LeakNet Ransomware

Operacja ransomware LeakNet zapoczątkowała znaczącą ewolucję w taktykach włamań, wykorzystując technikę socjotechniczną ClickFix jako główny wektor wejścia. To podejście manipuluje użytkownikami, zmuszając ich do wykonywania złośliwych poleceń pod pretekstem rozwiązywania sfabrykowanych błędów systemowych. W przeciwieństwie do tradycyjnych metod dostępu, takich jak kupowanie skradzionych danych uwierzytelniających od pośredników dostępu początkowego, ta taktyka bezpośrednio wykorzystuje zaufanie użytkowników i ich rutynowe zachowania.

Zainfekowane, ale poza tym legalne witryny internetowe są wykorzystywane do wysyłania fałszywych monitów weryfikacyjnych CAPTCHA. Monity te instruują użytkowników, aby skopiowali i uruchomili złośliwe polecenie msiexec.exe za pośrednictwem okna dialogowego Uruchom w systemie Windows. Ponieważ interakcja naśladuje codzienną aktywność systemu, atak wydaje się rutynowy i nie wzbudza natychmiastowego podejrzenia. Ta szeroko zakrojona, oportunistyczna strategia umożliwia atakowanie w wielu branżach bez dyskryminacji.

Zmiana strategiczna: niezależność od brokerów dostępu początkowego

Przejście LeakNet na ClickFix to przemyślana zmiana operacyjna. Eliminując zależność od zewnętrznych dostawców danych uwierzytelniających, grupa redukuje zarówno koszty, jak i opóźnienia związane z uzyskiwaniem dostępu. Ta niezależność usuwa kluczowe wąskie gardło, umożliwiając szybsze i efektywniejsze skalowanie kampanii.

Ponadto wykorzystanie zainfekowanej, legalnej infrastruktury zamiast systemów kontrolowanych przez atakujących znacząco zmniejsza wykrywalne wskaźniki sieciowe. To sprawia, że tradycyjne zabezpieczenia oparte na obwodzie są mniej skuteczne, ponieważ złośliwa aktywność płynnie łączy się z zaufanym ruchem.

Wykonywanie bezplikowe: program ładujący oparty na Deno w akcji

Charakterystyczną cechą techniczną tych ataków jest wdrożenie etapowego modułu ładującego Command-and-Control zbudowanego na środowisku wykonawczym Deno JavaScript. Moduł ten wykonuje kod JavaScript zakodowany w standardzie Base64 bezpośrednio w pamięci, unikając zapisów na dysku i minimalizując artefakty kryminalistyczne.

Po aktywacji ładowarka wykonuje kilka ważnych funkcji:

• Profiluje zainfekowany system w celu zebrania informacji o środowisku
• Nawiązuje komunikację z serwerem zewnętrznym w celu pobrania dodatkowych ładunków
• Utrzymuje trwałość dzięki mechanizmowi sondowania, który stale pobiera i wykonuje dodatkowy kod

Ten bezplikowy model wykonywania operacji zwiększa stopień ukrycia i komplikuje wykrywanie za pomocą tradycyjnych narzędzi bezpieczeństwa.

Spójny podręcznik postępowania po eksploatacji

Pomimo zmienności w dostępie początkowym, operacje LeakNet zbiegają się w przewidywalny proces po ataku. Ta spójność zapewnia obrońcom cenne możliwości wykrywania i zakłócania działania systemu jeszcze przed wdrożeniem ransomware.

Typowa sekwencja ataku obejmuje:

• Ładowanie boczne bibliotek DLL w celu wykonania złośliwych bibliotek dostarczonych przez program ładujący
• Ruch boczny z wykorzystaniem narzędzi takich jak PsExec w celu rozszerzenia dostępu do sieci
• Rozpoznanie poświadczeń za pomocą cmd.exe /c klist w celu identyfikacji aktywnych sesji uwierzytelniania
• Przechowywanie i eksfiltracja danych przez kontenery S3, maskowanie aktywności jako legalnego ruchu w chmurze
• Ostatnia faza szyfrowania w celu wdrożenia oprogramowania ransomware

Korzystanie z natywnych narzędzi systemu Windows i popularnych usług w chmurze umożliwia złośliwym działaniom przenikanie się z normalnym zachowaniem systemu i sieci.

Profil zagrożenia: źródła i zakres ataków

Powstały w listopadzie 2024 roku LeakNet początkowo pozycjonował się jako „cyfrowy strażnik”, promując hasła przejrzystości i wolności internetu. Jednak zaobserwowana aktywność ujawnia szerszy i bardziej agresywny zakres działań, obejmujący ataki na organizacje przemysłowe.

Nieograniczona strategia kampanii, połączona ze skalowalnymi metodami infekcji, podkreślają jej zamierzenie maksymalizacji zasięgu, a nie koncentrowania się na określonych sektorach.

Implikacje obronne: przewidywalność jako przewaga

Chociaż techniki włamania LeakNet ewoluowały, jego oparcie na powtarzalnym łańcuchu ataków stwarza istotną słabość. Każdy etap ataku, od wykonania ataku, przez ruch boczny, po eksfiltrację danych, przebiega według identyfikowalnych wzorców zachowań.

Taka spójność pozwala obrońcom na:

• Wykrywanie nieprawidłowego użycia legalnych narzędzi systemowych
• Monitoruj nietypowe wzorce wykonywania w pamięci
• Identyfikuj podejrzane interakcje z pamięcią masową w chmurze
• Przerwij postęp ataku przed rozpoczęciem szyfrowania

Kluczowy wniosek jest jasny: chociaż początkowe metody dostępu mogą się różnić, podstawowy plan operacyjny pozostaje stabilny, oferując wiele możliwości wczesnego wykrywania i reagowania.