Väärinkäytetty Windowsin pika-aputyökalu voi auttaa Black Basta -ransomware-uhkatoimijoita
Etäkäyttötyökalujen hyödyntäminen on kaksinkertainen haaste yrityksille, varsinkin kun niitä hyödyntävät kehittyneisiin social engineering-taktiikoihin perehtyneet uhkatoimijat. Äskettäin Microsoft Threat Intelligence korosti Black Basta Ransomware -tietojenkalastelukampanjan syntymistä, jonka on järjestänyt taloudellisesti motivoitunut Storm-1811-ryhmä. Tämä ryhmä käyttää sosiaalisesti suunniteltua lähestymistapaa, joka naamioituu luotettaviksi kokonaisuuksiksi, kuten Microsoftin tuki tai sisäinen IT-henkilöstö, houkutellakseen uhrit myöntämään etäkäytön Quick Assist -sovelluksen avulla, joka helpottaa etäyhteyksiä.
Kun luottamus on vakiinnutettu ja käyttöoikeus myönnetty, Storm-1811 ottaa käyttöön erilaisia haittaohjelmia, mikä huipentuu lopulta Black Basta lunnasohjelman jakeluun. Menetelmä korostaa, kuinka helposti laillisia etäkäyttötyökaluja voivat manipuloida uhkatoimijat, joilla on taitavia sosiaalisen suunnittelun taitoja, ohittaen perinteiset turvatoimenpiteet. Nämä edistyneet sosiaalisen suunnittelun taktiikat edellyttävät yritysten tietoturvatiimien ennakoivaa reagointia korostaen lisääntynyttä valppautta ja kattavaa työntekijöiden koulutusta.
Storm-1811:n toimintatapa sisältää yhdistelmän näkemistä, sähköpostipommittelua ja IT-henkilöstön henkilönä esiintymistä käyttäjien huijaamiseksi ja vaarantamiseksi. Hyökkääjät tulvivat uhreja sähköposteilla ennen kuin he aloittavat näkemyksiä ja käyttävät hyväkseen syntyvää hämmennystä pakottaakseen uhrit hyväksymään haitallisia Quick Assist -pyyntöjä. Tämän ohjatun pommituksen tarkoituksena on hämmentää uhreja ja valmistaa tietä onnistuneelle manipuloinnille ja sitä seuraavalle haittaohjelmien käyttöönotolle.
Microsoftin havainnot paljastavat Storm-1811:n käyttäneen erilaisia haittaohjelmia, mukaan lukien Qakbot ja Cobalt Strike, jotka toimitetaan etävalvontatyökalujen, kuten ScreenConnectin ja NetSupport Managerin, kautta. Kun pääsy on muodostettu, hyökkääjät käyttävät komentosarjakomentoja haitallisten hyötykuormien lataamiseen ja suorittamiseen, mikä ylläpitää heidän hallintaansa vaarantuneissa järjestelmissä. Lisäksi Storm-1811 hyödyntää työkaluja, kuten OpenSSH-tunnelointia ja PsExecia, ylläpitääkseen pysyvyyttä ja ottaakseen käyttöön Black Basta -lunnasohjelmia verkoissa .
Tällaisten hyökkäysten lieventämiseksi organisaatioita kehotetaan poistamaan etäkäyttötyökalut, kun ne eivät ole käytössä, ja ottamaan käyttöön käyttöoikeuksien hallintaratkaisuja, joissa on nolla-luottamusarkkitehtuuri. Säännöllinen työntekijöiden koulutus on ensiarvoisen tärkeää tietoisuuden lisäämiseksi manipulointitaktiikoista ja tietojenkalasteluhuijauksista, mikä antaa henkilöstölle mahdollisuuden tunnistaa ja estää mahdolliset uhat. Kehittyneet sähköpostiratkaisut ja tapahtumien seuranta vahvistavat entisestään puolustusta, mikä mahdollistaa haitallisten toimintojen nopean havaitsemisen ja lieventämisen.
Etäkäyttötyökalujen hyödyntäminen kehittyneen sosiaalisen suunnittelun avulla korostaa kyberuhkien kehittyvää maisemaa. Näihin haasteisiin vastaaminen edellyttää monitahoista lähestymistapaa, joka kattaa teknologiset puolustukset, työntekijöiden koulutuksen ja ennakoivat turvatoimenpiteet haitallista hyväksikäyttöä vastaan.