Hackere bruger virksomhedsværktøjer til at undgå opdagelse – Barracuda stopper ransomware-angreb

Cyberangreb er ofte forbundet med hackere, der installerer ny og ukendt malware på offerets system. Men det behøver ikke altid at være tilfældet. I en nylig ransomware-familiesag, Akira angriberne brugte en metode kaldet At leve af jorden (LOTL). Det involverer brug af allerede installerede og fuldt legitime IT-værktøjer til at udføre angrebet – og dermed gemme sig bag det, der ligner normale IT-operationer.

Angrebet blev stoppet af Barracudas XDR-hold, og lærdommene er mange for virksomheder i alle størrelser.

Sådan skete angrebet

Angrebet fandt sted tidligt om morgenen på en national helligdag. Cyberkriminelle, bevæbnet med den fleksible Ransomware-som-en-tjenesteLøsningen Akira var rettet mod en domæneadministrationsserver – en central funktion til at logge ind og få adgang til filer og applikationer.

Serveren havde fjernstyringsværktøjet Datto fjernovervågning og -styring (RMM) installeret.

I stedet for at installere ny malware udnyttede angriberne RMM-konsollen sammen med tidligere installerede backupklienter til at køre scripts, ændre firewallindstillinger og deaktivere sikkerhedsfunktioner – handlinger, der lignede rutinemæssig systemadministration og derfor ikke gav anledning til mistanke.

Da filerne senere begyndte at blive krypteret og modtog filendelsen .akira opdaget Barracuda Managed XDR straks de første krypteringsforsøg. Serveren blev øjeblikkeligt isoleret, og angrebet blev stoppet, før det kunne sprede sig.

Lærdomme fra angrebet

1. Angriberne installerede ikke nye programmer, der ville have udløst advarselssignaler, men brugte i stedet allerede betroede værktøjer.
2. Aktiviteten lignede det, en backupklient normalt ville gøre, hvilket gjorde angrebet sværere at skelne fra et almindeligt angreb. IT-drift.
3. Akira er en Ransomware-som-en-tjenesteløsning, der udlejes til forskellige aktører. Derfor ser hvert angreb forskelligt ud, hvilket gør truslen vanskeligere at forudsige.

Restaurering og genopretning

Efter at angrebet var stoppet, Barracudas hold med kunden for at isolere berørte enheder, fjerne truslerne, scanne for eventuelle resterende spor af Akira og gendanne systemerne sikkert.

I næste trin blev sikkerhedspolitikkerne styrket for at reducere risikoen for lignende hændelser i fremtiden.

For at imødegå denne type sofistikerede angreb kræves omfattende XDR-løsninger hvilket giver sikkerhedsteams fuldt overblik over netværk, servere og enheder. Dette gør det muligt at opdage unormal adfærd tidligt – selv når den er skjult bag allerede installerede værktøjer.