśli prawdopodobieństwo złośliwych intencji jest wystarczająco wysokie – zgłaszany jest incydent bezpieczeństwa. Oprócz analizowania poszczególnych incydentów, analityka bezpieczeństwa analizuje również relacje między poszczególnymi alertami i incydentami. Dzięki korelacji międzyorganizacyjnej incydent bezpieczeństwa może zostać wykryty szybciej, a my możemy przerwać łańcuch ataku, zanim w pełni się rozwinie.

Bitdefender XDR łączy zdarzenia z alertami, a następnie z incydentami, zapewniając widok podejrzanej aktywności na jednej stronie dla szybszego dochodzenia.

Rozwiązanie XDR nie traktuje wszystkich alertów jednakowo – przypisuje im różne wagi i traktuje je różnie. Na przykład automatyczne blokowanie złośliwego oprogramowania w załączniku e-mail to odosobniony incydent, który nie wymaga interwencji człowieka. Z drugiej strony wykrycie ataku ZeroLogon przeciwko jednemu z kontrolerów domeny z wnętrza sieci powinno wywołać natychmiastową reakcję. Centralny silnik korelacji może wykorzystać ten incydent do zmapowania całego łańcucha ataku, nawet wyzwalając wykrycia, które w przeciwnym razie pozostałyby niezauważone – na przykład pozornie nieszkodliwy skrypt PowerShell jest blokowany, jeśli jest powiązany z wcześniejszymi działaniami podmiotów zagrożeń.

Przykład rozszerzonej wizualizacji incydentu. Eksfiltracja danych PowerShell po ruchu lateralnym została wykryta automatycznie.

Wymuszenie

Chociaż szyfrowanie pozostaje popularną taktyką, wiele grup ransomware coraz częściej priorytetowo traktuje eksfiltrację danych. Oznacza to, że kradną Twoje wrażliwe informacje – dokumentację finansową, dane klientów, własność intelektualną – przed lub nawet bez szyfrowania systemów. Te skradzione dane stają się głównym narzędziem wymuszenia. Groźba ujawnienia tych poufnych informacji publicznie lub sprzedaży na dark webie wywiera ogromną presję na organizacje, by zapłaciły okup, czyniąc tradycyjne strategie kopii zapasowych mniej skutecznymi. Nawet termin „ransomware” zaczyna wydawać się mylący, ponieważ kradzież danych wysuwa się na pierwszy plan. Niestety, wiele firm uczy się tej trudnej lekcji na własnej skórze, odkrywając, że kopie zapasowe nie mogą odzyskać skradzionych danych, a ich jedyna nadzieja polega na zapłaceniu okupu lub złagodzeniu skutków naruszenia danych.

Napastnicy wykorzystują różne narzędzia i techniki do kradzieży wrażliwych informacji, ale w większości przypadków preferują prostotę i skuteczność ponad wymyślne metody. Może to obejmować użycie standardowego protokołu FTP lub publicznej chmury do przesyłania skradzionych danych do własnych lokalizacji. Niektóre platformy RaaS oferują afiliantom bardziej zaawansowane opcje, takie jak niestandardowe narzędzia eksfiltracji, a nawet przechowywanie w dark webie. Używanie bardziej egzotycznych metod jak steganografia czy eksfiltracja danych DNS nie jest powszechne ani nawet konieczne. Aby jeszcze bardziej zminimalizować wykrycie, napastnicy zwykle eksfiltrują dane w mniejszych partiach przez dłuższy czas, zamiast próbować pojedynczego, dużego transferu. Eksfiltracja danych często osiąga szczyt podczas fazy ekspansji.

Gdy Twoje dane opuszczą sieć, szczególnie przez anonimowe kanały, ich odzyskanie staje się trudną walką. Im szybciej zidentyfikujesz i ograniczysz zagrożenie, tym mniej danych mogą ukraść napastnicy. Chociaż pewna eksfiltracja danych może nadal występować podczas fazy wymuszenia, często jest to kontynuacja procesu, który rozpoczął się wcześniej.

Podczas gdy skradzione dane dają im przewagę poprzez groźbę ujawnienia, szyfrowanie dodatkowo komplikuje proces odzyskiwania i zwiększa presję na ofiarze. Napastnicy często preferują znane narzędzia łatwo dostępne w sieci do wdrażania ransomware. Mogą to być narzędzia takie jak PsExec/WMI, powszechnie używane do administracji zdalnej, a nawet legalne narzędzia zarządzania jak zasady grupy czy Microsoft Intune.

Funkcja Bitdefender Ransomware Mitigation została zaprojektowana, aby złagodzić skutki aktywnego ataku ransomware. Gdy plik jest szyfrowany, jego losowość (lub entropia) znacząco wzrasta. Ransomware Mitigation monitoruje ten wzrost entropii plików na dysku i podczas prób zapisu. Gdy zgłaszane jest żądanie zaszyfrowania pliku (wzrost losowości powyżej pewnego limitu), tworzona jest tymczasowa kopia zapasowa w pamięci, a oryginalny plik jest przywracany po zakończeniu zmian pliku. Co ważne, ta metoda nie polega na usłudze Volume Shadow Copy ani innych statycznych rozwiązaniach kopii zapasowych, ponieważ te dane kopii zapasowych są prawie zawsze usuwane przez podmioty zagrożeń. Żądania usunięcia kopii shadow są jednym z wyzwalaczy incydentu EDR. Stosując to podejście, zapewniamy łagodzenie skutków ransomware nawet przeciwko wcześniej nieznanym wariantom ransomware.

Ransomware Mitigation odzyskuje zawartość zaszyfrowanych plików przy użyciu kopii zapasowej w pamięci

Ransomware Mitigation jest obsługiwane zarówno w scenariuszach lokalnych, jak i zdalnych. W przypadku lokalnego łagodzenia ransomware administratorzy mogą skonfigurować politykę bezpieczeństwa Bitdefender, aby monitorować procesy punktów końcowych i odzyskiwać zaszyfrowane pliki, gdy tylko adaptacyjna technologia wykryje i zablokuje atak. Nawet jeśli ransomware zaszyfruje pliki lokalne, technologia łagodzenia natychmiast wkracza, aby odzyskać te pliki, automatycznie lub na żądanie, gdzie administrator kontroluje czas odzyskania zaszyfrowanych plików.

W przypadku zdalnego łagodzenia ransomware administrator bezpieczeństwa może włączyć technologię monitorowania ścieżek udziałów sieciowych, do których można uzyskać dostęp zdalnie, i zapobiec szyfrowaniu plików. Na zdalnym punkcie końcowym agent użytkownika potwierdza, że Ransomware Mitigation przechwycił zdalne złośliwe zachowanie procesu i chronił pliki. Administratorzy Bitdefender mogą szybko uruchomić raporty audytowe i uzyskać więcej informacji o adresie IP, z którego został przeprowadzony zdalny atak ransomware, oraz o module bezpieczeństwa, który chronił punkt końcowy, a także mogą otrzymywać powiadomienia e-mail o zablokowaniu ataku zawierające informacje o adresie IP napastnika.

Ransomware Mitigation może łagodzić ataki przeciwko plikom lokalnym i zdalnym

Platforma GravityZone oferuje również raportowanie aktywności ransomware dla szybkiego przeglądu zainfekowanych maszyn i ich stanu przywracania. Po wykryciu aktywnego ataku możesz szybko zrozumieć, jak wpłynął on na Twoje punkty końcowe i jakie kroki są potrzebne do odzyskania działalności.

W niektórych przypadkach napastnicy mogą celować w hipernadzorców, którzy zarządzają maszynami wirtualnymi w centrum danych. Podczas gdy ransomware na pojedynczych komputerach może ograniczać dostęp do danych, szyfrowanie hipernadzorców unieruchamia wszystkie maszyny wirtualne, zasadniczo czyniąc je bezużytecznymi.

Podsumowanie

Ransomware ciągle ewoluuje, ale istnieje sprawdzony sposób, aby pozostać o krok przed nim: wielowarstwowa architektura bezpieczeństwa typu defense-in-depth. To sprawdzone podejście wzmacnia Twoją obronę przez cały cykl życia ataku – od zapobiegania przez wykrywanie po reakcję.

• Zapobieganie: Wdróż zarządzanie ryzykiem i zarządzanie poprawkami, aby proaktywnie eliminować luki, zanim napastnicy będą mogli je wykorzystać.

• Ochrona: Wyposaż swoje punkty końcowe w solidne rozwiązania bezpieczeństwa, aby identyfikować i zatrzymywać zagrożenia w punkcie wejścia.

• Wykrywanie i reakcja: Wykorzystaj rozwiązanie EDR/XDR lub usługę Managed Detection and Response (MDR), aby uzyskać ciągłą widoczność w środowisku. Pozwala to na szybkie wykrycie podejrzanej aktywności i szybką reakcję w celu ograniczenia zagrożeń, zanim się nasilą.

Pamiętaj, że najlepsze bezpieczeństwo to takie, które jest aktywnie używane i zapewnia jasną widoczność. Jeśli przegląd alertów zajmuje tygodnie, pozostawiasz swoją organizację podatną na ataki. Przyjmując podejście wielowarstwowe i priorytetowo traktując wykrywanie zagrożeń w czasie rzeczywistym, możesz znacząco wzmocnić swoją obronę i pozostać o krok przed ciągle ewoluującym zagrożeniem ransomware.