VietNamNet introduceert een artikel van de heer Dao Trung Thanh, een cybersecurity-expert en adjunct-directeur van het Blockchain and AI Institute, om de cyberaanval bij VNDirect Securities Company en de gevaren van ransomware te begrijpen.
Ransomware, een type malware dat gegevens op het systeem van een slachtoffer versleutelt en losgeld eist om deze te ontsleutelen, is vandaag de dag een van de gevaarlijkste cyberbeveiligingsbedreigingen ter wereld geworden. Foto: zephyr_p/Fotolia

De VNDirect-zaak en wat maakt ransomware gevaarlijk?

Op 24 maart 2024 werd VNDirect Securities Company in Vietnam de nieuwste hotspot op de kaart van internationale ransomware-aanvallen. Deze aanval is geen op zichzelf staand geval.

Ransomware, een type schadelijke software dat is ontworpen om gegevens op het systeem van een slachtoffer te versleutelen en losgeld te eisen om deze te ontsleutelen, is een van de meest wijdverspreide en gevaarlijke cyberdreigingen ter wereld geworden. De toenemende afhankelijkheid van digitale gegevens en informatietechnologie in alle aspecten van het maatschappelijk leven maakt organisaties en individuen kwetsbaar voor deze aanvallen.

Het gevaar van ransomware schuilt niet alleen in de mogelijkheid om gegevens te versleutelen, maar ook in de manier waarop het zich verspreidt en losgeld eist, waardoor een financieel transactiekanaal ontstaat waarlangs hackers illegaal winst kunnen maken. De verfijning en onvoorspelbaarheid van ransomware-aanvallen maken ze tot een van de grootste uitdagingen voor cybersecurity vandaag de dag.

De VNDirect-aanval onderstreept hoe belangrijk het is om ransomware te begrijpen en te voorkomen. Alleen door te begrijpen hoe ransomware werkt en welke dreiging het vormt, kunnen we effectieve beschermingsmaatregelen treffen. Denk bijvoorbeeld aan het voorlichten van gebruikers, het toepassen van technische oplossingen en het ontwikkelen van een uitgebreide preventiestrategie om kritieke gegevens en informatiesystemen te beschermen.

Hoe ransomware werkt

Ransomware, een angstaanjagende dreiging in de wereld van cybersecurity, opereert op een geavanceerde en veelzijdige manier en heeft ernstige gevolgen voor slachtoffers. Om beter te begrijpen hoe ransomware werkt, moeten we elke stap van het aanvalsproces onderzoeken.

Infectie

De aanval begint wanneer ransomware een systeem infecteert. Er zijn verschillende veelvoorkomende manieren waarop ransomware het systeem van een slachtoffer kan binnendringen, waaronder:

Phishing-e-mails: nep-e-mails met schadelijke bijlagen of links naar websites die schadelijke code bevatten. Misbruik van beveiligingsproblemen: misbruik maken van kwetsbaarheden in niet-gepatchte software om automatisch ransomware te installeren zonder tussenkomst van de gebruiker. Malvertising: malware verspreiden via internetadvertenties. Downloads van schadelijke websites: gebruikers downloaden software of content van onbetrouwbare websites.

Encryptie

Eenmaal geïnfecteerd, begint ransomware met het versleutelen van gegevens op het systeem van het slachtoffer. Versleuteling is het proces waarbij gegevens worden omgezet naar een formaat dat niet kan worden gelezen zonder de decoderingssleutel. Ransomware gebruikt vaak sterke encryptie-algoritmen, waardoor versleutelde gegevens niet kunnen worden hersteld zonder de specifieke sleutel.

Losgeldeis

Nadat de gegevens zijn versleuteld, toont ransomware een bericht op het scherm van het slachtoffer waarin losgeld wordt gevraagd om de gegevens te ontsleutelen. Dit bericht bevat meestal instructies over hoe te betalen (meestal via Bitcoin of andere cryptovaluta om de identiteit van de crimineel te verbergen), evenals een deadline voor de betaling. Sommige ransomwareversies dreigen er ook mee de gegevens te verwijderen of te publiceren als het losgeld niet wordt betaald.

Transacties en decodering (of niet)

Het slachtoffer staat dan voor een moeilijke keuze: losgeld betalen en hopen dat hij zijn gegevens terugkrijgt, of weigeren en ze voor altijd kwijtraken. Betalen garandeert echter niet dat de gegevens worden ontsleuteld. Sterker nog, het kan de criminelen juist aanmoedigen om door te gaan met hun activiteiten.

De manier waarop ransomware te werk gaat, toont niet alleen technische verfijning, maar ook een trieste realiteit: de bereidheid om de goedgelovigheid en onwetendheid van gebruikers uit te buiten. Dit onderstreept het belang van het vergroten van het bewustzijn en de kennis over cyberbeveiliging, van het herkennen van phishingmails tot het up-to-date houden van beveiligingssoftware. Met een steeds evoluerende dreiging als ransomware zijn voorlichting en preventie belangrijker dan ooit.

Veelvoorkomende varianten van ransomware

In de steeds veranderende wereld van ransomware-bedreigingen vallen sommige varianten op door hun verfijning, verspreidingsvermogen en de ernstige impact die ze hebben op organisaties wereldwijd. Hier volgen beschrijvingen van zeven populaire varianten en hoe ze werken.

REvil (ook bekend als Sodinokibi)

Kenmerken: REvil is een variant van Ransomware-as-a-Service (RaaS), waarmee cybercriminelen het kunnen "huren" om hun eigen aanvallen uit te voeren. Dit vergroot de verspreidingsmogelijkheden van ransomware aanzienlijk en vergroot het aantal slachtoffers.

Verspreidingsmethoden: verspreiding via beveiligingslekken, phishing-e-mails en tools voor aanvallen op afstand. REvil gebruikt ook aanvalsmethoden om gegevens automatisch te versleutelen of te stelen.

Ryuk

Kenmerken: Ryuk richt zich voornamelijk op grote organisaties om zoveel mogelijk losgeld te ontvangen. Het kan zich aanpassen aan elke aanval, waardoor het moeilijk te detecteren en te verwijderen is.

Verspreidingsmethode: Ryuk verspreidt en versleutelt netwerkgegevens via phishing-e-mails en netwerken die geïnfecteerd zijn met andere malware, zoals Trickbot en Emotet.

Robinhood

Kenmerken: Robinhood staat bekend om zijn vermogen om overheidssystemen en grote organisaties aan te vallen. Hiervoor wordt gebruikgemaakt van een geavanceerde encryptiemethode om bestanden te vergrendelen en hoge losgeldbedragen te eisen.

Verspreidingsmethode: verspreiding via phishingcampagnes en het uitbuiten van beveiligingslekken in software.

DoppelPaymer

Kenmerken: DoppelPaymer is een op zichzelf staande ransomwarevariant die ernstige schade kan aanrichten door gegevens te versleutelen en te dreigen informatie vrij te geven als er geen losgeld wordt betaald.

Verspreidingsmethode: Verspreiding via tools voor aanvallen op afstand en phishing-e-mails, met name gericht op kwetsbaarheden in ongepatchte software.

SNAKE (ook bekend als EKANS)

Kenmerken: SNAKE is ontworpen om industriële besturingssystemen (ICS) aan te vallen. Het versleutelt niet alleen gegevens, maar kan ook industriële processen verstoren.

Voortplantingsmethode: via phishing- en exploitcampagnes, met de nadruk op het aanvallen van specifieke industriële systemen.

Phobos

Kenmerken: Phobos vertoont veel overeenkomsten met Dharma, een andere ransomwarevariant, en wordt vaak gebruikt om kleine bedrijven aan te vallen via RDP (Remote Desktop Protocol).

Propagatiemethode: voornamelijk via blootgestelde of kwetsbare RDP, waardoor aanvallers op afstand toegang kunnen krijgen tot ransomware en deze kunnen implementeren.

LockBit

LockBit is een andere populaire ransomwarevariant die werkt volgens het Ransomware-as-a-Service (RaaS)-model en bekend staat om zijn aanvallen op bedrijven en overheidsorganisaties. LockBit voert zijn aanvallen uit in drie hoofdfasen: het uitbuiten van kwetsbaarheden, het diep doordringen in het systeem en het implementeren van de encryptie-payload.

Fase 1 - Exploitatie: LockBit maakt misbruik van kwetsbaarheden in het netwerk met behulp van technieken als social engineering, bijvoorbeeld via phishing-e-mails of brute force-aanvallen op intranetservers en netwerksystemen.

Fase 2 - Infiltratie: Na infiltratie gebruikt LockBit een 'post-exploitatie'-tool om het toegangsniveau te verhogen en het systeem voor te bereiden op de encryptie-aanval.

Fase 3 - Implementatie: LockBit implementeert de versleutelde payload op elk toegankelijk apparaat in het netwerk. Alle systeembestanden worden versleuteld en er wordt een losgeldbrief achtergelaten.

LockBit maakt ook gebruik van een aantal gratis en open source tools in het inbraakproces, van netwerkscanners tot software voor extern beheer, om netwerkverkenning, toegang op afstand, diefstal van inloggegevens en data-exfiltratie uit te voeren. In sommige gevallen dreigt LockBit zelfs de persoonlijke gegevens van het slachtoffer vrij te geven als er niet aan de losgeldeis wordt voldaan.

Met zijn complexiteit en brede verspreiding vormt LockBit een van de grootste bedreigingen in de moderne ransomwarewereld. Organisaties moeten een uitgebreide reeks beveiligingsmaatregelen nemen om zich te beschermen tegen deze ransomware en varianten ervan.

Dao Trung Thanh

Les 2: Van de VNDirect-aanval naar een anti-ransomwarestrategie