Το Medusa Ransomware Group δέχτηκε εισβολή από ερευνητές ασφαλείας, η οποία οφειλόταν κυρίως στη χρήση του Rclone, ενός ευρέως χρησιμοποιούμενου εργαλείου για την εξαγωγή και αποθήκευση κλεμμένων δεδομένων, στην υπηρεσία Cloud Storage της.
Δείτε επίσης: Android: Νέες επιθέσεις του Medusa banking trojan
Το βασικό ζήτημα προέκυψε από ένα εσφαλμένο αρχείο διαμόρφωσης Rclone, το οποίο περιείχε διακριτικά πρόσβασης και άλλα διαπιστευτήρια, επιτρέποντας ακούσια μη εξουσιοδοτημένη πρόσβαση στο Cloud Storage της ομάδας.
Οι ερευνητές ασφαλείας, εκμεταλλεύτηκαν αυτήν την παράβλεψη για να διεισδύσουν στο Cloud Storage της ομάδας Medusa ransomware, αποκτώντας πρόσβαση σε έναν θησαυρό από κλεμμένα δεδομένα.
Κατά την πρόσβαση στον χώρο αποθήκευσης cloud, οι ερευνητές διαπίστωσαν ότι η ομάδα Medusa είχε αποθηκεύσει διάφορα αρχεία από τα θύματά της, συμπεριλαμβανομένων ευαίσθητων δεδομένων. Οι ίδιοι κατάφεραν όχι μόνο να ανακτήσουν αλλά και να διαγράψουν κρίσιμα αρχεία, μετριάζοντας πιθανή βλάβη για τα θύματα.
Το αρχείο διαμόρφωσης του Rclone (conf.txt) στο C:\Windows\AppCompat\ έδειξε ότι ο εισβολέας χρησιμοποίησε την υπηρεσία put.io για την εξαγωγή δεδομένων, υποδεικνύοντας ότι χρησιμοποίησε έναν προρυθμισμένο λογαριασμό αποθήκευσης στο cloud για κλοπή δεδομένων, γεγονός που υπογραμμίζει τη σημασία της ασφάλειας των διαπιστευτηρίων αποθήκευσης cloud και της παρακολούθησης για μη εξουσιοδοτημένη πρόσβαση.
Η αποκάλυψη αυτών των σφαλμάτων υπογραμμίζει τη σημασία της ασφαλούς διαμόρφωσης και της προσεκτικής παρακολούθησης των εργαλείων και των υπηρεσιών που χρησιμοποιούν οι επιχειρήσεις στον κυβερνοχώρο.
Δείτε ακόμα: Η ομάδα ransomware Medusa χτυπά το Victoria Racing Club
Η διείσδυση στο Cloud Storage της ομάδας ransomware Medusa, παρείχε επίσης πολύτιμες πληροφορίες σχετικά με τις λειτουργίες, τις μεθόδους και τους στόχους της ομάδας, κάτι που έχει ευρύτερες συνέπειες για την ασφάλεια στον κυβερνοχώρο, ιδίως όσον αφορά τη σημασία των ασφαλών πρακτικών αποθήκευσης στο cloud και τους κινδύνους από την παραμονή ευαίσθητων πληροφοριών σε εύκολα προσβάσιμες τοποθεσίες.
Για να αποφευχθεί η εκμετάλλευση παρόμοιων αποτυχιών του OPSEC στο μέλλον, ο κανόνας Sigma επιχειρεί να βελτιώσει τις δυνατότητες εντοπισμού και απόκρισης των ομάδων κυβερνοασφάλειας.
Η αποτυχία του OPSEC του Medusa Ransomware Group τονίζει πόσο σημαντικό είναι να υπάρχουν ισχυρές διαδικασίες ασφαλείας, ιδιαίτερα κατά τη διαχείριση κλεμμένων δεδομένων και τη χρήση υπηρεσιών cloud.
Το Dark Atlas Squad εκμεταλλεύτηκε μια εσφαλμένη διαμόρφωση ασφαλείας (αδυναμία OPSEC) στην επίθεση εναντίον του Medusa Ransomware Group, επιτρέποντάς τους να διεισδύσουν στο Cloud Storage για περιορισμένο χρονικό διάστημα και να εξετάσουν τα δεδομένα που είχε κλέψει από τα θύματά της.
Η έρευνα αποκάλυψε ότι η ομάδα Medusa χρησιμοποίησε το Rclone, ένα δημοφιλές εργαλείο εξαγωγής δεδομένων που χρησιμοποιείται συνήθως από ομάδες ransomware, για να κλέψει δεδομένα από παραβιασμένα συστήματα.
Δείτε επίσης: Εταιρεία στη Φλόριντα χτυπήθηκε από επίθεση Medusa ransomware
☁️ Κρατήστε ασφαλή αντίγραφα με Proton Drive
Κρυπτογραφημένος cloud αποθηκευτικός χώρος από την Proton — προστατέψτε τα αρχεία σας από ransomware, βλάβες και απώλεια δεδομένων, με end-to-end κρυπτογράφηση.
- ✔ End-to-end κρυπτογραφημένα αρχεία & αντίγραφα
- ✔ Ιστορικό εκδόσεων — ανάκτηση αρχείων μετά από ransomware
- ✔ Δωρεάν χώρος — συγχρονισμός σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Οι επιθέσεις ransomware αποτελούν μία από τις μεγαλύτερες απειλές στον τομέα της κυβερνοασφάλειας. Σε αυτές τις επιθέσεις, οι κακόβουλοι χρήστες, όπως η ομάδα Medusa ransomware, κρυπτογραφούν τα δεδομένα μιας συσκευής ή ενός δικτύου, ζητώντας λύτρα για την αποκατάσταση της πρόσβασης. Οι επιθέσεις αυτές μπορούν να προκαλέσουν σοβαρές ζημιές σε επιχειρήσεις και οργανισμούς, αναγκάζοντάς τους να επενδύσουν σε μέτρα ασφάλειας και αποκατάστασης. Είναι κρίσιμο να εφαρμόζονται πρακτικές ασφαλείας όπως τακτικά backups και εκπαίδευση των χρηστών για την αναγνώριση ύποπτης δραστηριότητας, προκειμένου να μειωθεί ο κίνδυνος τέτοιων επιθέσεων.
Πηγή: cybersecuritynews
