Понимание TTP злоумышленников – ключ к предотвращению атак до того, как будет развернута программа-вымогатель.
Несмотря на то, что год недавно начался, атаки вымогательского ПО и их дорогостоящее воздействие на современные предприятия уже попали в заголовки газет. Согласно новому отчету, The 2024 Ransomware Threat Landscape, опубликованному командой Symantec Threat Hunter, входящей в состав Broadcom, «вымогательство продолжает оставаться одной из самых прибыльных форм киберпреступности и является критической угрозой для организаций всех размеров».
В новом отчете Symantec проанализирован ландшафт угроз вымогательского ПО за последние 12 месяцев – от появления новых операторов до основных инструментов и тактик, методов и процедур (TTP) злоумышленников – и представлены оперативные данные, включая реальные примеры из практики злоумышленников, которые помогут организациям остановить атаки на ранних этапах цепочки атак.
Среди основных выводов отчета:
- Атаки вымогателей участились в октябре 2023 года, а количество организаций, пострадавших от вымогателей в октябре 2023 года, было на 66 % больше, чем годом ранее. Это стало одним из самых больших сюрпризов 2023 года. Специалисты Symantec ожидали, что количество вымогательских атак в этот период немного снизится после сбоя в работе Qakbot, но произошло обратное.
- Основным вектором заражения программ-вымогателей больше не являются ботнеты – вместо этого они используют известные уязвимости в приложениях, предназначенных для публичного доступа.
- Кроме непосредственно полезной нагрузки в виде выкупа, злоумышленники все чаще отказываются от вредоносного ПО при проведении атак. Многие из используемых злоумышленниками инструментов – это легальное программное обеспечение, либо инструменты двойного назначения, либо функции операционной системы.
- Компоненты операционной системы Windows – самое распространенное легальное программное обеспечение (так называемая living off the land). PsExec, PowerShell и WMI – три наиболее часто используемых злоумышленниками инструмента.
- Программное обеспечение для удаленного рабочего стола/дистанционного администрирования – самый распространенный тип легального ПО, внедряемый злоумышленниками в целевые сети. К ним относятся AnyDesk, Atera, Splashtop и ConnectWise.
- Группа Snakefly (она же Clop) продемонстрировала новый, вызывающий опасения, шаблон для вымогательских атак, использовав уязвимость MOVEit Transfer. Выявляя уязвимости нулевого дня в корпоративном программном обеспечении, она может похищать данные сразу у нескольких организаций, обеспечивая себе огромный круг жертв в рамках одной атаки.
Главные тенденции развития вымогательского ПО в 2024 году
Основываясь на этих и других данных, можно ожидать, что следующие тенденции развития программ-вымогателей сохранятся в течение 2024 года и далее:
- Вымогательские программы больше не являются проблемой только Северной Америки: Все чаще встречаются группы, которые атакуют организации в других географических регионах и неанглоязычных странах.
- Эксплуатация уязвимостей будет продолжаться: Растет число злоумышленников, которые понимают, как выгодно использовать недавно исправленные уязвимости. Сканирование непропатченных систем начинается в день выхода патча.
- Криптовалюты не исчезнут в ближайшее время: Был период, когда казалось, что криптовалюты, являющиеся ключевым элементом бизнес-модели вымогательства, немного утратят свою актуальность, но теперь, похоже, они вновь обретают легитимность благодаря тому, что Комиссия по ценным бумагам и биржам США одобрила криптовалютные ETF. Пока существуют криптовалюты, будет существовать и вымогательское ПО.
- Число атак без шифрования растет: Тенденция к тому, что вместо шифрования компьютеров все чаще используется кража данных в качестве рычага вымогательства, сохранится. Шифрование требует больших трудозатрат. Специалисты Symantec видели, как некоторые группы экспериментировали (успешно) с атаками без шифрования, когда они просто заходили и крали некоторые данные.
Почему защитники должны перестраиваться: Необходимость адаптивной защиты
Одно в Symantec знают точно – программы-вымогатели будут оставаться постоянной угрозой для всех организаций, независимо от их размера. Чтобы снизить этот риск, организациям следует принять стратегию «глубокой обороны», используя множество технологий обнаружения, защиты и усиления, чтобы снизить риск в каждой точке потенциальной цепочки атак. Кроме того, организациям следует уделять первоочередное внимание углублению своих знаний о текущих векторах заражения, используемых и часто применяемых в атаках вымогательского ПО. Эта информация поможет определить приоритеты и выявить потенциальные слабые места, а также укрепить защитную позицию.
В результате специалисты по защите все чаще прибегают к помощи Symantec Adaptive Protection в борьбе с программами-вымогателями. Чтобы помочь перекрыть маршруты атак, доступных с помощью living-of-the-land инструментов, Symantec Adaptive Protection составляет карту различных методов атак, используемых злоумышленниками, и отображает эти данные в виде Heatmap для быстрого ознакомления. Специалисты по реагированию на инциденты могут использовать эти данные, чтобы понять, какие из living-of-the-land (легитимных) инструментов используются в различных атаках, таких как современные постоянные угрозы (APT) и программы-вымогатели. В настоящее время Symantec отслеживает 70 специфических моделей поведения 54 «живых» инструментов и имеет уникальную возможность быстро реагировать и обновлять эти данные в зависимости от меняющегося ландшафта.
Заключение
Что нового узнала команда Symantec о вымогательстве в 2023 году? Экосистема киберпреступности, связанная с выкупным ПО, очень устойчива и продолжает противостоять усилиям правоохранительных органов и других организаций. Однако есть и хорошие новости: уже сегодня вы можете предпринять шаги, чтобы снизить риск заражения вымогательским ПО. Сочетание оперативной информации о TTP злоумышленников с адаптивной защитой Symantec позволяет защитникам лучше понять, как их организации могут быть скомпрометированы, и предпринять необходимые шаги для защиты от этого.
Источник: The 2024 Ransomware Threat Landscape
