VietNamNet presenterer en artikkel av Dao Trung Thanh, en cybersikkerhetsekspert og nestleder ved Blockchain and AI Institute, for å forstå cyberangrepet på VNDirect Securities Company og farene ved ransomware.
Løsepengevirus, en type skadelig programvare som krypterer data på et offers system og krever løsepenger for å dekryptere dataene, har blitt en av de farligste truslene mot nettsikkerhet i verden i dag. Foto: zephyr_p/Fotolia

VNDirect-saken og hva som gjør løsepengevirus farlig?

Den 24. mars 2024 ble VNDirect Securities Company i Vietnam det siste hotspotet på kartet for internasjonale ransomware-angrep. Dette angrepet er ikke et isolert tilfelle.

Løsepengevirus, en type skadelig programvare som er utviklet for å kryptere data på et offers system og kreve løsepenger for å dekryptere dataene, har blitt en av de mest utbredte og farlige cybersikkerhetstruslene i verden i dag. Den økende avhengigheten av digitale data og informasjonsteknologi på alle områder av samfunnslivet gjør organisasjoner og enkeltpersoner sårbare for disse angrepene.

Faren ved ransomware ligger ikke bare i dens evne til å kryptere data, men også i måten den sprer seg og krever løsepenger, noe som skaper en finansiell transaksjonskanal som hackere kan tjene ulovlig penger gjennom. Ransomware-angrepenes sofistikasjon og uforutsigbarhet gjør dem til en av de største utfordringene cybersikkerhet står overfor i dag.

VNDirect-angrepet er en sterk påminnelse om viktigheten av å forstå og forhindre ransomware. Bare ved å forstå hvordan ransomware fungerer og trusselen det utgjør, kan vi iverksette effektive beskyttelsestiltak, fra å lære opp brukere og anvende tekniske løsninger til å bygge en omfattende forebyggingsstrategi for å beskytte kritiske data og informasjonssystemer.

Hvordan løsepengevirus fungerer

Løsepengevirus, en skremmende trussel i cybersikkerhetens verden, opererer på en sofistikert og mangesidig måte, og forårsaker alvorlige konsekvenser for ofrene. For å bedre forstå hvordan løsepengevirus fungerer, må vi dykke ned i hvert trinn i angrepsprosessen.

Infeksjon

Angrepet starter når ransomware infiserer et system. Det finnes flere vanlige måter ransomware kan komme seg inn i et offers system på, inkludert:

Phishing-e-poster: Falske e-poster med ondsinnede vedlegg eller lenker til nettsteder som inneholder skadelig kode; Utnytte sikkerhetssårbarheter: Utnytte sårbarheter i uoppdatert programvare for å automatisk installere ransomware uten brukermedvirkning; Skadelig reklame: Bruke internettannonser til å distribuere skadelig programvare; Nedlastinger fra ondsinnede nettsteder: Brukere laster ned programvare eller innhold fra upålitelige nettsteder.

Kryptering

Når ransomware er infisert, starter det prosessen med å kryptere data på offerets system. Kryptering er prosessen med å konvertere data til et format som ikke kan leses uten dekrypteringsnøkkelen. Ransomware bruker ofte sterke krypteringsalgoritmer, som sikrer at krypterte data ikke kan gjenopprettes uten den spesifikke nøkkelen.

Krav om løsepenger

Etter at dataene er kryptert, viser ransomware en melding på offerets skjerm som krever løsepenger for å dekryptere dataene. Denne meldingen inneholder vanligvis instruksjoner om hvordan man betaler (vanligvis via Bitcoin eller andre kryptovalutaer for å skjule den kriminelles identitet), samt en betalingsfrist. Noen versjoner av ransomware truer også med å slette dataene eller publisere dem hvis løsepengene ikke betales.

Transaksjoner og dekryptering (eller ikke)

Offeret står da overfor en vanskelig avgjørelse: å betale løsepengene og håpe å få dataene sine tilbake, eller å nekte og miste dem for alltid. Å betale garanterer imidlertid ikke at dataene blir dekryptert. Faktisk kan det oppmuntre kriminelle til å fortsette sine handlinger.

Måten ransomware opererer på demonstrerer ikke bare teknisk raffinement, men også en trist realitet: viljen til å utnytte brukernes godtroenhet og uvitenhet. Dette understreker viktigheten av å øke bevisstheten og kunnskapen om cybersikkerhet, fra å gjenkjenne phishing-e-poster til å opprettholde oppdatert sikkerhetsprogramvare. Med en stadig utviklende trussel som ransomware er utdanning og forebygging viktigere enn noensinne.

Vanlige varianter av løsepengevirus

I den stadig utviklende verdenen av ransomware-trusler, skiller noen varianter seg ut på grunn av sin sofistikasjon, spredningsevne og den alvorlige innvirkningen de har på organisasjoner over hele verden. Her er beskrivelser av syv populære varianter og hvordan de fungerer.

REvil (også kjent som Sodinokibi)

Funksjoner: REvil er en variant av Ransomware-as-a-Service (RaaS), som lar nettkriminelle «leie» den for å utføre sine egne angrep. Dette øker ransomwares evne til å spre seg og antallet ofre betydelig.

Spredningsmetoder: Distribusjon via sikkerhetssårbarheter, phishing-e-poster og verktøy for eksterne angrep. REvil bruker også angrepsmetoder for å automatisk kryptere eller stjele data.

Ryuk

Funksjoner: Ryuk retter seg primært mot store organisasjoner for å maksimere løsepengeutbetalinger. Den har muligheten til å tilpasse seg for hvert angrep, noe som gjør den vanskelig å oppdage og fjerne.

Spredningsmetode: Gjennom phishing-e-poster og nettverk infisert med annen skadelig programvare, som Trickbot og Emotet, sprer og krypterer Ryuk nettverksdata.

Robinhood

Funksjoner: Robinhood er kjent for sin evne til å angripe offentlige systemer og store organisasjoner, ved å bruke en sofistikert krypteringstaktikk for å låse filer og kreve store løsepenger.

Spredningsmetode: Spredning gjennom phishing-kampanjer samt utnyttelse av sikkerhetssårbarheter i programvare.

DoppelPayer

Funksjoner: DoppelPaymer er en frittstående ransomware-variant med evnen til å forårsake alvorlig skade ved å kryptere data og true med å frigi informasjon hvis løsepenger ikke betales.

Spredningsmetode: Spredt via eksterne angrepsverktøy og phishing-e-poster, spesielt rettet mot sårbarheter i uoppdatert programvare.

SLANGE (også kjent som EKANS)

Funksjoner: SNAKE er utviklet for å angripe industrielle kontrollsystemer (ICS). Den krypterer ikke bare data, men kan også forstyrre industrielle prosesser.

Spredningsmetode: Gjennom phishing- og utnyttelseskampanjer, med vekt på å målrette spesifikke industrielle systemer.

Fobos

Funksjoner: Phobos har mange likheter med Dharma, en annen variant av ransomware, og brukes ofte til å angripe små bedrifter via RDP (Remote Desktop Protocol).

Spredningsmetode: Primært gjennom eksponert eller sårbar RDP, slik at angripere kan få ekstern tilgang til og distribuere ransomware.

LåsBit

LockBit er en annen populær ransomware-variant som opererer under RaaS-modellen (Ransomware-as-a-Service) og er kjent for sine angrep på bedrifter og offentlige organisasjoner. LockBit utfører angrepene sine i tre hovedfaser: utnyttelse av sårbarheter, dyptgående inntrengning i systemet og utrulling av krypteringsnyttelasten.

Fase 1 – Utnyttelse: LockBit utnytter sårbarheter i nettverket ved hjelp av teknikker som sosial manipulering, for eksempel gjennom phishing-e-poster eller brute force-angrep på intranettservere og nettverkssystemer.

Fase 2 – Infiltrasjon: Etter infiltrasjon bruker LockBit et verktøy for «etterutnyttelse» for å øke tilgangsnivået og forberede systemet på krypteringsangrepet.

Fase 3 – Implementering: LockBit distribuerer den krypterte nyttelasten på alle tilgjengelige enheter i nettverket, krypterer alle systemfiler og legger igjen en løsepengemelding.

LockBit bruker også en rekke gratis og åpen kildekode-verktøy i sin inntrengingsprosess, fra nettverksskannere til programvare for fjernadministrasjon, for å utføre nettverksrekognosering, fjerntilgang, tyveri av legitimasjon og datautrensing. I noen tilfeller truer LockBit til og med med å frigi offerets personopplysninger hvis løsepengekrav ikke oppfylles.

Med sin kompleksitet og evne til å spre seg vidt, representerer LockBit en av de største truslene i den moderne ransomware-verdenen. Organisasjoner må iverksette et omfattende sett med sikkerhetstiltak for å beskytte seg mot dette ransomware-viruset og dets varianter.

Dao Trung Thanh

Leksjon 2: Fra VNDirect-angrepet til strategi mot løsepengevirus