Ransomware como serviço: A nova face do crime cibernético industrializado

O modelo de ransomware como serviço facilitou um rápido refinamento e industrialização do que criminosos menos capazes podem realizar. No passado, esses criminosos menos sofisticados podiam usar malware de commodity que eles criavam ou compravam para realizar ataques de escopo limitado, mas agora eles podem obter tudo o que precisam, desde acesso a redes até cargas de ransomware, de seus operadores de RaaS (por um preço, é claro). Muitos programas de RaaS incorporam ainda um conjunto de ofertas de suporte à extorsão, incluindo hospedagem de sites de vazamento e integração em notas de resgate, bem como negociação de descriptografia, pressão para pagamento e serviços de transação de criptomoeda.

Isso significa que o impacto de um ataque bem-sucedido de ransomware e extorsão permanece o mesmo, independentemente das habilidades do invasor.

Uma forma das operadoras de RaaS agregarem valor aos seus afiliados é fornecendo acesso a redes comprometidas. Os corretores de acesso examinam a Internet em busca de sistemas vulneráveis, que eles podem comprometer e reservar para lucro posterior.

Para serem bem-sucedidos, os invasores precisam de credenciais. As credenciais comprometidas são tão importantes para esses ataques que, quando os criminosos cibernéticos vendem acesso à rede, em muitos casos, o preço inclui uma conta de administrador garantida.

O que os criminosos fazem com o acesso depois que ele é obtido pode variar muito, dependendo dos grupos e de suas cargas de trabalho ou motivações. O tempo entre o acesso inicial e a implantação de um teclado prático pode, portanto, variar de minutos a dias ou mais, mas quando as circunstâncias permitem, os danos podem ser infligidos em uma velocidade vertiginosa. De fato, observou-se que o tempo entre o acesso inicial e o resgate total (incluindo a transferência de um corretor de acesso para um afiliado de RaaS) leva menos de uma hora.

Quando os invasores obtêm acesso a uma rede, eles não querem sair, mesmo depois de receber o resgate. Na verdade, o pagamento do resgate pode não reduzir o risco para uma rede afetada e, potencialmente, serve apenas para financiar os criminosos cibernéticos, que continuarão tentando monetizar os ataques com diferentes cargas de malware ou ransomware até serem expulsos.

A transferência que ocorre entre diferentes atacantes à medida que ocorrem transições na economia do crime cibernético significa que vários grupos de atividades podem persistir em um ambiente usando vários métodos diferentes das ferramentas usadas em um ataque de ransomware. Por exemplo, o acesso inicial obtido por um trojan bancário leva à implantação do Cobalt Strike, mas a afiliada RaaS que adquiriu o acesso pode optar por usar uma ferramenta de acesso remoto, como o TeamViewer, para operar sua campanha.

O uso de ferramentas e configurações legítimas para persistir em relação a implantes de malware, como o Cobalt Strike, é uma técnica popular entre os atacantes de ransomware para evitar a detecção e permanecer residente em uma rede por mais tempo.

Outra técnica popular dos invasores é criar novas contas de usuário de backdoor, locais ou no Active Directory, que podem ser adicionadas a ferramentas de acesso remoto, como uma rede privada virtual (VPN) ou uma área de trabalho remota. Também observamos os atacantes de ransomware editando as configurações dos sistemas para ativar a Área de Trabalho Remota, reduzir a segurança do protocolo e adicionar novos usuários ao grupo de Usuários da Área de Trabalho Remota.

Uma das qualidades da RaaS que torna a ameaça tão preocupante é o fato de ela depender de invasores humanos que podem tomar decisões informadas e calculadas e variar os padrões de ataque com base no que encontram nas redes em que entrarem, garantindo que atinjam seus objetivos.

A Microsoft criou o termo ransomware operado por humanos para definir essa categoria de ataques como uma cadeia de atividades que culmina em uma carga útil de ransomware, e não como um conjunto de cargas úteis de malware a serem bloqueadas.

Embora a maioria das campanhas de acesso inicial dependa de reconhecimento automatizado, quando o ataque passa para a fase prática, os invasores usam seu conhecimento e habilidade para tentar derrotar os produtos de segurança no ambiente.

Os invasores de ransomware são motivados por lucros fáceis, portanto, aumentar o custo por meio do fortalecimento da segurança é fundamental para abalar a economia do crime cibernético. Essa tomada de decisão humana significa que, mesmo que os produtos de segurança detectem estágios específicos do ataque, os próprios invasores não são totalmente expulsos; eles tentam continuar se não forem bloqueados por um controle de segurança. Em muitos casos, se uma ferramenta ou carga útil for detectada e bloqueada por um produto antivírus, os invasores simplesmente pegam uma ferramenta diferente ou modificam sua carga útil.

Os invasores também estão cientes dos tempos de resposta do SOC (centro de operações de segurança) e dos recursos e limitações das ferramentas de detecção. Quando o ataque atingir o estágio de exclusão de backups ou cópias de sombra, faltarão poucos minutos para a implantação do ransomware. O adversário provavelmente já teria realizado ações prejudiciais, como a exfiltração de dados. Esse conhecimento é fundamental para os SOCs que respondem ao ransomware: investigar detecções como o Cobalt Strike antes do estágio de implantação do ransomware e realizar ações rápidas de correção e procedimentos de IR (resposta a incidentes) são essenciais para conter um adversário humano.