Рекорден брой жертви в рансъмуер сайтовете

По-рано тази седмица Sony потвърдиха новината, че са станали жертва на хакерска атака. А самата новина дойде след като известна рансъмуер група публикува на сайта си в даркуеб информация за това. Тактиката „посочи и засрами“ (name and shame), при която киберпрестъпници, най-вече разпространяващи рансъмуер, беше популяризирана преди няколко години. Тя се изразява в това, че след като осъществят пробив в мрежата на някоя компания, въпросните киберпрестъпници крадат информация и публикуват част от нея на специален сайт в Tor пространството. Това действие има за цел да докаже успеха им и принуди жертвата да плати откуп, за да не стане публично достояние откраднатата от тях информация. Жертвата има избор – да плати и данни за пробива да не бъдат публикувани или откраднатата информация да бъде изложена на показ и евентуално продадена. В случая на Sony, изглежда те са избрали второто. Случаят с японската компания не е изолиран и нещо повече. Според доклад на Secureworks, имената на компаниите, появяващи се на този тип сайтове се увеличава.

Компанията пише, че в последните четири месеца – в периода март-юни 2023, броят на имената, които се публикуват на тези сайтове е достигнал безпрецедентни нива. Към настоящия момент, 2023 се очертава да е рекордна за появата на имената на жертви на своеобразните „стени на срама“. От Secureworks допълват, че очакват в края на лятото броя на посочените тук компании да превиши 10 000 – докладът разглежда периода юли 2022 – юни 2023, като Secureworks не са потвърдили преминаването на тази граница все още, цитират изследването Infosecurity-Magazine. В него се посочват големите играчи на Name and Shame сцената, а също така основните вектори за атака, използвани от хакерските групи в тези случаи, както и основните начини, по които компаниите могат да си помогнат, за да не видят имената си по този род сайтове.

GOLD MYSTIC е името на киберпрестъпната групировка, което Secureworks дават на разпространяващите LockBit. Водещи в своеобразната класация, групата е публикувала близо три пъти повече имена на компании на сайта си от втората хакерска група тук – GOLD BLAZER (BlackCat). Споменава се името и на GOLD TAHOE – групата зад Clop. Те са отговорни за атаката към Sony и нашумяха в последните месеци с атаките си към вече покритата уязвимост в софтуера за управление на трансфери MOVEit Transfer. Макар и да не се посочва точния брой на жертвите на първите три групи, Secureworks споменава броя на жертвите на една от малките групи – 8BASE, които само през юни са качили на сайта си данните и имената на 40 компании. И изглежда, че тактиката „посочи и засрами“ работи понеже броя на този тип киберпрестъпни групи се увеличава.

По отношение на векторите на атака, преобладаващи тук са сканирането на софтуерната среда и експлоатиране на слабости в нея (32%), следвани от неразрешен вход в мрежата чрез откраднати данни за вписване. Третият начин за атака е чрез доставянето на зловреден код с фишинг имейли (14%). Какво препоръчват на компаниите от Secureworks в опит да се предпазят от такива атаки:

• Навременно и системно актуализиране на софтуера. Освен, че администриращите IT ресурсите в дадена организация е нужно да поддържат редовно системите обновени, то е нужно и да следят актуалното състояние на сцената на заплахите и приоритизират обновяването на по-често атакувани програми. Пример за това са продължаващите атаки към вече запушената уязвимост в MOVEit Transfer.
• Мултифакторно удостоверяване. Независимо от това, че често големите киберпрестъпни групи да намират начини да преодоляват 2FA защитите, то двойната защита при достъп си остава надежден щит срещу много от хакерските атаки.
• Проследяване и мониторинг. Администриращите фирмените мрежови масиви трябва да осъществяват постоянен мониторинг на случващото се в мрежите им, да следят за трансфер на големи обмени от данни и подозрителна активност. Освен това, не е лоша идея да се наеме компания, която да следи случващото се в киберпрестъпните пространства, където първо излиза информация за осъществен пробив.

Пълният доклад на Secureworks може да намерите тук (pdf).