Ransomware

Az

Ransomware egy rosszindulatú program, amely titkosítja a fájlokat a fertőzött rendszeren, és fizetést követel a visszafejtő kulcsért. A modern változatok hozzáadják az adatok kiszűrését ("kettős zsarolás") és az ellopott adatok kiszivárogtatását, ha nem fizetik ki a váltságdíjat ("háromszoros zsarolás"). A kategória 1989-ben jelent meg az AIDS trójaival, és egészen addig érdekesség maradt, amíg a kriptovaluta 2013 körül meg nem érkezett, biztosítva a fizetési pályát, amely nagymértékben életképessé tette az üzletet.

Hogyan bontakozik ki a fertőzés

A legtöbb modern ransomware támadás felismerhető előrehaladás:

1. Ikezdeti hozzáférés. Adathalász e-mailek, nyilvánosságra hozott RDP, javítatlan VPN-eszköz vagy ellopott hitelesítő adatok, amelyeket egy Initial Access Broker (IAB) értékesített – olyan szakember, aki csak a bejegyzést értékesíti, a váltságdíj terhét nem.
XPLZXXPLZle13 eszkaláció. A támadó ütemezett feladatokon, szolgáltatásokon vagy tartományfiókokon keresztül hoz létre hosszú távú hozzáférést.
2. Reconnaissance. Térképezze fel a környezetet: tartományvezérlők, fájlszerverek, biztonsági mentési rendszerek, hipervizorok, érzékeny adattárolók. Ez a fázis napokig vagy hetekig tarthat.
3. Védelem letiltása. Letiltja a vírusirtót, manipulálja a naplókat, törölje az árnyékmásolatokat és a biztonsági másolatokat elérhető közelségben.
4. Exfiltration. Érzékeny adatok lopása további leverként való használatra. A modern támadók exfil a titkosítás előtt.
5. Encryption. Telepítse a zsarolóprogramokat a lehető legtöbb végponton és kiszolgálón, gyakran csoportházirend vagy PsExec segítségével.
6. Negotiation. A megjegyzések minden képernyőn megjelennek. Egy egyedi csevegési URL vagy e-mail az üzemeltető portáljára vezet, ahol megalkudják a visszafejtést.

A közgazdaságtan

Ransomware a Ransomware-as-a-Service (RaaS) néven teljesen professzionális iparággá vált. A modell:

• Operators (Conti, LockBit, BlackCat, Cl0p stb.) fejleszti a rosszindulatú programokat, futtatja a tárgyalási portálokat, kezeli a visszafejtést, és „ügyfélszolgálatot” nyújt. az üzemeltető rakománya. A váltságdíj 70–80%-át megkapják; a többit az üzemeltető tartja.
• IKezdeti hozzáférési brókerek a vállalati hálózatokhoz való hozzáférést 500–50 000 dollárért árulják, a célpont bevételétől függően.
• Tárgyalási szakértők, pénzmosók és az OSXINT PLZ-elemzői művelet.

A teljes ellátási lánc orosz és kínai fórumokon működik (többnyire oroszul), a fizetéseket kriptovaluta keverőkön keresztül irányítják. Az átlagos váltságdíjigény 2025-ben milliós nagyságrendű a vállalati célpontok esetében, a magas bevételű áldozatok több mint 5 millió dollárt fizetnek a visszafejtésért.

A kriptográfia

A modern zsarolóprogramok hibrid titkosítást használnak: egy új kulcsot minden AES-2 fájlrendszerhez, majd 6 új kulcsot a teljes AES-2 fájlokhoz5. titkosítva az üzemeltető RSA-2048 vagy ECDH nyilvános kulcsával, amely a kártevőbe van ágyazva. Az operátor privát kulcsa nélkül semmilyen számítási teljesítmény nem fejti vissza a fájlokat. Ez ugyanaz a titkosítási minta, mint a legális szoftverek; a kriptográfiai erősség nem a gyenge láncszem.

A gyenge láncszem esetenként megvalósításban van: a WannaCry korai szakaszában kulcskezelési hibák voltak, amelyek lehetővé tették a helyreállítást; A LockBit tárgyalási portálján olyan sérülékenységek voltak, amelyeket a kutatók kihasználtak kulcsok lekérésére; néhány kisebb törzs hibás üzemmódokban használja az AES-t. A rendészeti munkacsoportok többször is kiszivárogtatták a visszafejtőket. A jól megtervezett, jelenleg aktív törzsek esetében azonban az üzemeltető fizetése az egyetlen technikai helyreállítási út.

Miért fizetnek az áldozatok

A gazdasági matematika, különösen, ha a biztonsági másolatok is titkosítottak: 1 millió dollár fizetése 48 óra alatt megtérül. Ne fizessen, építsen újra telephelyen kívüli biztonsági mentésekből (ha van), 2-6 héten belül helyreáll, veszítse el az ügyfeleket és partnereket az állásidő alatt. Egy 500 millió dolláros üzlet esetében a megfizethetetlen választás a hosszú felépülés, nem a váltságdíj. A biztosítás történelmileg megtérítette a váltságdíjat; a biztosítók egyre inkább megtagadják vagy feltételhez kötik a megelőzési intézkedések fedezetét.

A fizetéssel kapcsolatos stratégiai probléma: finanszírozza a következő támadást, és jelzi, hogy az áldozat fizető célpont. A kiberbiztonsági cégek, kormányzati ügynökségek és sok CISO határozottan javasolja, hogy ne fizessenek, ha van életképes alternatíva.

Hogyan védekezzünk

Egyetlen eszköz sem akadályozza meg a zsarolóvírusokat. A ténylegesen kombinált védelmek:

• IMódosíthatatlan, hálózaton kívüli biztonsági mentések. Az éles hálózatról nem módosítható vagy nem törölhető biztonsági másolatok, amelyeket rendszeresen ellenőriznek a visszaállítás szempontjából. WORM-tárhely, különálló felhőfiókok, légrés adathordozó.
• MFA mindenhol, hardverkulcsok adminisztrátorok számára. A legtöbb kezdeti hozzáférés továbbra is hitelesítő adatokon keresztül történik. Hardverkulcs 2FA legyőzi az AitM adathalászatot.
• EDR viselkedésészlelés segítségével. A modern végpontészlelés ransomware-szerű viselkedést keres (tömeges fájlok módosítása, árnyékmásolat törlése, titkosítási könyvtár telepítése) és leállíthatja a hívások titkosítását. másodperc.
• Hálózati szegmentálás. A behatolás robbanási sugara korrelál a hálózat síkságával. A mikroszegmentáció, az ugrásgazdagépek és a szorosan behatárolt szolgáltatásfiókok terjedelmet tartalmaznak.
• A kitett szolgáltatások javítása. VPN-berendezések, RDP-átjárók, e-mail-kiszolgálók és internetes alkalmazások a leggyakoribb belépési pontok. Helyezze be őket a nyilvánosságra hozatali ablakon belül.
• Ieseményreakció-megtartó. Egy infravörös céggel kötött előre megkötött szerződés napokról órákra csökkenti a válaszidőt, és csökkenti a váltságdíj fizetésére nehezedő nyomást.

A bűnüldözési fordulat4 PLZ PLZ29228XX koordinált 2 PLZ2928XX választ. A Hive FBI általi leállítása (2023), a LockBit eltávolítása (2024), valamint az üzemeltetői infrastruktúra folyamatos lefoglalása megemelte egy jelentős RaaS márka üzemeltetési költségeit. Az üzemeltetők gyakran újramárkáznak és újjáalakulnak, de a forgalmi ráták mérhetően megnehezítették az üzletet. A kriptovaluta nyomon követése (Chainalysis, TRM Labs) is eleget fejlődött ahhoz, hogy a keverőkön keresztüli pénzmosás többé már nem garantált megtisztulási lépés.

A középtávú pálya: a ransomware folytatódik, de a modell kevésbé lesz jövedelmező, ahogy a védelem javul, és az attribúció gyorsabbá válik. Az évtized politikai kérdése, hogy a pálya elég gyorsan kanyarodik-e.