Evolucija ransomwarea: od disketa do kriminalne umjetne inteligencije

Univerzalna avantura » Osnovne informacije » Evolucija ransomwarea: od disketa do kriminalne umjetne inteligencije

El ransomware je postao "zvijezda poslovanja" kibernetičkog kriminalaOd tehničke kurioznosti 80-ih prerastao je u globalni stroj za iznudu koji prebacuje milijarde i paralizira bolnice, tvornice, sveučilišta i javne uprave. Daleko od toga da je prolazni hir, to je prijetnja koja se iznova izmišlja sa svakim tehnološkim napretkom, od popularizacije interneta do pojave umjetne inteligencije.

Kako bismo razumjeli zašto svake godine vidimo više incidenata i veće stope spašavanja, moramo slijediti Povijesni pregled ransomwarea: njegovo podrijetlo, tehničke mutacije i poslovni modelSamo razumijevanjem kako se razvijao - od disketa "AIDS Trojanca" do platformi Ransomware-as-a-Service pokretanih umjetnom inteligencijom - moguće je osmisliti realističnu obranu, donositi bolje odluke kada se dogodi incident i, prije svega, pripremiti organizaciju da izbjegne da postane sljedeća naslovnica.

Od disketa do asimetrične enkripcije: prvi koraci ransomwarea

Dokumentirana povijest ransomwarea počinje 1989. godine slučajem koji je jednako neobičan koliko i uznemirujući: Evolucijski biolog Joseph L. Popp distribuirao je 20 000 zaraženih disketa među sudionicima međunarodne konferencije o AIDS-u. Diskete s oznakom "AIDS Information – Introduction Disks" sadržavale su navodni upitnik za procjenu rizika od zaraze bolešću.

Nakon određenog broja ponovnih pokretanja sustava, zlonamjerni softver - poznat kao „AIDS Trojanac“ ili „PC kiborg“— Izmijenio je proces pokretanja MS-DOS-a i šifrirao podatke računala, prikazujući poruku s otkupninom u kojoj se tražilo slanje 189 dolara na poštanski pretinac u Panami. Policija je pratila podrijetlo virusa i uhitila Poppa, ali je proglašen nesposobnim za suđenje, a incident ostaje rijetkost u povijesti računalnih virusa.

Tijekom 90-ih i ranih 2000-ih, pažnja je bila više usmjerena na masivni crvi, DDoS napadi i „klasični“ virusiTo je dijelom bilo zato što je ransomware bilo lakše pratiti putem plaćanja. Međutim, napredak kriptografije i pojava anonimnih digitalnih plaćanja utrli su put njegovom povratku.

Oko 2005. godine pojavio se PGPCoder ili Gpcode, jedan od prvih ransomware masovno distribuiran putem internetaŠirio se kao privitak e-pošte koristeći tehnike kloniranje phishinga Predstavljajući se kao prijave za posao, ciljao je dokumente i komprimirane datoteke (.doc, .xls, .rar, .zip, .jpg, između ostalog). Njegove rane varijante koristile su relativno slabu enkripciju, ali su se brzo razvile na korištenje 660-bitnih i 1024-bitnih RSA ključeva, koje je mnogo teže probiti.

Godine 2006. pojavio se Archiveus (također poznat kao Archievus), trojanski konj koji je popularizirao je korištenje RSA asimetrične enkripcije u ransomwareuŠifrirao je sav sadržaj korisnikove mape "Moji dokumenti" i ostavio datoteku pod nazivom "kako vratiti datoteke.txt" u kojoj je objašnjeno da žrtva, kako bi oporavila podatke, mora obaviti kupnju u online ljekarni u zamjenu za lozinku od nekoliko desetaka znakova. Kasnije je otkriveno da je jedna lozinka funkcionirala za sve žrtve, što je okončalo rad te određene varijante.

Blokatori i rast s masovnim prihvaćanjem interneta

Širenjem interneta početkom 2000-ih – e-pošte, društvenih medija, foruma, P2P mreža – ransomware je pronašao savršen kanal širenja za napad na milijune korisnikaTijekom ove faze, takozvani "blokatori" postali su popularni; oni nisu šifrirali datoteke, ali su sprječavali normalno korištenje sustava.

WinLock, vrlo aktivan između 2011. i 2014., blokirao je pristup radnoj površini sustava Windows i prikazivao pornografska slika uz zahtjev za plaćanje putem SMS-a s premium tarifomTehnički je to bilo jednostavnije od modernog šifriranja, ali vrlo učinkovito: korisnik bi vidio svoje računalo neupotrebljivo i, iz srama ili straha, brzo bi platio.

Ubrzo nakon toga pojavile su se varijante koje su oponašale policijske snage. Reveton, otkriven oko 2012. godine, prikazivao je poruku za koju se pretpostavljalo da potječe od FBI ili druge agencije za provođenje zakona, optužujući korisnika za zločine (piraterija, distribucija pornografije itd.) i zahtijevanje „kazne“ od oko 200 dolara za otključavanje uređaja. Kombinacija pravnog zastrašivanja i zaključavanja sustava povećala je stopu isplate.

Paralelno s tim, korištenje alternativne i poluanonimne metode plaćanjakao što su elektronički novčanici i premium SMS usluge. Ovaj model iznude pokazao se vrlo profitabilnim, do te mjere da su organi za provođenje zakona i pružatelji usluga plaćanja počeli reagirati.

Regulatorni i policijski odgovor usredotočio se na prekid financiranja i aktiviranje Upozorenja o internetskoj sigurnosti: pooštriti kontrole elektroničkih plaćanja, pratiti novac i zatvoriti kanale koji se koriste za naplatu otkupninaTaj je pritisak smanjio profitabilnost modela blokera i prisilio mnoge skupine da promijene taktiku ili nestanu.

Kripto revolucija i utjecaj Bitcoina

Pravi kvalitativni skok dogodio se popularizacijom Bitcoina i drugih kriptovaluta, ponudom sustava plaćanja teško pratiti i bez centralizirane kontrolePostao je savršen dodatak ransomwareu. Napadači se više nisu morali oslanjati na premium SMS usluge ili reguliranije e-novčanike.

Umjesto jednostavnog blokiranja operativnog sustava ili preglednika, nove obitelji su počele Robusno šifrirajte osobne i poslovne datotekeŽrtva nije mogla oporaviti svoje podatke čak ni ponovnom instalacijom sustava. Za zlonamjerne aktere to je otvorilo vrata puno većim otkupninama: stotinama dolara za pojedinačne korisnike i desetcima tisuća za tvrtke.

Podaci Kasperskyja pokazuju da su između 2014. i 2016. godine pokušaji zaraze ransomwareom naglo porasli: s nešto više od 130.000 na više od 700.000 u jednoj godiniObitelji poput TeslaCrypt, CTB-Locker, Scatter i Cryakl dominirale su područjem, odgovorne za gotovo 80% napada otkrivenih tijekom tog razdoblja, iako su neki od njih završili s javnim alatima za dešifriranje.

Geografija napada se također proširila. Zemlje poput Indije, Rusije, Kazahstana, Vijetnama, Alžira, Brazila i Ukrajine bile su posebno pogođene „starije“ ili manje sofisticirane varijanteU međuvremenu, na tržištima poput Italije i Njemačke postalo je uobičajeno susresti se s agresivnim šifriranjem, gdje je "ransomware" praktički postao sinonim za "cijeli vaš disk šifriran".

Istovremeno, kriminalci su promijenili fokus: Prešli su s napadanja gotovo isključivo kućnih korisnika na fokusiranje i na tvrtkeUdio pogođenih organizacija brzo je rastao, jer je operativni utjecaj gubitka servera, baza podataka i kritičnih sustava učinio tvrtke mnogo unosnijim metama.

CryptoLocker, Petya i profesionalizacija modela

Godina 2013. označila je prekretnicu s CryptoLockerom. Ovaj zlonamjerni softver uveo je široko rasprostranjenu upotrebu Zapovjedni i kontrolni (C&C) poslužitelji za upravljanje napadomNakon što je stroj bio zaražen, komunicirao je s udaljenom infrastrukturom koju su kontrolirali napadači, generirajući jedinstvene ključeve, dogovarajući rokove, pa čak i produžavajući pritisak na žrtvu.

Zahvaljujući ovom pristupu koji je više „poslovno orijentiran“ – široke kampanje, pregovori, rokovi, „korisnička“ podrška za plaćanja – CryptoLocker je prikupio desetke milijuna dolara u samo nekoliko mjeseciTakođer je bio jedan od prvih koji je sustavno zahtijevao plaćanje u Bitcoinu, postavljajući temelje za trenutni model.

U 2014. i 2015. godini, ransomware je proširio svoje tehničke ciljeve: Android uređaji i Linux sustavi počeli su biti napadnuti putem obitelji poput SimpleLocker, Sypeng ili Encoder, koje su se često distribuirale prikrivene kao legitimna softverska ažuriranja (na primjer, lažna Flash ažuriranja). Poruka je bila jasna: više se nije radilo samo o Windows računalima.

Petya se pojavila 2016. godine, koja je klasični pristup šifriranja samo datoteka odvela korak dalje. Umjesto toga, napala je glavna tablica datoteka (MFT) diska, potpuno onemogućavajući sustavUređaj bi se zaključao s prikazom strašne crvene lubanje na zaslonu, a jedina očita opcija bila je platiti. Njegova distribucija putem phishing kampanja usmjerenih na tvrtke pokazala je da su napadači usavršili korištenje e-pošte kao vektora.

Medijski utjecaj ovih kampanja - sa snimkama zaslona, ​​zatvaranjem tvrtki i javnim svjedočenjima - Nesvjesno je poslužilo kao marketinška kampanja za ransomware.To je pobudilo interes novih kriminalnih skupina koje su ovu vrstu napada vidjele kao izvor prihoda daleko superiorniji od drugih tradicionalnih online prijevara.

WannaCry, NotPetya i ransomware kao geopolitičko oružje

Između 2017. i 2018. godine, korištenje zero-day ranjivosti ukradene od vladinih agencija To je podiglo ransomware na novu razinu. Curenje alata poput EternalBlue i EternalRomance - koje se pripisuje NSA-i - omogućilo je napadačima da kombiniraju enkripciju s mogućnostima crva, šireći se s računala na računalo bez ljudske intervencije.

WannaCry je vjerojatno najpoznatiji slučaj iz 2017.: za nekoliko sati zarazio je stotine tisuća uređaja u više od 150 zemaljautječući na tvrtke, bolnice, javne agencije i sve vrste organizacija. Iskorištavao je EternalBlue za lateralno kretanje kroz nezakrpane Windows mreže, prikazujući poruku s otkupninom s odbrojavanjem i prijeteći brisanjem podataka.

Paradoksalno, WannaCryjeva agresivnost se obila o glavu njegovim tvorcima: napad se proširio tako brzo da Izgubili su kontrolu nad vlastitom kampanjomOtkriće kill switcha u kodu pomoglo je zaustaviti širenje. Unatoč tome, financijska šteta bila je ogromna, a mnoge su tvrtke odgovorile ulaganjem u sigurnosne kopije i planove za oporavak od katastrofe.

Kriminalne skupine su se brzo prilagođavale. Ako su organizacije bile bolje zaštićene sigurnosnim kopijama, sljedeći korak bio je također napadaju spremišta sigurnosnih kopija i redundantne sustave za pohranu podataka, tako da je jedina održiva alternativa za mnoge žrtve bila pregovaranje o otkupnini.

NotPetya, također iz 2017. godine, a nastao je u sukobu između Rusije i Ukrajine, ponovno je koristio neke od istih ranjivosti, ali u drugu svrhu. Iako je predstavljen kao ransomware, u praksi je Funkcionirao je kao "brisač" osmišljen za uništavanje podataka u velikim razmjerima.Njihov pravi cilj nije bio prikupljanje novca, već nanošenje maksimalne štete kritičnoj ukrajinskoj infrastrukturi i povezanim tvrtkama, čak utječući i na međunarodne lance opskrbe.

Ova vrsta incidenta pokazala je da ransomware Više nije bio samo alat za ekonomsku iznudu, već i oružje digitalnog ratovanjaVlade i velike tvrtke počele su puno ozbiljnije shvaćati potrebu za brzim ažuriranjem, segmentacijom mreže i planovima za kontinuitet poslovanja.

Lov na krupnu divljač i doba dvostruke i trostruke iznude

Od 2019. nadalje, uhodala se drugačija strategija: umjesto pokretanja masovnih i bučnih kampanja, mnoge su se skupine odlučile za ciljani napadi na velike organizacijeOva taktika poznata je kao "Lov na krupnu divljač": vrijednost svake žrtve je toliko visoka da kompenzira dodatni napor izviđanja i prodiranja.

Napadači temeljito analiziraju svoju metu, identificiraju kritične sustave, proučavaju naplatu, traže police kibernetičkog osiguranja, pa čak i Pregovaraju s poznavanjem ekonomskih mogućnosti tvrtke.Tijekom tog razdoblja, prosječni zahtjevi za otkupninu utrostručili su se, popevši se s peteroznamenkastih iznosa na šesteroznamenkaste ili sedmeroznamenkaste iznose u dolarima.

Istovremeno, model dvostruko iznuđivanjeŠifriranje podataka više nije dovoljno: prije toga, kriminalci ih izvlače. Ako žrtva odluči vratiti podatke iz sigurnosnih kopija i odbije platiti, skupina prijeti objavljivanjem osjetljivih informacija (izvornog koda, podataka o kupcima, medicinske dokumentacije itd.) na forumima dark weba ili njihovim curenjem u medije.

Neke su skupine čak išle toliko daleko da su izravno vršile pritisak kupci, pacijenti ili partneri pogođenih tvrtkiRečeno im je da su njihovi podaci kompromitirani i da bi mogli biti objavljeni ako organizacija ne plati. Jedan posebno ozloglašen slučaj bio je onaj u klinici za psihoterapiju u Finskoj, gdje su pacijenti jedan po jedan bili iznuđivani.

Obitelji poput Maze, Egregora ili Sodinokibi/REvila usavršile su ovaj model, kombinirajući enkripciju, krađu podataka i agresivne komunikacijske kampanje. Sramotne stranice na mračnom webuPopisi žrtava koje odbijaju platiti postali su središnji element strategije pritiska.

Ransomware kao usluga i industrijalizacija kriminala

Oko 2020.-2021. ransomware je napravio još jedan skok: pojava Platforme za ransomware kao uslugu (RaaS) koji funkcioniraju gotovo poput kriminalnih startupa. Razvojni programeri zlonamjernog softvera osiguravaju infrastrukturu, kontrolnu ploču i alate za šifriranje; partneri se bave kompromitiranjem žrtava i implementacijom napada.

Zauzvrat, operateri platforme zadržavaju postotak otkupa - ponekad blizu 10%, ostavljajući 90% partneru - što To drastično smanjuje prepreku ulasku za kibernetičke kriminalce s manje tehničkog znanja.Slučajevi poput franšize Conti pokazali su do koje mjere se model može profesionalizirati, s "mlađim zaposlenicima", fiksnim plaćama, bonusima i procurilim internim priručnicima.

U međuvremenu, sljedeće je dobilo na značaju Posrednici početnog pristupa (IAB)To su skupine specijalizirane za dobivanje vjerodajnica, iskorištavanje ranjivosti ili održavanje stražnjih vrata u korporativnim mrežama, koje zatim preprodaju operaterima ransomwarea i drugim zlonamjernim akterima. Na taj se način faza upada "prepušta" stručnjacima.

Studije obavještajnih podataka o prijetnjama pokazuju da je samo u drugoj polovici 2021. bilo preko tisuću korporativnih pristupa na prodaju posebno usmjerene na operacije ransomwarea. Napad na poslovanje ovih posrednika postao je ključni cilj u prekidanju lanca vrijednosti ransomwarea.

Cijeli ovaj ekosustav doveo je do toga da ransomware danas funkcionira kao savršeno strukturirana kriminalna industrijas diferenciranim ulogama (razvojni programeri, partneri, pregovarači, perači novca, IAB...), uslugama podrške i kontinuiranim ciklusom inovacija zlonamjernog softvera.

Ransomware u brojkama: globalni i sektorski utjecaj

Nedavne statistike pokazuju razmjere problema. U prvoj polovici 2022. godine više od 236 milijuna napada ransomwarea diljem svijetaPrema Statisti, drugo izvješće pokazalo je da je gotovo 71% tvrtki iste godine pretrpjelo barem jedan incident s ransomwareom te da su gotovo dvije trećine žrtava na kraju platile.

Prilikom analize po sektorima, sljedeći se ciljevi ističu kao ponavljajući: mala i srednja poduzeća, zdravstvo, obrazovanje, javna uprava, industrijske usluge i bankarstvoU zdravstvu, na primjer, utjecaj nije samo ekonomski: dokumentirana su kašnjenja u operacijama, preusmjeravanja kola hitne pomoći, pa čak i smrtni slučajevi neizravno povezani s nedostupnošću kritičnih sustava.

Zajedničke studije proizvođača sigurnosnih rješenja i analitičkih tvrtki, kao što su VDC Research i Kaspersky, procijenile su potencijalne gubitke u deseci milijardi dolara samo u sektorima poput proizvodnjeRegije poput azijsko-pacifičke regije koncentriraju vrlo značajan dio tog rizika zbog svoje brze digitalne transformacije.

Korištenje kriptovaluta ostaje norma. Godinama je preko 95% plaćanja za neke velike korporacije prolazilo kroz njih. slabo regulirane platforme za razmjenuMnogi od njih nalaze se u jurisdikcijama s manje međunarodne suradnje, što komplicira policijsku potjeru.

Sve ovo čini ransomware jednim od najozbiljnije ekonomske prijetnje poduzećima danas, s prosječnim troškom kršenja od oko nekoliko milijuna dolara kada se zbroje financijska spašavanja, prekidi proizvodnje, gubici ugleda i regulatorne sankcije.

Od enkripcije do višestrukih iznuda i napada bez enkripcije

Osim pukog šifriranja, moderni ransomware se transformirao u fleksibilan mehanizam iznudeDvostruka iznuda (šifriranje + krađa podataka) se ustalila, a mnoge su skupine prešle na trostruku iznudu, dodajući DDoS napade ili izravan pritisak na kupce i partnere.

Posljednjih godina također je došlo do porasta napadi bez enkripcijeU tim napadima, grupa zanemaruje sustave blokiranja i fokusira se isključivo na krađu osjetljivih informacija. Prikazivanjem malog uzorka ukradenih podataka žrtvi, žele pokazati da posjeduju ostatak i ubrzati plaćanje, smanjujući vrijeme koje provode na mreži i rizik od otkrivanja.

U tom kontekstu, odnos između napadača i žrtve postao je više "poslovan". Statičke poruke s timerom više nisu tako česte; sada je tipično imati... interaktivni komunikacijski kanali (razgovori na dark webu, šifrirane e-poruke) gdje se raspravlja o rokovima, popustima, testovima djelomične dešifriranja itd.

Grupe uzimaju u obzir ima li tvrtka dobre sigurnosne kopije, posluje li u reguliranom sektoru, podliježe li GDPR-u ili drugim propisima o zaštiti podataka te prilagođavaju prijetnje specifičnoj pravnoj i reputacijskoj izloženosti svake žrtveOva sofisticiranost znači da odgovor na incidente zahtijeva koordinirane odvjetnike, stručnjake za usklađenost, pregovarače i tehničke stručnjake.

Paralelno s tim, sama upotreba ransomwarea kao pokrića za isključivo destruktivne operacije — kao u slučaju NotPetye — dodaje dodatni sloj neizvjesnosti: nije uvijek jasno je li pravi cilj prikupljanje novca ili oštećenje infrastrukture, što komplicira donošenje odluka tijekom incidenta.

Umjetna inteligencija, IoT i neposredna budućnost ransomwarea

Posljednjih godina, utjecaj Umjetna inteligencija i jezični modeli u rukama napadačaNove skupine koristile su umjetnu inteligenciju za generiranje koda, poboljšanje phishinga s porukama koje se gotovo ne razlikuju od legitimnih ili automatizaciju dijela izviđanja prije napada.

Pomak prema manje tradicionalni vektoriOvi uređaji, poput IoT uređaja, IP kamera, povezanih uređaja i drugih sustava, često su loše zakrpani i nedostaju im robusna sigurnosna rješenja. Ova oprema može poslužiti i kao ulazne točke i kao poluga za iznudu (na primjer, prijetnjom objavljivanjem videozapisa ili podataka snimljenih tim uređajima).

Kratkoročno gledano, vjerojatno ćemo vidjeti platforme Ransomware-as-a-Service pokreće ga umjetna inteligencija sposobna automatizirati veći dio napadačkog lancaOd masovnog skeniranja ciljeva, iskorištavanja ranjivosti i lateralnog kretanja, do izrade prilagođenih poruka o otkupnini, pa čak i korištenja deepfakeova za vršenje pritiska na rukovoditelje.

Ova automatizacija mogla bi naglo povećati broj žrtava, posebno među pružateljima upravljanih usluga i složenim lancima opskrbe, gdje se jedan incident proširi na stotine ili tisuće kupaca. Jeftine operacije velikog obujma To će se kombinirati s visoko ciljanim napadima na "veliki plijen", čime će se kriminalni posao održati diverzificiranim.

S obzirom na ovaj scenarij, organizacije moraju ojačati ne samo svoje tradicionalne mjere (zakrpe, sigurnosne kopije, antivirus), već i napredne mogućnosti otkrivanja i reagiranjaAnaliza ponašanja, segmentacija mreže i specifične kontrole nad udaljenim pristupom i okruženjima u oblaku.

Od klasičnog antivirusa do dubinske obrane od ransomwarea

Tradicionalni antivirusni programi, temeljeni prvenstveno na potpisima, zaostaju u usporedbi s ransomware koji stalno mijenja svoj oblik i tehnikeDanas je bitno kombinirati nekoliko slojeva zaštite koji pokrivaju sve od krajnje točke do mreže i oblaka.

Dobra strategija uključuje integraciju moderna rješenja za sigurnost krajnjih točaka (EPP/EDR/XDR) S mogućnostima sprječavanja iskorištavanja, blokiranja sumnjivog ponašanja, izolacije procesa i automatiziranog odgovora, ovi alati omogućuju prekidanje lateralnog kretanja, zaustavljanje komunikacije s C&C poslužiteljima i suzbijanje prijetnje u ranim fazama.

Jednako je važno imati redovite, nepovezane i nepromjenjive sigurnosne kopijepohranjeni na sustavima koji nisu trajno dostupni iz korporativne mreže. U suprotnom, ransomware može šifrirati i sigurnosne kopije i ostaviti organizaciju bez plana B.

Mikrosegmentacija mreže, jačanje privilegiranog pristupa, robusna višefaktorska autentifikacija i stalna ažuriranja softvera značajno smanjuju površinu napada. To je dodatno poboljšano... kontinuirano osposobljavanje zaposlenika prepoznati phishing e-poruke, sumnjive poveznice i anomalno ponašanje.

Konačno, posjedovanje provjerenog plana za odgovor na incidente - uključujući jasne uloge, postupke izolacije, internu i eksternu komunikaciju, odnose s provedbom zakona i forenzičku analizu - i oslanjanje na otporni predložak za CISO-a To čini razliku između kontroliranog straha i produžene krize.

Nakon više od tri desetljeća evolucije, ransomware je od eksperimenta distribuiranog na disketama postao Visoko profesionalizirana globalna kriminalna industrija, podržana kriptovalutama, RaaS uslugama i umjetnom inteligencijomIako su se taktike, tehnike i ciljevi razvili - blokatori, enkripcija, dvostruka iznuda, prikriveni brisači i napadi bez enkripcije - suština ostaje ista: čista i jednostavna iznuda. Organizacije koje prihvate da je ransomware ovdje da ostane i ojačaju svoju sigurnosnu poziciju robusnim sigurnosnim kopijama, dubinskom obranom, vidljivošću mreže i kontinuiranom obukom imat će puno veće šanse prebroditi oluju od onih koje se i dalje oslanjaju isključivo na osnovna ili zastarjela rješenja.

Povezani članak:

Novi poslovni modeli kibernetičkog kriminala: ulaganja, pranje novca i rizici za tvrtke