Hackere bruker bedriftsverktøy for å unngå oppdagelse – Barracuda stopper ransomware-angrep

Cyberangrep er ofte forbundet med hackere som installerer ny og ukjent skadelig programvare på offerets system. Men det trenger ikke alltid å være tilfelle. I en nylig sak i en ransomware-familie, Akira angriperne brukte en metode som kalles Å leve av landet (LOTL). Den er basert på bruke allerede installerte og fullt legitime IT-verktøy å utføre angrepet – og dermed gjemme seg bak det som ser ut som normal IT-drift.

Angrepet ble stoppet av Barracudas XDR-team, og lærdommene er mange for selskaper i alle størrelser.

Slik skjedde angrepet

Angrepet fant sted tidlig om morgenen på en nasjonal helligdag. Nettkriminelle, bevæpnet med den fleksible Løsepengevirus som en tjenesteLøsningen Akira var rettet mot en domeneadministrasjonsserver – en sentral funksjon for innlogging og tilgang til filer og applikasjoner.

Serveren hadde verktøyet for fjernadministrasjon Datto fjernovervåking og -administrasjon (RMM) installert.

I stedet for å installere ny skadelig programvare, utnyttet angriperne RMM-konsollen sammen med tidligere installerte sikkerhetskopieringsklienter til å kjøre skript, endre brannmurinnstillinger og deaktivere sikkerhetsfunksjoner – handlinger som så ut som rutinemessig systemadministrasjon og derfor ikke vekket mistanke.

Da filene senere begynte å bli kryptert og fikk utvidelsen .akira oppdaget Barracuda Managed XDR umiddelbart de første krypteringsforsøkene. Serveren ble umiddelbart isolert, og angrepet ble stoppet før det kunne spre seg.

Lærdommer fra angrepet

1. Angriperne installerte ingen nye programmer som ville ha utløst varselsignaler, men brukte i stedet allerede pålitelige verktøy.
2. Aktiviteten var lik det en sikkerhetskopieringsklient vanligvis ville gjort, noe som gjorde angrepet vanskeligere å skille fra vanlige IT-drift.
3. Akira er en Løsepengevirus som en tjenesteløsning som leies ut til forskjellige aktører. Derfor ser hvert angrep forskjellig ut, noe som gjør trusselen vanskeligere å forutsi.

Restaurering og gjenoppretting

Etter at angrepet ble stoppet, samarbeidet de Barracudas lag med kunden for å isolere berørte enheter, fjerne truslene, skanne etter eventuelle gjenværende spor av Akira og gjenopprette systemene på en sikker måte.

I neste trinn ble sikkerhetsreglene styrket for å redusere risikoen for lignende hendelser i fremtiden.

For å motvirke denne typen sofistikerte angrep kreves omfattende XDR-løsninger som gir sikkerhetsteam full oversikt over nettverk, servere og enheter. Dette gjør det mulig å oppdage unormal oppførsel tidlig – selv når den er skjult bak allerede installerte verktøy.