Így zajlottak a Maze támadási kísérletei
A nyomozás felfedte, hogy a támadók a zsarolóvírus payload futtatására tett első kísérletük előtt legalább hat nappal korábban már behatoltak a hálózatba. Ez idő alatt a támadók feltérképezték a hálózatot, legitim harmadik felektől származó eszközöket futtattak, kapcsolatokat hoztak létre és adatokat loptak ki egy felhőtárhely-szolgáltatásba, hogy felkészüljenek a zsarolóvírus komponens szabadon eresztésére.
Az első zsarolóvírus hullám indításánál a zsarolók 15 milliós dolláros váltságdíjat követeltek a támadás célpontjától. Az áldozat azonban nem fizette ki a váltságdíjat. Amikor a támadók rájöttek, hogy az első kísérletük kudarcba fulladt, elindítottak egy második, kissé eltérő próbálkozást. Ezt a biztonsági eszközök és az incidens kezelését végző Sophos Managed Threat Response (MTR) csapat elhárították. A harmadik kísérletnél a zsarolók a Ragnar Locker VM technikájának egy átkonfigurált változatát használták, mely ezúttal a Ragnar Locker Windows XP virtuális gépe helyett Windows 7-et használt és csak egy fájlszervert támadott. A támadást és a Ragnar Locker technikát azonnal felismerték és blokkolták.
“A Sophos incidens kezelői által felfedezett támadási folyamat kihangsúlyozza az ellenfelek agilitását és azon képességüket, hogy az eszközeiket gyorsan helyettesítsék és megváltoztassák, majd visszatérjenek a ringbe egy újabb menetre.” mondta Peter Mackenzie, a Sophos incidenskezelő menedzsere. “A feltűnő, jelentős nyomot hagyó és a processzort jobban terhelő Ragnar Locker virtuális gép-technika alkalmazása a támadók növekvő frusztrációját tükrözheti, miután az adatok titkosítására tett első két kísérletük meghiúsult.”
Lépések a digitális támadások megelőzésére
A Sophos azt javasolja a digitális támadások, különösen a zsarolóvírus fertőzések megelőzésére, hogy az IT biztonsági csapatoknak csökkentenie kell a támadható felületet egy felhő alapú, többrétegű biztonsági rendszerre való frissítéssel. Ebbe beletartozik a zsarolóvírus-elleni technológia, a dolgozók oktatása azzal kapcsolatban, hogy mire kell figyelniük és érdemes létrehozni vagy bevonni egy emberi fenyegetés-elhárító szolgáltatást is, mely a folyamatban lévő aktív támadások nyomait fedi fel.
“Minden szervezet célpont, és minden spam vagy adathalász email, szabadon hozzáférhető RDP port, sebezhető és kiaknázható átjáróként szolgáló eszköz vagy ellopott távoli hozzáférést biztosító hitelesítő adat megfelelő belépési pontot jelent a támadók számára, hogy megvessék a lábukat a hálózaton.” mondta Mackenzie.
