Ransomware como um serviço: O novo rosto do cibercrime industrializado

O modelo de ransomware como serviço facilitou uma refinação e uma industrialização rápidas daquilo que criminosos menos capazes podem realizar. No passado, estes criminosos menos sofisticados podem ter utilizado malware de bens que criaram ou compraram para realizar ataques de âmbito limitado, mas agora podem obter tudo o que precisam, desde acesso a redes a payloads de ransomware, com os seus operadores de RaaS (por um preço, claro). Muitos programas de RaaS incorporam adicionalmente um conjunto de ofertas de suporte a extorsão, incluindo alojamento do site de divulgação de dados roubados e integração nas notas de resgate, bem como negociação de desencriptação, pressão para pagamento e serviços de transações de criptomoedas.

Isto significa que o impacto de um ataque de ransomware e extorsão com êxito é o mesmo independentemente das competências do atacante.

Um dos serviços que os operadores de RaaS fornecem valor aos seus afiliados é oferecer acesso a redes comprometidas. Os mediadores de acesso analisam a Internet para encontrar sistemas vulneráveis, que depois comprometem e reservam para lucro posterior.

Para terem êxito, os atacantes precisam de credenciais. Credenciais comprometidas são tão importantes para estes ataques que, quando os cibercriminosos vendem acesso a redes, em muitas instâncias, o preço inclui uma conta de administrador garantida.

O que os criminosos fazem com o seu acesso após ter sido concretizado pode variar muito, dependendo dos grupos e das suas cargas de trabalho ou motivações. O tempo entre o acesso inicial e uma implementação com mãos no teclado pode então variar entre minutos e dias ou mais, mas quando as circunstâncias o permitem, os danos podem ser causados numa velocidade arrasadora. De facto, já foi observado um tempo entre o acesso inicial e o resgate completo (incluindo a entrega de um mediador de acesso a um afiliado de RaaS) de menos de uma hora.

Após os atacantes obterem acesso a uma rede, têm reticências para sair, mesmo após receberem a sua recompensa. De facto, pagar a recompensa pode não reduzir o risco para uma rede afetada e, potencialmente, só serve para financiar os cibercriminosos, que continuarão a tentar monetizar ataques com malware ou payloads de ransomware diferentes até serem expulsos.

A entrega que acontece entre diferentes atacantes à medida que transações na economia cibercriminosa ocorrem significa que vários grupos de atividades podem persistir num ambiente a utilizar vários métodos diferentes das ferramentas utilizadas num ataque de ransomware. Por exemplo, o acesso inicial obtido por um trojan bancário leva a uma implementação do Cobalt Strike, mas o afiliado de RaaS que comprou o acesso pode optar por utilizar uma ferramenta de acesso remoto como o TeamViewer para realizar a sua campanha.

Utilizar ferramentas e definições legítimas para persistir em vez de implantes de malware como o Cobalt Strike é uma técnica popular entre atacantes de ransomware para evitar deteção e permanecer residentes numa rede durante mais tempo.

Outra técnica popular de atacantes é criar novas contas de utilizador de backdoor, locais ou no Active Directory, que podem depois ser adicionadas a ferramentas de acesso remoto, como uma rede privada virtual (VPN) ou um Ambiente de Trabalho Remoto. Os atacantes de ransomware também foram observados a editar as definições em sistemas para ativar o Ambiente de Trabalho Remoto, reduzir a segurança dos protocolos e adicionar novos utilizadores ao Grupo de utilizadores do Ambiente de Trabalho Remoto.

Uma das características do RaaS que torna a ameaça tão preocupante é como conta com atacantes humanos que podem tomar decisões informadas e deliberadas e variam os padrões de ataque com base no que encontram nas redes que infiltram, garantindo que cumprem os seus objetivos.

A Microsoft inventou o termo ransomware operado por humanos para definir esta categoria de ataques como uma cadeia de atividades que culmina num payload de ransomware, não como um conjunto de payloads de malware que têm de ser bloqueados.

Embora a maioria das campanhas de acesso inicial contem com reconhecimento automatizado, assim que o ataque passa para a fase de mãos no teclado, os atacantes utilizam os seus conhecimentos e competências para tentar derrotar os produtos de segurança no ambiente.

Os atacantes de ransomware são motivados por lucros fáceis, logo, aumentar os seus custos através do reforço da segurança é essencial para afetar a economia cibercriminosa. Esta tomada de decisões humana significa que, mesmo que os produtos de segurança detetem fases de ataque específicas, os atacantes em si não são completamente expulsos e tentam continuar se não forem bloqueados por um controlo de segurança. Em muitas instâncias, se uma ferramenta ou um payload for detetado e bloqueado por um produto antivírus, os atacantes simplesmente pegam numa ferramenta diferente ou modificam o seu payload.

Os atacantes também têm consciência dos tempos de resposta dos centros de operações de segurança (SOC) e das capacidades e limitações das ferramentas de deteção. Quando o ataque chega à fase de eliminar cópias de segurança ou cópias shadow, estaria a minutos da implementação de ransomware. O adversário provavelmente já teria realizado ações prejudiciais, como transferência de dados não autorizada. Estes conhecimentos são cruciais para os SOC que respondem a ransomware: investigar deteções como o Cobalt Strike antes da fase de implementação de ransomware e realizar ações de remediação e procedimentos de resposta a incidentes (IR) rápidos são críticos para conter um adversário humano.