Trace Id is missing

Lunavara teenusena: tööstusliku küberkuritegevuse uus nägu

Jaga
Kaks joontele paigutatud noolepaari, mis osutavad teineteise suunas

 Küberkuritegevuse uusim ärimudel – inimeste juhitavad ründed – innustab tegevusele igasuguste võimetega kurjategijaid.

Lunavara, mis on üks püsivaimaid ja valdavamaid küberohte, areneb pidevalt edasi ja selle uusim vorm kujutab endast uut ohtu organisatsioonidele üle kogu maailma. See lunavara areng ei hõlma uusi tehnoloogilisi edusamme. Tegemist on hoopis uue ärimudeliga: lunavara teenusena („Ransomware as a Service“ – RaaS).

Lunavarateenuse korral sõlmivad omavahel kokkuleppe operaator, kes töötab väljapressimisoperatsioonide jaoks vajalikud tööriistad välja ja haldab neid, ning tema partner, kes laseb lunavaralasti käiku. Kui partner viib läbi eduka lunavara- ja väljapressimisründe, saavad sellest kasu mõlemad osapooled.

RaaS-i mudeli korral saavad sellesse tegevusse sekkuda ka ründajad, kellel endal napib oskusi või tehnilisi teadmisi ise tööriistad välja töötada, ent kes suudab kellegi teise poolt juba valmis tehtud sissetungikatsete ja süsteemiadministraatori tööriistu rünnete jaoks kasutada. Sellised madalama järgu kurjategijad võivad ka lihtsalt osta võrgujuurdepääsu mõnelt kogenumalt kriminaalselt rühmituselt, kes on juba suutnud perimeetrist läbi murda.

Ehkki RaaS-i partnerid kasutavad suuremate oskustega operaatorite pakutavaid lunavaralaste, ei ole tingimata tegemist sama „lunavarajõuguga“. Pigem on tegemist omaette ettevõtmistega, kes tegutsevad üldises küberkuritegevuse keskkonnas.

Küberkurjategijate võimekuse edendamine ja üldise küberkuritegeliku majandustegevuse laienemine

Teenusepõhise lunavara mudel on vähemvõimekatel kurjategijatel aidanud oma haaret ja tegevusvaldkonda märkimisväärselt laiendada. Varem võisid need vähemvõimekad kurjategijad kasutada ründevara, mille nad meisterdasid ise või ostsid kelleltki, et korraldada võrdlemisi piiratud ulatusega ründeid. Ent nüüd saavad nad oma RaaS-i operaatoritelt kõik, mida vaja, võrkudele juurdepääsust alustades ja lunavaralastidega lõpetades – seda muidugi teatud tasu eest. Paljud RaaS-i programmid hõlmavad lisaks veel väljapressimist toetavate pakkumiste komplekti, mille seas on näiteks lekkesaitide majutus ja integreerimine lunavaranõuetesse, läbirääkimised andmete dekrüptimiseks, maksesurve ja krüptovaluutatehingute teenused.

See tähendab, et eduka lunavara- ja väljapressimisründe mõju on ründaja oskustest olenemata sama.

Võrgunõrkuste tuvastamine ja ärakasutamine – tasu eest

Ühe võimalusena saavad RaaS-i operaatorid oma partneritele abiks olla näiteks nii, et pakuvad neile juurdepääsu turbemurde ohvriks langenud võrkudele. Juurdepääsumaaklerid otsivad Internetist pidevalt haavatavaid süsteeme, kuhu nad saaksid sisse murda, et sellega siis hiljem kasumit teenida.

Edu saavutamiseks vajavad ründajad identimisteavet. Ründe ohvriks langenud identimisteave on nende rünnete jaoks nii oluline, et kui küberkurjategijad müüvad võrgujuurdepääsu, sisaldab hind sageli ka garanteeritud administraatorikontot.

See, mida kurjategija juurdepääsuga pärast selle saamist edasi teeb, võib juba väga suuresti varieeruda olenevalt ründajast ning kasutatavast lastist või motivatsioonist. Seetõttu võib esialgse juurdepääsu saamise ja ründaja tegeliku tegutsemise vahele jääv aeg ulatuda mõnest minutist mitme päevani või olla veelgi pikem, ent kui olud on ründaja jaoks sobivad, võib ta kahju tekitada jalustrabavalt kiiresti. Oleme näinud, kuidas esialgse juurdepääsu saamisest kulub täieliku lunarahanõude esitamiseni (sh juurdepääsu üleandmine juurdepääsumaaklerilt RaaS-i partnerile) vähem kui tund.

Majanduse käigushoidmine – järjekindlad ja salakavalad juurdepääsumeetodid

Kui ründaja on juba võrgule juurdepääsu saanud, ei soovi ta sealt niipea lahkuda – ka pärast lunaraha kättesaamist. Tegelikult ei pruugi lunaraha maksmine mõjutatud võrgus üldse riski vähendada. Pigem rahastab see lihtsalt küberkurjategijaid, kes jätkavad katseid rünnetega raha teenida, kasutades mõnda muud ründe- või lunavaralasti, seni, kuni nad välja visatakse.

Küberkuritegevuslikus majanduses ründajate vahel aset leidvad üleandmised tähendavad, et samas keskkonnas võib püsivalt tegutseda mitu rühmitust, kes kasutavad lunavararündes kasutatud tööriistadest erinevaid meetodeid. Nii võib pangandustroojani kaudu saadud esialgne juurdepääs viia Cobalt Strike’i juurutamiseni, kuid juurdepääsu ostnud RaaS-i partner võib kampaania korraldamiseks kasutada hoopis mõnda kaugpöördustööriista, näiteks TeamViewerit.

Võrgus püsimiseks sinna istutatud ründevara (nt Cobalt Strike’i) asemel tavapäraste tööriistade ja sätete kasutamine on lunavararündajate hulgas populaarne tehnika, kuna see võimaldab neil kauem tuvastamist vältida ja võrgus eluneda.

Populaarne ründetehnika on ka uute tagauksena toimivate kohalike või Active Directory kasutajakontode loomine, mille saab seejärel lisada kaugpöördusriistadesse, näiteks virtuaalsesse privaatvõrku (VPN) või kaugtöölauale. Oleme märganud sedagi, et lunavararündajad on süsteemides sätteid muutnud kaugtöölaua lubamiseks, protokolli turvalisuse vähendamiseks ja uute kasutajate lisamiseks kaugtöölaua kasutajate rühma.

Vooskeem, mis selgitab RaaS-rünnete plaanimist ja rakendamist

Kõige tabamatumad ja kavalamad vastased maailmas

Üks RaaS-i omadusi, mis teeb selle ohu nii murettekitavaks, on selle sõltuvus inimründajatest, kes oskavad teha teadlikke ja kaalutletud otsuseid ning ründemustreid varieerida olenevalt sellest, mida nad võrkudest leiavad, et oma eesmärgid kindlasti ellu viia.

Microsoftis võeti selle ründekategooria jaoks kasutusele inimjuhitava lunavara mõiste: see on tegevuste ahel, mis kulmineerub lunavaralastiga, mitte komplekt ründevaralaste, mida tuleb blokeerida.

Ehkki enamik esialgseid juurdepääsukampaaniaid kasutab automaatset luuret, muutub see kohe, kui rünne jõuab faasi, mida võiks tinglikult iseloomustada nimetusega „käed klaviatuuril“: ründajad kasutavad siis oma teadmisi ja oskusi keskkonnas leiduvate turbetoodete alistamiseks.

Kuna lunavararündajaid motiveerib lihtne tulu, on oluline turbe tugevdamise kaudu nende kulusid suurendada – see segab küberkurjategijate majandustegevust. Kui otsuseid teevad inimesed, tähendab see, et ka juhul, kui turbetooted tuvastavad konkreetse ründefaasi, ei õnnestu ründajat tingimata süsteemist täielikult välja visata ning kui turbemeetmed teda ei blokeeri, jätkab ründaja oma tegevust. Sageli juhtub, et kui viirusetõrjetarkvara tuvastab ja blokeerib mõne kindla tööriista või lasti, laseb ründaja lihtsalt käiku mõne muu tööriista või muudab lasti.

Samuti on ründajad teadlikud turbetoimingute keskuse (SOC) reageerimisaegadest ning tuvastustööriistade funktsioonidest ja piirangutest. Kui rünne jõuab varu- või varikoopiate kustutamise faasi, on lunavara käikulaskmiseni arvatavasti jäänud vaid mõni minut. Tõenäoliselt on ründaja selleks hetkeks juba teinud midagi kahjulikku, näiteks andmeid välja smugeldanud. See teadmine on lunavararündele reageerivate SOC-de jaoks äärmiselt oluline: ründava inimese ohjeldamiseks tuleb tuvastatud ründevara (nt Cobalt Strike) uurida veel enne lunavara kasutuselevõtu faasi ning kiired kahjutustamistoimingud ja intsidentidele reageerimise protseduurid on kriitilise tähtsusega.

Tugevam turve ei tohi viia teadetest väsimiseni

Järjekindlate inimründajate tõkestamiseks peab vastupidav turbestrateegia hõlmama nii tuvastamise kui ka leevendusega seotud eesmärke. Tuvastamisest üksinda ei piisa, kuna mõned sisseimbumised on sisuliselt tuvastamatud (sarnanevad mitme süütu toiminguga) ning lisaks on üsna tavaline, et lunavararünded jäävad kahe silma vahele põhjusel, et hulk erinevate turbetoodete teateid ja hoiatusi hajutab tähelepanu.

Kuna ründajatel on turbetoodetest mööda hiilimiseks ja nende väljalülitamiseks mitu võimalust ning nad suudavad jäljendada tavapärast administraatori käitumist, et võimalikult hästi keskkonda sulanduda, peaksid IT-turbemeeskonnad ja SOC-d tuvastustegevust täiendama ka turbe tugevdamise meetmetega.

Kuna lunavararündajaid motiveerib lihtne tulu, on oluline turbe tugevdamise kaudu nende kulusid suurendada – see segab küberkurjategijate majandustegevust.

Siit leiate mõned juhised, mida organisatsioonid peaksid enda kaitsmiseks järgima.

 

  • Pöörake tähelepanu identimisteabe kasutuse hügieenile. Töötage välja õigustel põhinev loogiline võrgusegmentimine, mille saab külgliikumise piiramiseks kasutusele võtta füüsilise võrgusegmentimise kõrval.
  • Auditeerige identimisteabe riskile avatust. Identimisteabe riskile avatuse auditeerimine on lunavararünnete ja üldisemalt kogu küberkuritegevuse ärahoidmiseks väga oluline. IT-turbemeeskonnad ja SOC-d saavad koostöös administraatori privileege vähendada ja identimisteabe avaldamise taset mõista.
  • Tugevdage pilve. Kuna ründajad sihivad aina sagedamini just pilvressursse, on oluline lisaks kohapealsetele kontodele kaitsta ka pilvepõhiseid ressursse ja identiteete. Turbemeeskonnad peaksid keskenduma turbeidentiteetide taristu tugevdamisele, jõustama mitmikautentimise (MFA) kõigil kontodel ning kasutama pilv- ja rentnikukeskkonna administraatorite jaoks domeeniadministraatoritega samal tasemel turbe- ja identimisteabe hügieeni.
  • Sulgege turbenõrkused. Organisatsioonid peaksid veenduma, et nende turbetööriistad töötaksid optimaalse konfiguratsiooniga, ja võrku regulaarselt kontrollima, et tagada turbetoodete kaitse kõigis süsteemides.
  • Vähendage ründepinda. Lunavararünnetes sagedamini kasutatavate ründetehnikate tõkestamiseks võtke kasutusele ründepinnavähenduse reeglid. Mitme lunavaraga seotud rühmituse rünnete vaatlemisel oleme märganud, et selgelt määratetud reeglitega organisatsioonides on suudetud ründed kahjutustada juba algjärgus, hoides ära ründajate enda sekkumise.
  • Hinnake perimeetrit. Organisatsioonid peavad kindlaks tegema ja turvama perimeetersüsteemid, mida ründajad võiksid võrku pääsemiseks kasutada. Andmete täiendamiseks saab kasutada avalikke kontrollimisliideseid.
  • Tugevdage Interneti-ühendusega ressursse. Lunavararündajad ja juurdepääsumaaklerid kasutavad eriti esialgses juurdepääsufaasis sageli paikamata nõrkuseid – nii juba avaldatud kui ka nullpäevanõrkuseid. Samuti võtavad nad kiiresti kasutusele uusi nõrkuseid. Riskile avatuse vähendamiseks saavad organisatsioonid kasutada lõpp-punkti ohutuvastuse ja -kõrvalduse toodetes sisalduvaid ohu- ja nõrkusehalduse funktsioone nõrkuste ja valekonfiguratsioonide tuvastamiseks, prioriseerimiseks ja kahjutustamiseks.
  • Valmistuge taasteks. Parim lunavarakaitse peaks hõlmama plaane, kuidas ründe korral selle tagajärgedest kiiresti taastuda. Kuna ründest taastumine on odavam kui lunaraha maksmine, tehke oma kriitilistest süsteemidest kindlasti regulaarselt varukoopiaid ning kaitske neid tahtliku kustutamise ja krüptimise eest. Kui võimalik, talletage varukoopiad võrgus, mõnes muutmist mittelubavas salvestusruumis, või täielikult võrguühenduseta ruumis.
  • Täiendav kaitse lunavararünnete eest. Uue lunavaramajanduse mitmekülgsed ohud ja inimjuhitavate lunavararünnete raskestitabatav olemus nõuavad organisatsioonidelt täieliku turbelähenemine kasutuselevõttu.

Eespool kirjeldatud toimingud aitavad teil end kaitsta levinumate ründemustrite eest ja lunavararündeid suures osas ära hoida. Kui soovite kaitset nii traditsiooniliste kui ka inimjuhitavate lunavara- ja muude ohtude vastu veelgi tugevamaks muuta, kasutage turbetööriistu, mis annavad teile domeenidest põhjaliku ülevaate ja pakuvad ühtseid uurimisfunktsioone.

Täiendava ülevaate lunavarast koos näpunäidete ja heade tavadega rünnete ärahoidmise, tuvastamise ja kahjutustamise kohta leiate artiklist Organisatsiooni kaitsmine lunavara eest; veelgi põhjalikumat teavet inimjuhitava ründevara kohta leiate vanemturbeanalüütiku Jessica Payne’i artiklist Lunavara teenusena: küberkuritegevuslike juhutööde majanduse mõistmine ja enda kaitsmine.

Seotud artiklid

Ajakirja „Cyber Signals“ 2. väljaanne: Väljapressimisel põhinev majandus

Meie eesliinieksperdid annavad ülevaate arengutest teenusena pakutava lunavara valdkonnas. Täpsemat teavet saate kõikvõimalike tööriistade, taktikate ja sihtmärkide kohta, mida küberkurjategijad eelistavad, programmidest ja lastidest alustades ning juurdepääsumaaklerite ja vahendajatega lõpetades. Samuti leiate siit juhiseid oma asutuse või ettevõtte kaitsmiseks.
Lisateave

Eksperdi profiil: Nick Carr

Microsofti ohuanalüüsikeskuse küberkuritegevuse luurerühma juht Nick Carr arutleb lunavara suundumuste üle, selgitab, mida Microsoft teeb klientide kaitsmiseks lunavara eest, ja kirjeldab, mida organisatsioonid saavad teha, kui see on neid mõjutanud.
Lisateave

Organisatsiooni kaitsmine lunavara eest

Heitke pilk kurjategijatele, kes tegutsevad põrandaaluselt lunavara kasutades. Aitame teil mõista lunavararünnete motiive ja mehhanisme ning jagame teiega häid kaitse-, varundus- ja taastamistavasid.
Lisateave