Utpressningstrojaner som en tjänst: Den industriella cyberkriminalitetens nya ansikte

Affärsmodellen utpressningstrojaner-som-en-tjänst har underlättat en snabb förfining och industrialisering av vad mindre kompetenta brottslingar kan åstadkomma. Tidigare kunde dessa mindre sofistikerade brottslingar ha använt skadlig programvara som de antingen skapat själva eller köpt för att utföra attacker av begränsad omfattning, men nu kan de få allt de behöver – från nätverksåtkomst till utpressningstrojansnyttolaster – från sina RaaS-operatörer (till en viss kostnad, såklart). Många RaaS-program innehåller ytterligare erbjudanden som stöd för utpressningsverksamheten, som webbplatsläckage och integrering av utpressningsbrev, dekrypteringsförhandling, betalningspåtryckning och transaktionstjänster för kryptovaluta.

Detta innebär att effekten av en framgångsrik utpressningstrojansattack förblir densamma oavsett vilka färdigheter angriparen har.

Ett sätt som RaaS-operatörerna använder sig av för att förse sina kunder med värde är att ge dem åtkomst till komprometterade nätverk. Åtkomstförmedlare söker igenom Internet efter sårbara system, som de kan infiltrera och reservera för senare vinstgenererande verksamhet.

Alla angripare måste ha autentiseringsuppgifter för att lyckas. Komprometterade autentiseringsuppgifter är så viktiga för dessa attacker, så att när cyberbrottslingar säljer nätverksåtkomst är i många fall ett garanterat administratörskonto inkluderat i priset.

Hur brottslingarna sedan utnyttjar åtkomsten kan variera kraftigt beroende på vilka de är, deras arbetsbelastningar eller drivkrafter. Tiden mellan första åtkomst till direkt tillgång från tangentbordet kan därför sträcka sig från några minuter till flera dagar eller längre, men när omständigheterna är gynnsamma kan skador orsakas i ett rasande tempo. Faktum är att man kunnat observera att tiden från första åtkomst till betald lösensumma (inklusive överlämning från en åtkomstmäklare till en RaaS-kund) har varit mindre än en timma.

När angriparna väl fått åtkomst till ett nätverk, vill de helst inte lämna det – inte ens efter att de erhållit sin lösensumma. Faktum är att när innehavaren av ett komprometterat nätverk betalat lösensumman så avtar inte risken för det påverkade nätverket, utan det finns en potentiell risk att cyberbrottslingarna kommer att fortsätta att försöka tjäna pengar på attacker med olika typer skadlig programvara eller utpressningstrojaner tills de kastas ut.

Den överlämning som sker mellan olika angripare när transaktioner görs i den cyberkriminella ekonomin innebär att flera kriminella grupper kan fortsätta vara verksamma i samma miljö genom olika metoder som skiljer sig från dem som användes utpressningstrojansattacken. Den första åtkomst som en banktrojan erbjuder leder exempelvis till en Cobalt Strike-installation, men RaaS-kunden som köpte åtkomsten kan välja att använda ett fjärråtkomstverktyg som TeamViewer för att genomföra sin kampanj.

Att använda legitima verktyg och inställningar istället för skadliga programvaror som Cobalt Strike är en populär metod bland utpressningstrojansangripare, eftersom man då lättare kan undvika upptäckt och dröja sig kvar i nätverket längre.

En annan populär angreppsteknik är att skapa nya bakdörrsanvändarkonton, lokalt eller i Active Directory, vilka sedan kan läggas till i fjärråtkomstverktyg som VPN eller Fjärrskrivbord. Utpressningstrojansangripare har också observerats redigera inställningarna i olika system för att aktivera Fjärrskrivbord, minska protokollsäkerhet och lägga till nya användare i gruppen Fjärrskrivbordsanvändare.

En av de egenskaper med RaaS som gör detta till ett så oroande hot är hur det förlitar sig på mänskliga angripare som kan fatta välgrundade och kalkylerade beslut och som varierar sina attackmönster utifrån vad de hittar i de nätverk de infiltrerar, så att de kan vara säkra på att uppnå sina mål.

Microsoft myntade begreppet mänskligt styrda utpressningstrojaner för att definiera den här attackkategorin som en kedja av aktiviteter som kulminerar i en utpressningstrojansnyttolast, inte som en uppsättning nyttolaster med skadlig programvara att blockera.

Medan de flesta initiala åtkomstkampanjer förlitar sig på automatiserad spaning, så kommer angriparen, när attacken övergår till styras direkt från tangentbordet, att använda sina kunskaper och sin skicklighet när hen försöker ta sig förbi miljöns säkerhetsprodukter.

Angripare som använder utpressningstrojaner motiveras av enkel vinst, så att öka deras kostnader genom förstärkt säkerhet är avgörande för att försvåra för cyberbrottsekonomin. Detta mänskliga beslutsfattande innebär att även om säkerhetsprodukterna kan identifiera specifika stadier av attacken, så kan de ändå inte helt avhysa angriparen, som kan fortsätta så länge ingen säkerhetskontroll sätter stopp för det. Om ett verktyg eller nyttolast identifieras och blockeras av en antivirusprodukt, väljer angriparen i många fall helt enkelt att använda ett annat verktyg eller ändra nyttolasten.

Angriparna är också medvetna om säkerhetscentrens svarstider och identifieringsverktygens möjligheter och begränsningar. När attacken når stadiet där säkerhets- eller skuggkopior tas bort, så är distributionen av utpressningstrojanerna bara en fråga om minuter. Angriparen skulle sannolikt redan ha hunnit utföra skadliga handlingar som dataexfiltrering. Denna kunskap är viktig för de säkerhetscenter som hanterar utpressningstrojanerna: att hinna undersöka identifierade intrång som Cobalt Strike innan utpressningstrojanerna når distributionsstadiet och genomföra snabba saneringsåtgärder och incidentsvarsprocedurer är av avgörande betydelse om man vill begränsa mänskligt styrda angrepp.