Kübersüdaavastuse maailmas on muutus ilmselt ainus konstant. Kuigi küberväljapressimine kui laiem kuritegevuse kategooria on endiselt populaarne, siis ransomware – selle vaieldamatult kõige kahjulikum vorm – ei ela ega sure ainult krüpteerimisel. Vanad nipid seisnesid enamasti failide või süsteemide lukustamises ja makse nõudmises dekrüpteerimisvõtme eest, kuid viimastel aastatel on kampaaniad liikunud krüpteerimise kombineerimisele andmete väljapetmise ja varastatud teabe avalikustamise ähvardustega.
Siin tulevad mängu spetsiaalsed lekitamissaidid ehk andmete lekitamissaidid (DLS). Neid hakati kasutama 2019. aasta lõpus ja nad on sellest ajast saati muutunud topeltväljapressimisstrateegia selgrooks. Kurjategijad varastavad ettevõtte andmeid (enne nende krüpteerimist) ja seejärel kasutavad seda saaki avalikult relvana, muutes turvaintsidendi täiemahuliseks avalikuks kriisiks.
Turvaeksperdid ja õiguskaitseorganid on seda nihet loomulikult aastaid jälginud. FBI ja CISA kirjeldavad nüüd tavapäraselt ransomware’i kui „andmevarguse ja väljapressimise“ probleemi. Avalikud jälgimisprojektid, nagu Ransomware.live, näitavad sama suunda, kuigi täpseid ohvrite arve tuleks võtta ettevaatlikult. Lekitamissaidid kajastavad ainult seda, mida kurjategijad soovivad „reklaamida“, mitte kõiki intsidente.
Vaatame lähemalt DLS-ide rolli ransomware’i ökosüsteemis ja selle mõju ohvriks langenud organisatsioonidele.
Kuidas ransomware-grupid andmete lekitamissaite kasutavad?
Need saidid, mis asuvad dark webis ja on ligipääsetavad Tor-võrgu kaudu, avaldavad sageli näidise varastatud andmetest ja ähvardavad ohvreid täieliku avalikustamisega, kui makset ei tehta. Mõnikord avaldatakse materjal pärast seda, kui ohver keeldus järele andmast, surudes seeläbi neile veelgi rohkem survet peale. Informatsioon ohvrite kohta, varastatud materjali ulatus ja isegi tähtajad, mis tunduvad möödapääsmatud, on kõik osa strateegiast.
Selle strateegia laastavaks teeb kiirus ja võimendus. Kui intsident on avalik, siis mitmed riskid koondatakse ühte, väga nähtavasse hetke ja ohvriorganisatsioon tegutseb kahtluse ja ebakindluse varjus – sageli isegi enne, kui selle IT- ja turvameeskonnad on täielikult teadlikud, mida varastati või kui kaugele sissetung levis. Ja see on muidugi eesmärk – andmete lekitamissaidid on sunnivahend.
Seepärast on need ka hoolikalt kureeritud. Ründajad avaldavad sageli piisavalt materjali, et näidata, et nad ei bluffi: paar lepingut või hulk e-kirju. Rohkem on tulemas, kui ohver ei allu.
Tõepoolest, kahju harva piirdub esialgse ohvriga. Andmed, kui need on lekkinud või edasi müüdud, muutuvad kütuseks järgnevatele kuritegudele ja turvameeskonnad näevad neid uuesti ilmumas phishing kitidesse, ärikirjavahetuse kompromiteerimise (BEC) kampaaniatesse ja identiteedipettuste skeemidesse. Tarneahelas toimuvates intsidentides võib üks rikkumine levida edasi, paljastades ohvri kliendid ja partnerid. See kaskaadiefekt on osaliselt põhjus, miks ametivõimud käsitlevad ransomware’i süsteemse riskina, mitte üksikute õnnetuste seeria.
Surve disainiga
Iga lekitamissaidi element on loodud psühholoogilise surve maksimeerimiseks.
- Volitamata juurdepääsu tõestus. Bandiidid postitavad näidisdokumente, nagu lepingud ja sisekirjad, et tõestada, et sissetung oli reaalne ja ähvardus on usutav.
- Kiirustamine: Taimerid ja loendusajad tekitavad tunde, et aeg hakkab otsa saama, kuna aja surve all tehtud otsused soosivad tõenäolisemalt poolt, kes kontrollib kella.
- Avalik paljastamine: Isegi kui varastatud andmeid ei avaldata kunagi avalikult, tekitab vaid seotus rünnakuga mainekahju, mida võib olla raske aastaid parandada.
- Regulatiivne risk: Raamistike nagu GDPR, HIPAA ja USA osariikide privaatsusseaduste laieneva segu alusel võib isikuandmeid sisaldava kinnitatud rikkumise korral tekkida kohustuslik teavitamine, uurimised ja trahvid.
Väljapressimisest kaugemale
Mõned ransomware-as-a-service (RaaS) operaatorid on laiendanud lekitamissaitide funktsionaalsust. LockBit, enne kui nende infrastruktuur õiguskaitseorganite poolt 2024. aasta alguses konfiskeeriti, juhtis oma lekitamissaidil veaparanduse programmi, pakkudes tasu kõigile, kes leidsid nende koodist haavatavusi.
Teised postitavad „tööpakkumisi“ ettevõtte siseringi töötajatele, pakkudes tasu töötajatele, kes on nõus edastama sisselogimisandmeid või nõrgestama turvakontrolle. Veelgi enam, mõned saidid toimivad järgmise ründajate laine sisseastumisplatvormidena, kuna ründajad reklaamivad „partnerlusprogramme“, selgitades tulu jagamist ja taotlemise viisi.
Vaatame laiemalt
Andmete lekitamissaidid toimivad, sest nad tabavad ettevõtete nõrku kohti, mis ulatuvad tehnoloogiast kaugemale. Potentsiaalne andmeleke tekitab mitmeid riske korraga: mainekahju, klientide ja partnerite usalduse kaotamine, rahalised löögid, regulatiivsed sanktsioonid ja kohtuvaidlused.
Kuna ransomware-grupid müüvad ka varastatud teavet, toidavad nad varastatud andmete turge ja võimaldavad järgnevaid rünnakuid. Mõned grupid on isegi jätnud krüpteerimise täielikult vahele ja selle asemel „ainult“ võtavad andmeid ja ähvardavad neid avaldada.
Ohvrid peavad samal ajal tegema otsuseid ilma piisavalt aega mõelda tagajärgedele. Inimesed, kelle isiklik teave on intsidenti sattunud, seisavad silmitsi pika puhastusperioodi, võimalike kontode ülevõtmiste ja identiteedipettustega.
Selle taustal võib maksmine tunduda (suhteliselt) lihtne väljapääs või kõige väiksem halbadest valikutest. See pole kumbki. Makse ei taga faili ega süsteemi taastamist, samuti ei taga see, et andmed jäävad privaatseks. Paljud organisatsioonid, kes maksid, langesid mõne kuu jooksul uuesti ohvriks. Ja iga makse aitab rahastada järgmist rünnakut.
Organisatsioonide jaoks nõuab ransomware’i oht põhjalikke kaitsemeetmeid, mis hõlmavad järgmist:
- Täiustatud turvalahenduste juurutamine EDR/XDR/MDR võimalustega. Nende hulgas jälgitakse muuhulgas ebanormaalset käitumist, nagu volitamata protsesside täitmine ja kahtlane külgliikumine, et peatada oht selle tekkekohas. Tegelikult on tooted kurjategijate jaoks tülikad, kes üha enam kasutavad EDR-tappereid, et proovida turvatooteid lõpetada või kokku kukutada, tavaliselt kuritarvitades haavatavaid draivereid.
- Küljeliikumise piiramine hästi määratletud, rangete juurdepääsukontrollide abil. Zero-Trust põhimõtted parandavad ettevõtte turvalisust, elimineerides vaikimisi usaldusassumptsioonid mis tahes üksuse jaoks. Ründajad sageli kuritarvitavad kompromiteeritud sisselogimisandmeid ja kaugjuurdepääsu protokolli juurdepääsu, et võrku käsitsi navigeerida.
- Hoidke kogu oma tarkvara ajakohasena. Teadaolevad haavatavused on üks peamisi sisenemisviise ransomware’i ründajatele.
- Varukoopiate säilitamine isoleeritud, õhuvahelistes keskkondades, millele ransomware ei pääse juurde ega mida ei saa muuta. Ransomware’i peamine eesmärk on tundlike andmete leidmine ja krüpteerimine. Halvem, isegi kui ohvrid maksavad lunaraha, võivad vigased dekrüpteerimisprotsessid põhjustada püsiva andmekao, rääkimata muudest võimalikest tagajärgedest lunaraha maksmisel. Vastupidavad varukoopiad ja ransomware’i parandusvõimalused aitavad oluliselt leevendada kahju ohust.
- Inimlik valvsus, mida täiendab hästi kavandatud turvateadlikkuse koolitus, on samuti väga tõhus kaitsetõke. Töötaja, kes suudab pahatahtliku e-kirja varakult märgata, eemaldab ühe ransomware’i ründajate lemmiksisenemisvõimaluse ja see üksi võib märkimisväärselt vähendada riski, et rünnak ohvristab kogu teie organisatsiooni.
Ransomware’i areng jätkub pidurdamatult, kuna ransomware-as-a-service (RaaS) mudel meelitab jätkuvalt laia kurjategijate kasutajaskonda ning annab paljudele ohtudele pikaealisuse ja kohanemisvõime. Niikaua kui kurjategijad suudavad varastatud andmeid usaldusväärselt avalikuks spektakliks muuta, jätkavad nad seda ja ransomware jääb rahalehtriks.
