Ομοιόμορφα πρότυπα συμπεριφοράς μεταξύ ομάδων ransomware μπορούν να βοηθήσουν τις ομάδες ασφάλειας να κατανοήσουν και να προετοιμαστούν για επιθέσεις με μεγαλύτερη αποτελεσματικότητα.
Οι αναλυτές κυβερνοασφάλειας συνήθως αναλύουν τις επιθέσεις με ransomware απομονωμένα, εξετάζοντας τις τακτικές, τεχνικές και διαδικασίες (TTPs) που είναι μοναδικές για κάθε περιστατικό. Ωστόσο, νέες έρευνες της Sophos αποδεικνύουν γιατί είναι κρίσιμο για τους defenders να ρίξουν μια ματιά πέρα από την επιφάνεια, καθώς οι επιθέσεις που εκτελούνται από διάφορες ομάδες hacking συχνά εμφανίζουν ενδιαφέρουσες ομοιότητες.
Οι αποκαλούμενες ομάδες ransomware προσφέρουν εισαγωγή σε γενικευμένα μοτίβα και κοινά χαρακτηριστικά μεταξύ των επιθέσεων, τα οποία μπορούν να χρησιμοποιηθούν για μια καλύτερη προετοιμασία και προστασία από εκμεταλλεύσεις ransomware στο μέλλον, σύμφωνα με έρευνες.
Η έρευνα με τίτλο “Clustering Attacker Behavior Reveals Hidden Patterns” εξετάζει πρότυπα κατά τη διάρκεια τριών μηνών, από Ιανουάριο έως Μάρτιο 2023. Η ομάδα Sophos X-Ops διερεύνησε τέσσερις διακριτές επιθέσεις με ransomware που αφορούν το Hive, δύο περιστατικά που συνδέονται με το Royal, και μία που αποδίδεται στον Black Basta.
Η ομάδα Royal ransomware, γνωστή για την ιδιαίτερη επιφύλαξη της και την αποφυγή δημόσιας πρόσκλησης για συνεργάτες σε υπόγεια φόρουμ, αποκάλυψε έναν εκπληκτικό βαθμό συνοχής με άλλες παραλλαγές ransomware, σύμφωνα με τους ερευνητές. Τα ευρήματα υποδηλώνουν ότι όλες οι τρεις ομάδες, Hive, Royal και Black Basta, είτε συνεργάζονται με τους ίδιους συνεργάτες είτε μοιράζονται συγκεκριμένες τεχνικές γνώσεις σχετικά με τις λειτουργίες τους. Η Sophos χαρακτήρισε αυτές τις συντονισμένες προσπάθειες ως “συσσωρευμένη απειλή δραστηριότητας”, μια έννοια που προσφέρει στις ομάδες ασφαλείας ενδυνάμωση για τη δημιουργία στρατηγικών ανίχνευσης και απόκρισης.
Ανακαλύπτοντας το κοινό thread στο ransomware
Πώς μπορούν οι ομάδες ασφαλείας να συλλέξουν αυτού του είδους τις πληροφορίες για απειλές για την εσωτερική τους στρατηγική αμυντικής κατά των ransomware; Για την αναγνώριση και κατανόηση αυτών των ομάδων απειλών ransomware, οι ερευνητές της Sophos προτείνουν στις ομάδες να χρησιμοποιήσουν τα εξής βήματα με βάση τα δεδομένα για την ανίχνευση μοτίβων:
- Συγκέντρωση δεδομένων: Συγκεντρώστε και αναλύστε δεδομένα ευφυΐας απειλών, συμπεριλαμβανομένων δεικτών συμβιβασμού (IoC), υπογραφών κακόβουλου λογισμικού, φορέων επίθεσης και προτύπων συμπεριφοράς.
- Αναγνώριση προτύπων: Χρησιμοποιήστε προηγμένες αναλύσεις και machine learning για να αποκαλύψετε μοτίβα επαναλαμβανόμενων TTP, όπως μεθόδους initial access, τεχνικές πλευρικής κίνησης και στρατηγικές διήθησης δεδομένων.
- Απόδοση και ομαδοποίηση: Σύνδεση επιθέσεων ransomware που παρουσιάζουν κοινά χαρακτηριστικά. Αυτό μπορεί να περιλαμβάνει τη συσχέτιση επιθέσεων με συγκεκριμένες ομάδες hacking ή τον εντοπισμό κοινής υποδομής, εργαλείων ή παραλλαγών κακόβουλου λογισμικού.
- Χρονική ανάλυση: Εξετάστε το χρονοδιάγραμμα των επιθέσεων ransomware για να διακρίνετε μοτίβα στην εκτέλεσή τους. Αυτό θα μπορούσε να αποκαλύψει συντονισμένες εκστρατείες ή εποχιακές διακυμάνσεις στη δραστηριότητα επίθεσης.
Χρησιμοποιώντας τις λεπτομέρειες για άμυνα
Η κατανόηση των ομάδων hacking μπορεί να αναδιαμορφώσει τον τρόπο που οι οργανισμοί και οι επαγγελματίες ασφάλειας προσεγγίζουν την αμυντική στάση έναντι των επιθέσεων ransomware. Εξοπλισμένοι με μια πιο βαθιά κατανόηση των κοινών στοιχείων που συνδέουν τις επιθέσεις ransomware εντός ομάδων, οι ειδικοί ασφαλείας μπορούν να διαμορφώσουν πιο προληπτικές στρατηγικές για να προετοιμαστούν για το ενδεχόμενο ransomware. Η κατανόηση υψηλά ειδικών συμπεριφορών επιτιθέμενων μπορεί να βοηθήσει στην ταχεία ανταπόκριση από τις ομάδες ανίχνευσης και απόκρισης (MDR) όταν αντιμετωπίζουν μια επίθεση και μπορεί επίσης να βοηθήσει τους παρόχους ασφάλειας να προστατεύουν καλύτερα τους πελάτες τους.
Με την ανάπτυξη μηχανισμών άμυνας που βασίζονται σε συμπεριφορικά μοτίβα, η ταυτότητα του επιτιθέμενου γίνεται ασήμαντη – είτε πρόκειται για την Royal, την Black Basta ή οποιονδήποτε άλλη ομάδα hacking. Αυτό που έχει πραγματική σημασία είναι ότι οι δυνητικοί θύματα διαθέτουν τα απαραίτητα μέτρα ασφαλείας για να αποτρέψουν μελλοντικές επιθέσεις που εμφανίζουν αυτά τα κοινά χαρακτηριστικά. Διαβάστε περισσότερα για την έρευνα και τα ευρήματα στο άρθρο “Clustering Attacker Behavior Reveals Hidden Patterns” από την Sophos.
Πηγή πληροφοριών: csoonline.com
