Wprowadzenie do problemu / definicja
Granica między klasycznym ransomware a operacjami cyberszpiegowskimi coraz częściej się zaciera. W analizowanym przypadku badacze wskazują, że atak pozorowany na kampanię wymuszającą okup mógł w rzeczywistości służyć jako przykrywka dla kradzieży danych, własności intelektualnej i długotrwałej infiltracji środowiska ofiary.
Takie podejście jest szczególnie niebezpieczne, ponieważ organizacja koncentruje się na skutkach szyfrowania systemów, podczas gdy najważniejsza faza incydentu — rozpoznanie, eskalacja uprawnień i eksfiltracja danych — mogła zakończyć się znacznie wcześniej.
W skrócie
Według analityków obserwowana aktywność jest powiązana z chińskojęzycznym aktorem APT określanym jako Bronze Starlight, łączonym także z szerszymi chińskimi klastrami operacyjnymi. Kampania miała być wymierzona głównie w organizacje komercyjne, a użycie ransomware pełniło funkcję maskującą i utrudniającą prawidłową atrybucję incydentu.
- ransomware mogło być uruchamiane dopiero po zakończeniu kradzieży danych,
- celem były informacje o wysokiej wartości, w tym własność intelektualna,
- atak wykazywał cechy typowe dla operacji sponsorowanych przez państwo,
- incydent mógł zostać celowo upozorowany na motywowany finansowo.
Kontekst / historia
Przez lata grupy APT były kojarzone przede wszystkim z cyberszpiegostwem, utrzymywaniem długiego dostępu do sieci i pozyskiwaniem strategicznych informacji. Z kolei operatorzy ransomware działali zwykle z myślą o szybkim zysku finansowym. Obecnie ten podział staje się coraz mniej wyraźny.
W kampaniach przypisywanych chińskim grupom zagrożeń badacze od dawna obserwują zainteresowanie sektorami o dużej wartości strategicznej: przemysłem, technologią, administracją, obronnością i badaniami. W takim modelu szyfrowanie systemów może być jedynie finałem operacji, który odwraca uwagę od wcześniejszej aktywności napastników i komplikuje proces reagowania.
Dla ofiary oznacza to ryzyko błędnej klasyfikacji incydentu. Zamiast potraktować zdarzenie jako naruszenie poufności i pełnoskalową kompromitację, organizacja może uznać je wyłącznie za problem dostępności systemów i presji związanej z okupem.
Analiza techniczna
Tego typu kampanie najczęściej mają charakter wieloetapowy. Dostęp początkowy może zostać uzyskany przez wykorzystanie znanych podatności w urządzeniach brzegowych, systemach zdalnego dostępu, VPN-ach lub innych usługach wystawionych do internetu. Po wejściu do środowiska atakujący przechodzą do rekonesansu i identyfikacji najcenniejszych zasobów.
W kolejnej fazie operatorzy mapują infrastrukturę wewnętrzną, poszukują kontrolerów domeny, serwerów plików, repozytoriów kodu, systemów pocztowych oraz zasobów zawierających dokumentację techniczną. Równolegle mogą pozyskiwać poświadczenia uprzywilejowane, budować trwałość dostępu i przygotowywać ścieżki ruchu lateralnego.
Kluczową cechą takich operacji jest rozdzielenie etapu szpiegowskiego od etapu destrukcyjnego. Eksfiltracja danych może odbywać się długo przed aktywacją ransomware. Sam komponent szyfrujący pełni wtedy kilka funkcji operacyjnych:
- zakłóca pracę organizacji i podnosi presję operacyjną,
- utrudnia analizę śledczą i rekonstrukcję pełnego przebiegu ataku,
- tworzy fałszywy obraz motywacji czysto finansowej,
- przykrywa ślady wcześniejszej infiltracji i kradzieży danych.
Z perspektywy detekcji szczególne znaczenie mają sygnały poprzedzające szyfrowanie. Należą do nich nietypowe użycie narzędzi administracyjnych, zdalne wykonywanie poleceń, aktywność wobec kopii zapasowych, próby wyłączania zabezpieczeń, masowe archiwizowanie plików oraz transfer dużych wolumenów danych poza standardowymi kanałami biznesowymi.
Atrybucja do aktora APT zwykle opiera się nie na pojedynczym wskaźniku, lecz na zestawie przesłanek: podobieństwie TTP, korelacjach czasowych, infrastrukturze C2, doborze celów i nakładaniu się narzędzi z wcześniejszymi kampaniami. W tym przypadku zebrane elementy miały bardziej odpowiadać modelowi działań chińskiej grupy cyberszpiegowskiej niż klasycznemu operatorowi ransomware.
Konsekwencje / ryzyko
Największym zagrożeniem w takich incydentach nie jest samo zaszyfrowanie systemów. O wiele poważniejsze skutki może przynieść wcześniejsza utrata poufnych danych, dokumentacji badawczo-rozwojowej, planów strategicznych, informacji handlowych oraz danych partnerów biznesowych.
Dla przedsiębiorstw technologicznych, przemysłowych, obronnych i badawczych utrata własności intelektualnej może oznaczać wieloletnie osłabienie przewagi konkurencyjnej. Dodatkowo błędne uznanie incydentu za wyłącznie finansowy może spowodować, że organizacja nie przeprowadzi pełnego dochodzenia w zakresie naruszenia poufności.
- fałszywe poczucie zakończenia incydentu po odtworzeniu systemów,
- pozostawienie aktywnych mechanizmów persistence,
- niewykryte konta uprzywilejowane utworzone przez napastników,
- ryzyko ponownej kompromitacji przez te same ścieżki dostępu.
Rekomendacje
Organizacje powinny zakładać, że każdy incydent ransomware może być częścią szerszej operacji obejmującej również eksfiltrację danych i działania wywiadowcze. Reakcja nie może ograniczać się do odtworzenia systemów lub analizy samego malware szyfrującego.
W praktyce warto wdrożyć następujące działania obronne:
- priorytetowe łatanie systemów brzegowych, VPN, firewalli i appliance’ów bezpieczeństwa,
- wymuszenie MFA dla dostępu zdalnego i kont uprzywilejowanych,
- segmentację sieci i ograniczenie komunikacji administracyjnej między strefami,
- centralne monitorowanie logów z EDR, SIEM i urządzeń sieciowych,
- detekcję eksfiltracji danych oraz anomalii w ruchu wychodzącym,
- regularny przegląd kont uprzywilejowanych i relacji zaufania,
- ochronę repozytoriów kodu, systemów dokumentacji i zasobów R&D,
- testowanie scenariuszy reagowania uwzględniających jednoczesny wyciek danych i szyfrowanie,
- utrzymywanie odseparowanych kopii zapasowych oraz regularne testy odtwarzania.
Z perspektywy zespołów SOC kluczowa jest korelacja pozornie odrębnych zdarzeń. Nietypowe archiwizowanie plików, aktywność poza standardowymi godzinami pracy, użycie narzędzi do zdalnego zarządzania oraz wyłączanie mechanizmów ochronnych mogą wskazywać na wcześniejszy etap operacji szpiegowskiej.
Podsumowanie
Przypadek ataku podszywającego się pod ransomware pokazuje, że współczesne kampanie zagrożeń stają się coraz bardziej hybrydowe. Widoczne skutki w postaci szyfrowania systemów mogą być jedynie końcowym etapem dużo szerszej operacji, której rzeczywistym celem była kradzież danych i długotrwała infiltracja organizacji.
Dla obrońców oznacza to konieczność zmiany perspektywy. Incydent ransomware nie zawsze jest wyłącznie incydentem ransomware — w wielu przypadkach należy analizować go jak pełnoskalową operację cyberszpiegowską z komponentem maskującym.
Źródła
- https://www.infosecurity-magazine.com/news/china-hackers-ta416-europe/
- https://research.checkpoint.com/wp-content/uploads/2022/06/Threat_Intelligence_News_2022-06-27.pdf
- https://thehackernews.com/2022/02/researchers-link-shadowpad-malware.html
- https://therecord.media/sprawling-cyber-espionage-campaign-linked-to-chinese-military-unit?web_view=true
- https://research.checkpoint.com/2021/the-story-of-jian/