VietNamNet presenterar en artikel av Dao Trung Thanh, cybersäkerhetsexpert och biträdande direktör för Blockchain and AI Institute, för att förstå cyberattacken mot VNDirect Securities Company och farorna med ransomware.
Ransomware, en typ av skadlig kod som krypterar data på ett offers system och kräver en lösensumma för att dekryptera den, har blivit ett av de farligaste cybersäkerhetshoten i världen idag. Foto: zephyr_p/Fotolia

VNDirect-fallet och vad som gör ransomware farligt?

Den 24 mars 2024 blev VNDirect Securities Company i Vietnam det senaste hotspotet på kartan för internationella ransomware-attacker. Denna attack är inte ett isolerat fall.

Ransomware, en typ av skadlig programvara som är utformad för att kryptera data på ett offers system och kräva en lösensumma för att dekryptera den, har blivit ett av de mest utbredda och farliga cybersäkerhetshoten i världen idag. Det ökande beroendet av digital data och informationsteknik inom alla områden av samhällslivet gör organisationer och individer sårbara för dessa attacker.

Faran med ransomware ligger inte bara i dess förmåga att kryptera data, utan också i hur det sprids och kräver lösensummor, vilket skapar en finansiell transaktionskanal genom vilken hackare kan göra olagliga vinster. Ransomware-attackernas sofistikering och oförutsägbarhet gör dem till en av de största utmaningarna för cybersäkerhet idag.

VNDirect-attacken är en tydlig påminnelse om vikten av att förstå och förebygga ransomware. Endast genom att förstå hur ransomware fungerar och vilket hot det utgör kan vi införa effektiva skyddsåtgärder, från att utbilda användare och tillämpa tekniska lösningar till att bygga en omfattande förebyggande strategi för att skydda kritiska data och informationssystem.

Hur utpressningsvirus fungerar

Ransomware, ett skrämmande hot i cybersäkerhetsvärlden, fungerar på ett sofistikerat och mångfacetterat sätt och orsakar allvarliga konsekvenser för offren. För att bättre förstå hur ransomware fungerar måste vi fördjupa oss i varje steg i attackprocessen.

Infektion

Attacken börjar när ransomware infekterar ett system. Det finns flera vanliga sätt som ransomware kan ta sig in i ett offers system, inklusive:

Nätfiskemeddelanden: Falska e-postmeddelanden med skadliga bilagor eller länkar till webbplatser som innehåller skadlig kod; Utnyttjande av säkerhetsbrister: Utnyttjande av sårbarheter i ouppdaterad programvara för att automatiskt installera ransomware utan användarinteraktion; Skadlig reklam: Användning av internetannonser för att distribuera skadlig programvara; Nedladdningar från skadliga webbplatser: Användare laddar ner programvara eller innehåll från otillförlitliga webbplatser.

Kryptering

När ransomware har infekterats börjar det kryptera data på offrets system. Kryptering är processen att konvertera data till ett format som inte kan läsas utan dekrypteringsnyckeln. Ransomware använder ofta starka krypteringsalgoritmer, vilket säkerställer att krypterad data inte kan återställas utan den specifika nyckeln.

Krav på lösensumma

Efter att data krypterats visar ransomware ett meddelande på offrets skärm där det krävs en lösensumma för att dekryptera informationen. Detta meddelande innehåller vanligtvis instruktioner om hur man betalar (vanligtvis via Bitcoin eller andra kryptovalutor för att dölja brottslingens identitet), samt en betalningsdatum. Vissa versioner av ransomware hotar också med att radera informationen eller publicera den om lösensumman inte betalas.

Transaktioner och dekryptering (eller inte)

Offret står sedan inför ett svårt beslut: betala lösensumman och hoppas få tillbaka sina uppgifter, eller vägra och förlora dem för alltid. Att betala garanterar dock inte att informationen kommer att dekrypteras. Det kan faktiskt uppmuntra brottslingarna att fortsätta sina handlingar.

Hur ransomware fungerar visar inte bara på teknisk sofistikering, utan också på en sorglig verklighet: viljan att utnyttja användarnas godtrogenhet och okunskap. Detta understryker vikten av att öka medvetenheten och kunskapen om cybersäkerhet, från att känna igen nätfiskemejl till att hålla säkerhetsprogramvaran uppdaterad. Med ett ständigt föränderligt hot som ransomware är utbildning och förebyggande åtgärder viktigare än någonsin.

Vanliga varianter av ransomware

I den ständigt föränderliga världen av ransomware-hot utmärker sig vissa varianter för sin sofistikering, spridningsförmåga och den allvarliga inverkan de har på organisationer runt om i världen. Här är beskrivningar av sju populära varianter och hur de fungerar.

REvil (även känd som Sodinokibi)

Funktioner: REvil är en variant av Ransomware-as-a-Service (RaaS), vilket gör det möjligt för cyberbrottslingar att "hyra" det för att utföra sina egna attacker. Detta ökar ransomwarets förmåga att spridas och antalet offer avsevärt.

Spridningsmetoder: Distribution via säkerhetsbrister, nätfiskemeddelanden och verktyg för fjärrattacker. REvil använder också attackmetoder för att automatiskt kryptera eller stjäla data.

Ryuk

Funktioner: Ryuk riktar sig främst mot stora organisationer för att maximera utbetalningarna av lösensummor. Den har förmågan att anpassa sig för varje attack, vilket gör den svår att upptäcka och ta bort.

Spridningsmetod: Genom nätfiske-mejl och nätverk infekterade med annan skadlig kod, såsom Trickbot och Emotet, sprider och krypterar Ryuk nätverksdata.

Robinhood

Funktioner: Robinhood är känt för sin förmåga att attackera myndighetssystem och stora organisationer, med hjälp av en sofistikerad krypteringstaktik för att låsa filer och kräva stora lösensummor.

Spridningsmetod: Spridning genom nätfiskekampanjer samt utnyttjande av säkerhetsbrister i programvara.

Dubbelbetalare

Funktioner: DoppelPaymer är en fristående ransomware-variant med förmågan att orsaka allvarlig skada genom att kryptera data och hota med att släppa information om en lösensumma inte betalas.

Spridningsmetod: Sprids via fjärrattackverktyg och nätfiske-e-postmeddelanden, särskilt med inriktning på sårbarheter i ouppdaterad programvara.

ORM (även känd som EKANS)

Funktioner: SNAKE är utformad för att attackera industriella styrsystem (ICS). Den krypterar inte bara data utan kan även störa industriella processer.

Spridningsmetod: Genom nätfiske- och exploitkampanjer, med fokus på specifika industriella system.

Fobos

Funktioner: Phobos har många likheter med Dharma, en annan variant av ransomware, och används ofta för att attackera småföretag via RDP (Remote Desktop Protocol).

Spridningsmetod: Främst genom exponerad eller sårbar RDP, vilket gör det möjligt för angripare att fjärråtkomma till och distribuera ransomware.

LockBit

LockBit är en annan populär ransomware-variant som fungerar under RaaS-modellen (Ransomware-as-a-Service) och är känd för sina attacker mot företag och myndigheter. LockBit utför sina attacker i tre huvudsteg: utnyttja sårbarheter, penetrera djupt in i systemet och driftsätta krypteringsnyttolasten.

Fas 1 – Utnyttjande: LockBit utnyttjar sårbarheter i nätverket med hjälp av tekniker som social ingenjörskonst, till exempel genom nätfiskemeddelanden eller brute force-attacker mot intranätservrar och nätverkssystem.

Fas 2 – Infiltration: Efter infiltrationen använder LockBit ett verktyg för "post-exploitation" för att öka sin åtkomstnivå och förbereda systemet för krypteringsattacken.

Fas 3 - Implementering: LockBit distribuerar den krypterade nyttolasten på alla tillgängliga enheter i nätverket, krypterar alla systemfiler och lämnar en lösensumma.

LockBit använder också ett antal gratis och öppen källkodsverktyg i sin intrångsprocess, från nätverksskannrar till programvara för fjärrhantering, för att utföra nätverksrekognoscering, fjärråtkomst, stöld av autentiseringsuppgifter och datautvinning. I vissa fall hotar LockBit till och med att släppa offrets personuppgifter om lösensumman inte uppfylls.

Med sin komplexitet och förmåga att sprida sig vida representerar LockBit ett av de största hoten i den moderna ransomware-världen. Organisationer behöver anta en omfattande uppsättning säkerhetsåtgärder för att skydda sig mot detta ransomware och dess varianter.

Dao Trung Thanh

Lektion 2: Från VNDirect-attacken till strategi mot ransomware