Sådan fungerer ransomware

De fleste indtrængninger begynder via et lille antal forudsigelige indgangspunkter:

• Phishing med skadelige vedhæftede filer eller links
• Eksponerede fjernadgangstjenester som RDP med svage eller genbrugte adgangskoder
• Ikke-opdateret internetvendt software (VPN, mail, webapps)
• Gyldige legitimationsoplysninger købt hos adgangsmæglere

At lukke disse indgangspunkter er den mest effektive forebyggelse, som gennemgås i næste lektion.

Moderne ransomware bruger hybrid kryptografi. Det genererer en symmetrisk nøgle (AES) pr. fil eller vært til hurtig kryptering af data og krypterer derefter den symmetriske nøgle med angriberens offentlige nøgle (RSA eller elliptisk kurve).

Kun angriberen har den tilsvarende private nøgle, så ofre kan ikke gendanne de symmetriske nøgler uden den. Dårligt udviklede varianter genbruger eller lækker sommetider nøgler, og derfor findes der lejlighedsvis dekrypteringsværktøjer, men du bør aldrig regne med det.

Avancerede operatører ved, at sikkerhedskopier er din vej ud, så de leder efter dem før krypteringen.

• Sletter eller krypterer lagre med sikkerhedskopier
• Sletter Windows Volume Shadow Copies
• Målretter administratorlegitimationsoplysninger til sikkerhedskopier

Det er derfor, at uforanderlige, offline- eller fysisk isolerede sikkerhedskopier (i næste lektion) er afgørende: De kan ikke nås og ødelægges, selv med domæneadministratorrettigheder.

Kryptering alene virker ikke mod gode sikkerhedskopier, så angribere øgede presset.

• Enkelt afpresning — kryptering og krav om betaling for dekrypteringsnøglen
• Dobbelt afpresning — eksfiltrér også data først, og tru derefter med at offentliggøre dem

Dobbelt afpresning betyder, at gendannelse fra en sikkerhedskopi ikke længere er nok: Databruddet er allerede sket. Behandl enhver ransomware-sag som et muligt databrud med juridiske forpligtelser og underretningskrav.

Ud over kryptering og lækager tilføjer kriminelle grupper pres for at tvinge en hurtig betaling igennem:

• Tredobbelt afpresning — truer ofrets kunder eller partnere direkte
• DDoS-angreb mod offeret under forhandlingerne
• Kontakter medier eller tilsynsmyndigheder for at forstærke omdømmeskaden

Taktikkerne rammer virksomheden, ikke kun systemerne, og derfor skal håndteringen involvere jura, kommunikation og ledelsen – ikke kun IT.

Økosystemet er industrialiseret. RaaS-operatører udvikler og vedligeholder malwaren og lækagesiden og udlejer derefter tjenesten til tilknyttede aktører, som udfører indtrængninger og deler fortjenesten.

Konsekvenser for forsvarere:

• Mange forskellige angribere bruger det samme værktøjssæt, så fælles indikatorer er nyttige
• Tilknyttede aktører har forskellige færdigheder; nogle larmer og er lette at opdage
• At forstyrre én operatør flytter truslen, men eliminerer den ikke

Betaling er ikke en enkel løsning og er nogle gange juridisk begrænset.

• Ingen garanti for, at dekrypteringsværktøjet virker eller overhovedet leveres
• Dekrypteringsværktøjer er ofte langsomme eller ødelægger filer
• Stjålne data kan alligevel blive lækket eller videresolgt
• Betaling finansierer fremtidige angreb og kan overtræde sanktionslovgivningen
• Det markerer dig som en, der betaler, og inviterer til gentagen målretning

Den forsvarlige tilgang er at kunne gendanne uden at betale gennem forberedelse.

For at undgå opdagelse misbruger operatører legitime indbyggede værktøjer i stedet for at lægge åbenlys malware. Dette er udnyttelse af systemets egne værktøjer.

• Indbyggede administratorværktøjer til fjernudførelse og opdagelse
• Legitim software til fjernadgang, der genanvendes til kontrol
• Indbygget scripting til at deaktivere forsvar og sprede sig

Fordi binærfilerne er betroede, skifter detektionsmetoden fra signaturer til adfærd: usædvanlig brug af administratorværktøjer fra uventede konti.

Hvert trin giver en mulighed for forsvar:

• Indledende adgang — MFA, sikkerhedsrettelser og modstandsdygtighed over for phishing
• Lateral bevægelse — netværkssegmentering og mindst mulige privilegier
• Eksfiltrering — overvågning af udgående trafik og DLP
• Påvirkning — uforanderlige sikkerhedskopier, så krypteringen ikke kan blive permanent

Du behøver ikke vinde på hvert trin; hvis du afbryder et enkelt, kan du stoppe operationen. De næste lektioner bygger disse lag.

Du forstår nu mekanismerne godt nok til at kunne forsvare dig mod dem.

• Ransomware følger en livscyklus: adgang, vedholdenhed, lateral bevægelse, eksfiltrering og derefter påvirkning
• Det bruger hybrid kryptering og ødelægger bevidst sikkerhedskopier først
• Dobbelt og tredobbelt afpresning tilføjer datalækager og eksternt pres, så angrebet også bliver et databrud
• RaaS industrialiserer angreb; udnyttelse af systemets egne værktøjer omgår signaturbaseret detektion
• Betaling er risikabelt; målet er gendannelse uden betaling

Næste trin: Forebyg, at angrebet overhovedet får fodfæste.