Ransomware as a service (RaaS) – ce este și cum funcționează

Ransomware as a service (RaaS) este modelul de afaceri prin care se fac astăzi cele mai multe atacuri ransomware: un grup de infractori dezvoltă programul și infrastructura de atac, iar „afiliații” le închiriază, atacă firmele și împart răscumpărarea cu dezvoltatorii. Când am scris acest articol, în mai 2021, RaaS era un fenomen în plină creștere. Între timp a devenit regula, nu excepția.

Ransomware este un tip de program malițios (malware) care, odată ajuns pe stația de lucru a victimei, blochează datele și cere o plată pentru recuperarea lor. Folosește funcții avansate de criptare, pentru „a parola” informațiile de pe stația infectată. Pentru recuperarea lor, victimele sunt somate să plătească o sumă de bani, de obicei în criptomonede, cel mai des în Bitcoin. Astăzi, cele mai multe grupuri fură mai întâi datele și abia apoi le criptează, ca să poată amenința și cu publicarea lor (dubla extorcare).

Cum funcționează RaaS?

Serviciile de tip „ransomware as a service” permit oricărei persoane cu intenții malițioase să lanseze atacuri ransomware fără să aibă abilitățile tehnice necesare pentru a scrie programul. Dezvoltatorii serviciului oferă programul, panoul de control, site-ul pe care se negociază plata și, uneori, chiar „asistență” pentru afiliați. În schimb, câștigă un procent din răscumpărările plătite de victime.

Conform unui raport al companiei de securitate Group-IB, aproape două treimi (64%) dintre atacurile ransomware analizate în 2020 au fost făcute prin servicii de tip RaaS, iar în același an au apărut 15 programe RaaS noi.

Un afiliat nu are nevoie nici măcar să spargă singur rețeaua: poate cumpăra de la alți infractori accese deja furate, de pildă parole de VPN sau de Remote Desktop. Practic, orice persoană care are acces la rețeaua internă a companiei poate deveni o vulnerabilitate: în 2021, grupul LockBit a început să caute chiar angajați dispuși să îi deschidă accesul în rețeaua firmei, în schimbul unei părți din răscumpărare.

Securitate IT: vreau detalii →

Ce trebuie să facă o companie pentru a se proteja de atacurile de tip ransomware as a service?

Cea mai eficientă strategie de apărare împotriva atacurilor ransomware este o combinație de educare a personalului, mijloace tehnice de apărare și monitorizare continuă a infrastructurii dumneavoastră, pentru a detecta vulnerabilitățile. Concret, o companie trebuie:

• să protejeze toate accesele din exterior cu autentificare în doi pași;
• să folosească o soluție performantă de securitate;
• să aibă o soluție performantă de backup, cu o copie pe care atacatorii nu o pot șterge;
• să configureze corect firewall-ul și să actualizeze echipamentele de la marginea rețelei;
• să ofere training angajaților, pentru a putea identifica e-mailurile și fișierele malițioase.

Haideți să luăm toate acestea pe rând.

• Autentificarea în doi pași pe toate accesele din exterior. Mulți afiliați RaaS intră în rețea cu parole furate sau ghicite pentru VPN, Remote Desktop sau e-mail. Cu un al doilea factor, o parolă furată nu le mai ajunge. Vedeți și regulile de bază pentru crearea de parole sigure.
• O soluție performantă de securitate oferă stației de lucru un nivel suplimentar de protecție. Soluțiile moderne (de tip EDR) recunosc comportamentul tipic al unui ransomware, de pildă criptarea rapidă a multor fișiere, și opresc procesul înainte ca acesta să compromită informațiile utilizatorilor. Se recomandă o soluție care se poate administra centralizat, dintr-o consolă cloud, și ale cărei alerte sunt urmărite de cineva.
• O soluție performantă de backup, plus o procedură de restaurare rapidă. Backupul este singura cale sigură de a vă recupera datele fără să plătiți. Ca să reziste unui atac, cel puțin o copie trebuie să stea în afara rețelei firmei sau să nu poată fi modificată ori ștearsă (backup imuabil), iar restaurarea trebuie testată periodic. Backupul nu împiedică însă publicarea datelor furate, așa că nu înlocuiește celelalte măsuri.
• Configurarea corectă a firewall-ului companiei. O bună practică de securitate este să se dezactiveze la nivel de firewall toate serviciile care nu sunt necesare companiei. În plus, firewall-ul, routerul și serverul de VPN trebuie actualizate imediat ce producătorul publică o corecție de securitate, pentru că vulnerabilitățile acestor echipamente sunt printre porțile de intrare preferate de atacatori.
• Securizarea serviciilor pe care utilizatorii le folosesc. Dacă, de exemplu, se utilizează Remote Desktop pentru accesarea infrastructurii de la birou, acesta nu trebuie expus direct pe internet, nici măcar pe alt port decât cel implicit. Accesul se face printr-un VPN sau printr-un gateway cu autentificare în doi pași și doar pentru utilizatorii care au această nevoie.
• Instruirea utilizatorilor. Este necesar ca utilizatorii să fie informați permanent despre felul în care pot identifica e-mailurile de tip phishing și să fie atenți înainte de a deschide atașamentele primite pe e-mail sau alte fișiere.

Backup as a Service: vreau detalii →

Ce faceți dacă firma este atacată?

Dacă firma este atacată, deconectați imediat de la rețea calculatoarele afectate, fără să le opriți, și chemați echipa IT. Apoi:

• Nu plătiți răscumpărarea. Aceasta este și recomandarea DNSC (Directoratul Național de Securitate Cibernetică): plata nu garantează că primiți datele înapoi sau că ele nu vor fi publicate și finanțează următoarele atacuri.
• Anunțați incidentul. Orice firmă poate raporta un incident la DNSC, la numărul unic 1911. Firmele care intră sub incidența NIS2 (în România, OUG 155/2024) trimit o primă notificare în cel mult 24 de ore de la aflarea unui incident semnificativ și o notificare completă în 72 de ore. Dacă au fost afectate date personale, ANSPDCP trebuie anunțată în 72 de ore, conform GDPR.
• Căutați un decriptor gratuit. Pentru unele familii de ransomware există programe de decriptare gratuite, publicate pe No More Ransom, proiectul Europol și al partenerilor săi.
• Restaurați din backup doar după ce ați aflat pe unde au intrat atacatorii și ați închis acel acces. Altfel, atacul se poate repeta.

Exemple de ransomware as a service (RaaS)

Exemplele de mai jos sunt grupuri active în 2021, când am scris articolul, împreună cu ce s-a întâmplat ulterior cu ele.

DarkSide

DarkSide era o operațiune RaaS asociată cu un grup infracțional urmărit de CrowdStrike sub numele de CARBON SPIDER. Operatorii DarkSide s-au concentrat inițial asupra calculatoarelor cu Windows și s-au extins apoi la Linux, vizând mediile de întreprindere care rulau hipervizoare VMware ESXi neprotejate sau furând datele de autentificare pentru vCenter.

Pe 10 mai 2021, FBI a confirmat public că incidentul Colonial Pipeline a implicat ransomware-ul DarkSide. Ulterior, s-a raportat că din rețeaua Colonial Pipeline au fost furați aproximativ 100 GB de date, iar compania a confirmat că a plătit 4,4 milioane de dolari americani unui afiliat DarkSide. Grupul și-a anunțat închiderea în mai 2021, la scurt timp după atac, iar în iunie 2021 Departamentul de Justiție al SUA a anunțat că a recuperat o parte din răscumpărare, aproximativ 2,3 milioane de dolari în bitcoini.

REvil

REvil, cunoscut și sub numele de Sodinokibi, era vândut de grupul infracțional PINCHY SPIDER în cadrul modelului de afiliere, iar acesta prelua, de obicei, 40% din profituri. În 2021, REvil a fost în spatele unora dintre cele mai mari cereri de răscumpărare de până atunci: 50 de milioane de dolari de la Acer și 70 de milioane de dolari după atacul din iulie asupra Kaseya VSA, o aplicație de administrare de la distanță folosită de firmele de IT, prin care au fost afectate în lanț firmele clienților lor. Lecția pentru orice companie: accesul de la distanță al furnizorului IT trebuie protejat la fel de bine ca propriile conturi.

La fel ca TWISTED SPIDER, PINCHY SPIDER avertiza victimele cu privire la publicarea planificată a datelor, de obicei printr-o postare pe blogul folosit pentru scurgeri de date (DLS), care conținea mostre de date ca dovadă, înainte de a publica cea mai mare parte a datelor după o anumită perioadă de timp. REvil includea în nota de răscumpărare și un link către postarea de pe blog. Acest link afișa datele victimei înainte de a fi expuse publicului, iar la vizitarea lui începea o numărătoare inversă, după care datele erau publicate.

În noiembrie 2021, în cadrul operațiunii internaționale GoldDust, autoritățile române au arestat doi suspecți considerați afiliați REvil. În ianuarie 2022, serviciul de securitate al Rusiei (FSB) a anunțat că a destructurat grupul.

Dharma

Atacurile ransomware Dharma au fost atribuite de CrowdStrike unui grup iranian motivat financiar. Acest RaaS este disponibil pe dark web din 2016 și este asociat, în principal, cu atacurile prin protocolul de desktop la distanță (RDP). Atacatorii cereau, de obicei, 1–5 bitcoini de la ținte dintr-o gamă largă de industrii. Spre deosebire de REvil și de alte kituri RaaS, Dharma nu este controlat la nivel central.

Variantele Dharma provin din mai multe surse, iar în majoritatea incidentelor în care CrowdStrike a identificat Dharma, fișierele analizate au fost aproape identice. Singurele diferențe au fost cheile de criptare, e-mailul de contact și alte câteva elemente care pot fi personalizate printr-un portal RaaS. Pentru că atacurile Dharma seamănă atât de mult, specialiștii nu pot afla dintr-un incident prea multe despre cine se află în spatele lui și cum operează.

LockBit

În dezvoltare cel puțin din septembrie 2019, LockBit a fost oferit ca RaaS utilizatorilor vorbitori de limbă rusă sau celor vorbitori de limbă engleză care aveau un garant vorbitor de limbă rusă. În mai 2020, un afiliat care opera LockBit a postat o amenințare de publicare a datelor pe un forum infracțional popular în limba rusă. Pe lângă amenințare, afiliatul a furnizat dovezi, cum ar fi o captură de ecran cu un document din datele victimei. După expirarea termenului, afiliatul posta un link mega[.]nz pentru descărcarea datelor furate. Acest afiliat a amenințat că va publica datele a cel puțin nouă victime.

În anii următori, LockBit a devenit una dintre cele mai active operațiuni RaaS din lume. În februarie 2024, în operațiunea internațională Cronos, agenția britanică NCA, FBI și Europol au preluat controlul infrastructurii grupului și au obținut peste 1.000 de chei de decriptare.

Un atac RaaS în România: spitalele, în februarie 2024

Nici România nu a fost ocolită. În noaptea de 11 spre 12 februarie 2024, un atac cu ransomware-ul Backmydata, din familia RaaS Phobos, a blocat un sistem informatic de gestiune folosit de mai multe spitale din țară. Atacatorii au cerut o răscumpărare de 3,5 bitcoini, iar DNSC a recomandat ca aceasta să nu fie plătită.

Atacatorii vizează tot mai des infrastructura critică și lanțurile de aprovizionare: energie, alimente, transporturi, servicii pentru cetățeni, sănătate. Aceste organizații își permit o întrerupere foarte scurtă și, prin urmare, sunt mai tentate să plătească. Lecția este însă aceeași pentru orice firmă: fără un backup separat de rețea, singura „soluție” rămâne plata.

Cine credea că ransomware-ul pierde teren s-a înșelat, bătălia s-a mutat la nivelul următor.

Vedeți și articolul despre tipurile populare de malware și cum ne protejăm de acestea.

Contactați-ne pentru un Audit IT gratuit, prin care vă putem oferi recomandări personalizate pentru protecția datelor companiei.

RezolvIT este o firmă de servicii IT gestionate din București, certificată ISO/IEC 27001, care oferă suport IT personalizat companiilor cu care lucrează, fie că ne referim la Securitate IT, la securizarea laptopurilor folosite acasă sau la lucrul angajaților de la distanță. Oferim și sprijin pentru conformarea cu NIS2.