Anatomia ataku ransomware, etap po etapie

jak działa przestępcza gospodarka

Współczesne operacje ransomware nie działają tak, jak sugeruje popularny obraz. Samotny napastnik, który znajduje cel, włamuje się, szyfruje pliki i zgarnia okup, opisuje tylko niewielki fragment tego, co faktycznie się dzieje. Infrastruktura stojąca za ransomware jest wyspecjalizowana. Różni gracze obsługują różne odcinki łańcucha i wymieniają się usługami na zorganizowanych rynkach.

Initial access broker to jedna z najważniejszych ról w tej gospodarce. To nie są operatorzy ransomware i nie szyfrują plików. Specjalizują się w zdobywaniu dostępu do systemów, a potem sprzedają ten dostęp innym grupom. Przejęte dane logowania, przyczółek założony przez kampanię phishingową, wystawiona na świat usługa pulpitu zdalnego ze słabym uwierzytelnianiem: to wszystko towar. Trafia na listy, wycenę i sprzedaż. Grupa ransomware, która ostatecznie zaszyfruje środowisko, mogła kupić dostęp zamiast zdobywać go samodzielnie.

Ransomware-as-a-Service (RaaS) to model dystrybucji, na którym opiera się wiele największych operacji. Operator RaaS buduje i utrzymuje narzędzia oraz infrastrukturę. Afilianci licencjonują je, przeprowadzają ataki, zbierają okupy i oddają operatorowi część zysku. Układ przypomina model franczyzowy, co obniża techniczną barierę wejścia do prowadzenia ataku ransomware, bo afiliant nie musi budować narzędzi od zera.

Praktyczna konsekwencja dla obrońców jest taka, że grupa, która zaszyfrowała środowisko, może nie być tą samą grupą, która sprzedała pierwotny dostęp, a ta z kolei może nie być tą, która zbudowała złośliwe oprogramowanie. Obrońcy nie mierzą się z pojedynczym napastnikiem. Mierzą się z gospodarką opartą na podziale pracy. Zrozumienie etapów ataku pozwala dopasować kontrole do tej gospodarki i znaleźć najsłabsze ogniwo łańcucha.

etap 1: pierwszy dostęp

Atak zaczyna się w momencie, gdy napastnik zdobywa pierwszy przyczółek. Droga wejścia bywa różna, ale dominujące wektory są stałe. Według danych Verizon DBIR phishing i skradzione dane logowania to wiodące wektory pierwszego dostępu. Phishing dostarcza złośliwy ładunek albo wyłudza dane logowania, kierując użytkownika na stronę przechwytującą poświadczenia. Skradzione dane logowania, pochodzące z wcześniejszych naruszeń w innych usługach albo z ataków credential stuffing, służą do bezpośredniego uwierzytelnienia. Trzeci istotny wektor to wykorzystanie podatności w aplikacjach wystawionych do internetu. Czwarta droga to kupiony dostęp od initial access brokera.

Uwierzytelnianie wieloskładnikowe to najbardziej bezpośrednia kontrola na tym etapie. MFA blokuje drogę od przejętych danych logowania do udanego logowania. Badania Microsoftu wskazują, że MFA blokuje ponad 99,2% ataków na przejęcie konta. Bez MFA na zaatakowanym koncie przejęte dane logowania w ogóle nie stanowią przeszkody. Obok MFA liczy się higiena danych logowania: powtórnie użyte albo wyciekłe hasła są aktywnie sprzedawane i testowane, a menedżery haseł i wymuszone polityki zmniejszają tę powierzchnię. Zarządzanie podatnościami zamyka techniczne punkty wejścia dzięki terminowemu łataniu systemów wystawionych do internetu i usuwaniu niepotrzebnie odsłoniętych usług. Offboarding dostępu osób odchodzących usuwa kolejną kategorię punktów wejścia; konto pozostawione otwarte po odejściu jest dostępne przez całe okno dwell time.

etap 2: rozpoznanie

Po dostaniu się do środka priorytetem napastnika jest zrozumienie środowiska. Ten etap od wewnątrz sieci nie wygląda jak atak. Wygląda jak normalna aktywność. Napastnik mapuje, jakie systemy istnieją, które konta mają podwyższone uprawnienia, jakie dane są obecne i gdzie się znajdują, oraz jak wygląda topologia sieci. Rozpoznanie zwykle obejmuje odpytywanie wewnętrznych katalogów w poszukiwaniu administratorów domeny i kontrolerów domeny, skanowanie wewnętrznych podsieci oraz sprawdzanie, jakie dane logowania i tokeny sesji są dostępne na zaatakowanej maszynie. Ten etap może ciągnąć się dniami albo tygodniami bez wywołania żadnego alertu, jeśli monitoring jest ograniczony albo go nie ma.

Właściwe kontrole to monitoring behawioralny i wykrywanie anomalii. Przejęte konto, które odpytuje Active Directory o administratorów domeny, skanuje wewnętrzne podsieci albo sięga po systemy, do których wcześniej nigdy nie miało dostępu, zachowuje się inaczej niż zwykle. Narzędzia EDR (endpoint detection and response) i rozwiązania SIEM skonfigurowane z sensownym punktem odniesienia potrafią wyłapać taką aktywność, pod warunkiem że monitoring w ogóle działa i jest regularnie przeglądany. Segmentacja sieci ogranicza to, co rozpoznanie może odkryć, zawężając to, co napastnik widzi i do czego sięga z danego punktu startowego.

etap 3: budowa trwałości

Po zmapowaniu środowiska napastnik tworzy dodatkowe przyczółki, tak by zamknięcie jednego punktu wejścia nie pozbawiało go dostępu. Mechanizmy zapewniające trwałość to między innymi tworzenie nowych kont, instalowanie backdoorów, modyfikowanie procesów startowych i zakładanie kanałów command-and-control. Organizacja, która zamknie pierwotny punkt wejścia bez zrozumienia pełnego zakresu włamania, przekona się, że napastnik nadal jest obecny dzięki tym dodatkowym mechanizmom.

Podstawową kontrolą jest tu monitoring tożsamości. Nowe konta utworzone poza standardowym procesem nadawania dostępu to bezpośredni wskaźnik naruszenia. Alert o utworzeniu konta albo okresowy przegląd niedawno utworzonych kont, który wyłapuje konta bez odpowiadającego im rekordu w HR, to jeden z najbardziej bezpośrednich dostępnych mechanizmów wykrywania. Monitorowanie nowych kont administracyjnych jest szczególnie ważne, bo napastnicy budujący trwałość zwykle próbują tworzyć konta o wysokich uprawnieniach. Każde konto administracyjne utworzone poza procesem change management wymaga natychmiastowego sprawdzenia.

etap 4: eskalacja uprawnień

Większość pierwszego dostępu zaczyna się na poziomie zwykłego użytkownika, co nie wystarcza na dalszych etapach. Eskalacja uprawnień to proces przechodzenia ze standardowego dostępu do kontroli administracyjnej albo na poziomie domeny. Typowe metody to wykorzystywanie lokalnych podatności, wyciąganie danych logowania z pamięci, znajdowanie danych logowania zapisanych jawnym tekstem oraz identyfikowanie kont serwisowych albo narzędzi administracyjnych z nadmiernym dostępem. To etap, na którym bezpośrednio liczy się stan modelu uprawnień: środowisko, w którym dane logowania administratora są używane do rutynowych zadań, konta serwisowe mają szeroki dostęp nigdy nieprzeglądany, a koncepcja least privilege w ogóle nie istnieje, otwiera ścieżki eskalacji na każdym kroku.

Strukturalną kontrolą jest projektowanie dostępu według least privilege. Jeśli konta dostają tylko taki dostęp, jakiego rzeczywiście potrzebują, ścieżki eskalacji są węższe. Zarządzanie dostępem uprzywilejowanym (PAM) dokłada kolejną warstwę ponad least privilege: nadawanie uprawnień just-in-time, nagrywanie sesji i workflow zatwierdzania sprawiają, że zdobycie standardowych danych logowania nie daje automatycznie drogi do administratora domeny. Regularne przeglądy dostępów wyłapują narosłe uprawnienia. Tymczasowy dostęp administracyjny nadany do projektu, który skończył się pół roku temu, nigdy nieprzejrzany i nigdy nieodebrany, to ścieżka eskalacji, która nie istniałaby w środowisku z działającym kwartalnym cyklem przeglądu kont uprzywilejowanych.

etap 5: ruch lateralny i zbieranie danych

Z podwyższonymi uprawnieniami napastnik przemieszcza się po sieci, żeby dotrzeć do systemów z najcenniejszymi danymi, systemów, których zaszyfrowanie będzie najbardziej dotkliwe, oraz do danych logowania potrzebnych do szerokiego wdrożenia ransomware. Ruch lateralny wykorzystuje legalne narzędzia i protokoły administracyjne, więc zlewa się z normalną aktywnością administracyjną. Przemieszczając się, napastnik zbiera dane pod kątem potencjalnej eksfiltracji i buduje listę celów do docelowego wdrożenia szyfrowania.

Segmentacja sieci ogranicza ruch lateralny nawet po eskalacji. Napastnik z danymi logowania administratora domeny w jednym segmencie nie dostaje się automatycznie do systemów produkcyjnych, danych finansowych ani backupów w prawidłowo posegmentowanej sieci. Monitorowanie wskaźników ruchu lateralnego, w tym nietypowego użycia narzędzi zdalnej administracji i masowego dostępu do plików, daje szansę na wykrycie, bo napastnik jest w tym momencie aktywny, a ta aktywność jest widoczna dla systemów monitoringu, które jej szukają. Istotna jest tu izolacja backupów: backupy izolowane, niemutowalne i nieosiągalne z tego samego magazynu danych logowania co produkcja nie dają się zaszyfrować ani usunąć w tym samym przejściu ruchu lateralnego.

etap 6: eksfiltracja

Zanim wdrożą ransomware, większość profesjonalnych operacji najpierw eksfiltruje dane. Celem jest podwójne wymuszenie: żądanie okupu za klucz deszyfrujący i groźba opublikowania wykradzionych danych, jeśli okup nie zostanie zapłacony. Podwójne wymuszenie zachowuje presję nawet na organizacje z przetestowanymi backupami, które inaczej mogłyby odzyskać dane bez płacenia. Eksfiltracja polega na zgromadzeniu danych na systemie wewnętrznym, a potem przesłaniu ich na zewnątrz przez legalne narzędzia do transferu plików albo chmurę. Sam transfer da się wykryć, jeśli działa monitoring wolumenu ruchu wychodzącego.

Bezpośrednie kontrole to DLP (data loss prevention) i monitoring ruchu wychodzącego. Alerty o dużych transferach wychodzących do nietypowych miejsc docelowych albo o narzędziach do transferu plików używanych poza normalnymi wzorcami biznesowymi dają szansę na wykrycie. Praktyczny problem w tym, że eksfiltracja korzysta z tych samych protokołów i narzędzi co legalna działalność biznesowa, więc dostrojenie wykrywania anomalii tak, by wyłapywać prawdziwą eksfiltrację bez zalewu fałszywych alarmów, wymaga znajomości normalnego wzorca ruchu wychodzącego.

etap 7: szyfrowanie i wymuszenie

Gdy dane są już wykradzione, a środowisko zmapowane, napastnik wdraża ransomware. W dobrze przygotowanej operacji wdrożenie jest skoordynowane w całym środowisku jednocześnie, z użyciem uprawnień administratora domeny do rozesłania ładunku standardowymi mechanizmami administracyjnymi. Pliki zostają zaszyfrowane, pojawiają się notatki z żądaniem okupu, systemy padają. Timing nie jest przypadkowy: ataki często są wdrażane w porach minimalnej obsady IT, w weekendy, święta i wieczorami, żeby maksymalnie wydłużyć okno przed wykryciem.

Odzyskanie danych bez płacenia zależy od jakości pozycji backupowej. Ostatnią strukturalną kontrolą są przetestowane, niemutowalne backupy. Niemutowalne oznacza, że magazynu backupu nie da się zmodyfikować ani usunąć tymi samymi danymi logowania, które posłużyły do zaatakowania produkcji. Przetestowane oznacza, że proces przywracania został faktycznie uruchomiony, a recovery time objective jest znane. Dodatkową warstwę dają backupy offline albo air-gapped. Planowanie reagowania na incydenty decyduje o tym, jak szybko organizacja opanuje atak i zacznie odzyskiwanie; wcześniej przećwiczone role zmniejszają chaos pierwszych godzin. Płacenie okupu nie jest strategią odzyskiwania danych. Zapłata nie gwarantuje odszyfrowania, nie usuwa wykradzionych danych z rąk napastnika i sygnalizuje przestępczemu rynkowi, że organizacja jest skłonna płacić.

wspólny mianownik: widoczność tożsamości i dostępu

Przechodząc przez te etapy, widać stały wzorzec: większość łańcuchów zaczyna się od słabości tożsamości, a potem jest ciągnięta dalej przez słabości dostępu. Pierwszy dostęp przychodzi przez przejęte dane logowania albo konto, które w ogóle nie powinno być aktywne. Rozpoznanie idzie dalej, bo przejęte konto ma szerszy dostęp do katalogu, niż potrzebuje. Trwałość buduje się przez nowe konta, których nikt nie zauważa. Eskalacja się udaje, bo dostęp uprzywilejowany nie jest dobrze kontrolowany. Ruch lateralny postępuje, bo sieć nie oddziela tego, co do czego może dotrzeć. Szyfrowanie backupów się udaje, bo dane logowania do backupu nie są odizolowane od produkcji.

Żadne z tych ustaleń nie jest egzotyczne. To warunki, jakie istnieją w większości środowisk, gdy nikt świadomie nie zrobił inwentaryzacji tego, jaki dostęp istnieje, do czego służy i co w ogóle powinno tam być. Widoczność sama w sobie nie jest wystarczającą obroną, ale jest jej warunkiem koniecznym. Organizacja, która dokładnie wie, jakie konta istnieją, które mają prawa administracyjne, gdzie MFA jest wymuszone, a gdzie nie, i co zostało otwarte po dawnych odejściach, ma na czym oprzeć działania. Organizacja bez takiego obrazu nie potrafi ustalić priorytetów napraw.

jak to się przekłada na soc 2, iso 27001, nis2 i dora

Obrona przed ransomware nie jest osobną kategorią compliance. Kontrole, które przerywają łańcuch ataku: MFA, least privilege, przeglądy dostępów, segmentacja sieci, integralność backupów, monitoring i reagowanie na incydenty, przekładają się wprost na wymagania głównych ramowych standardów.

SOC 2 obejmuje kontrolę dostępu logicznego (CC6.1, CC6.2, CC6.3), monitoring systemów (CC7) i zarządzanie zmianą (CC8). ISO 27001:2022 obejmuje politykę i zarządzanie kontrolą dostępu (A.5.15, A.5.18), kontrole kryptograficzne (A.8.24), segmentację sieci (A.8.22), backup (A.8.13), zarządzanie podatnościami (A.8.8) oraz zarządzanie incydentami (A.5.24, A.5.26). NIS2 (artykuł 21) wymaga od objętych regulacją podmiotów wdrożenia uwierzytelniania wieloskładnikowego, polityk kontroli dostępu, segmentacji sieci, procedur backupu i odzyskiwania oraz obsługi incydentów. DORA (artykuł 9) określa wymagania bezpieczeństwa ICT dla podmiotów finansowych, w tym kontrolę dostępu, zarządzanie dostępem uprzywilejowanym, ochronę punktów końcowych i przetestowaną ciągłość działania, oraz wprost odnosi się do wymogu niemutowalnych backupów. Spełnienie tych ram nie gwarantuje odporności, ale wymagane przez nie kontrole to dokładnie te same kontrole, które przerywają łańcuch ataku na wielu etapach.

typowe luki, na które liczą napastnicy

Opisana wyżej sekwencja ataku zakłada, że napastnicy znajdą poniższe warunki, i często rzeczywiście je znajdują.

MFA niewymuszone na wszystkich kontach: częściowe wdrożenie, w którym poczta ma MFA, a VPN nie, w którym konta administracyjne zostały wykluczone albo w którym stare konta powstały przed wprowadzeniem polityki, zostawia otwarte punkty wejścia. Nieaktywne konta po byłych pracownikach zachowują swoje ostatnie uprawnienia; konto administracyjne dewelopera, który odszedł osiemnaście miesięcy temu, to dostępny zestaw danych logowania, którego nikt nie monitoruje. Konta uprzywilejowane używane do rutynowych zadań są regularnie wystawione na phishing i kradzież danych logowania; osobne konta administracyjne zmniejszają tę ekspozycję. Płaskie sieci dają napastnikowi, który eskalował do administratora domeny, dostęp do wszystkiego; segmentacja ogranicza blast radius. Backupy dostępne z tego samego środowiska, podłączone do tego samego katalogu i osiągalne przez te same dane logowania co produkcja, dają się zaszyfrować w tym samym przejściu; kontrolą jest izolacja backupów. Reagowanie na incydenty istniejące wyłącznie na papierze zawodzi w pierwszych, decydujących godzinach; przećwiczone role i przetestowany playbook opanowują incydenty szybciej.