சிதறடிக்கப்பட்ட ஸ்பைடர் ரான்சம்வேர் தாக்குதல்

ஒரு அதிநவீன மற்றும் ஆக்ரோஷமான சைபர் கிரைம் குழுவான ஸ்கேட்டர்ட் ஸ்பைடர், VMware ESXi ஹைப்பர்வைசர்களுக்கு எதிரான தாக்குதல்களை அதிகரித்துள்ளது. வட அமெரிக்காவில் சில்லறை விற்பனை, விமான நிறுவனங்கள் மற்றும் போக்குவரத்து போன்ற முக்கிய துறைகளை குறிவைத்து, குழுவின் செயல்பாடுகள் கணக்கிடப்பட்டவை, வேண்டுமென்றே செய்யப்பட்டவை மற்றும் பேரழிவு தரும் வகையில் பயனுள்ளதாக இருக்கும். அவர்களின் வெற்றி மென்பொருள் சுரண்டல்களில் அல்ல, மாறாக சமூக பொறியியல் மற்றும் நம்பகமான அமைப்புகளை கையாளுவதில் அவர்களின் தேர்ச்சியில் உள்ளது.

சுரண்டல்கள் இல்லாத தந்திரோபாயங்கள்: மையத்தில் சமூக பொறியியல்

மென்பொருளில் உள்ள பாதிப்புகளைப் பயன்படுத்துவதற்குப் பதிலாக, ஸ்கேட்டர்டு ஸ்பைடர், முயற்சி செய்து சோதிக்கப்பட்ட ஒரு தந்திரோபாயத்தை நம்பியுள்ளது: தொலைபேசி அடிப்படையிலான சமூக பொறியியல். இந்த குழு பெரும்பாலும் உயர் சலுகை பெற்ற நிர்வாகிகள் உட்பட சட்டப்பூர்வ பணியாளர்களைப் போல ஆள்மாறாட்டம் செய்ய ஐடி உதவி மையங்களைத் தொடர்பு கொள்கிறது. இந்த அழைப்புகள் ஒரு பரந்த பிரச்சார உத்தியின் ஒரு பகுதியாகும், இது அவர்களின் தாக்குதல்களை சீரற்றதாக ஆக்குகிறது. ஒரு நிறுவனத்திற்குள் மிகவும் உணர்திறன் வாய்ந்த அமைப்புகள் மற்றும் தரவை குறிவைக்க அவர்கள் தங்கள் செயல்பாடுகளை உன்னிப்பாகத் திட்டமிடுகிறார்கள்.

சிதறடிக்கப்பட்ட ஸ்பைடர் நடிகர்கள் தங்கள் இலக்குகளின் உள்கட்டமைப்பு அல்லது உள்நுழைவு போர்டல்களை நெருக்கமாகப் பிரதிபலிக்கும் ஏமாற்றும் டொமைன்களைப் பதிவு செய்வதற்குப் பெயர் பெற்றவர்கள். பொதுவான பெயரிடும் முறைகள் பின்வருமாறு:

• பாதிக்கப்பட்டவரின் பெயர்-sso.com
• பாதிக்கப்பட்டவரின் பெயர்-okta.com
• பாதிக்கப்பட்டவரின் பெயர்-servicedesk.com
• sso-victimname.com
• servicenow-victimname.com

உதவி மையத்திலிருந்து ஹைப்பர்வைசர் வரை: பல கட்ட தாக்குதல் சங்கிலி

சிதறிய சிலந்தியின் தாக்குதல் முறை ஐந்து மூலோபாய கட்டங்கள் வழியாக விரிவடைகிறது, ஒவ்வொன்றும் அணுகலை அதிகரிக்கவும் கண்டறிதலைக் குறைக்கவும் வடிவமைக்கப்பட்டுள்ளது:

ஆரம்ப அணுகல் மற்றும் சலுகை அதிகரிப்பு
தாக்குதல் நடத்துபவர்கள் சமூக பொறியியலில் தொடங்கி ஊழியர்களைப் போல ஆள்மாறாட்டம் செய்யவும், சான்றுகளை சேகரிக்கவும், உள் ஆவணங்களை சேகரிக்கவும் தொடங்குகிறார்கள். அவர்கள் பெரும்பாலும் HashiCorp Vault போன்ற கடவுச்சொல் மேலாளர்களிடமிருந்து தரவைப் பிரித்தெடுத்து, நிர்வாகி கடவுச்சொற்களை மீட்டமைக்க IT ஆதரவு செயல்முறைகளைப் பயன்படுத்துகிறார்கள்.

vSphere-க்கு பக்கவாட்டு இயக்கம்
VMware சூழல்களுக்கு மேப் செய்யப்பட்ட Active Directory சான்றுகளைப் பயன்படுத்துவதன் மூலம், அவை vCenter Server Appliance (vCSA) ஐ அணுகுகின்றன. ஃபயர்வால் விதிகளைத் தவிர்த்து, தொடர்ச்சியான அணுகலை நிறுவும் மறைகுறியாக்கப்பட்ட தலைகீழ் ஷெல்லை உருவாக்க டெலிபோர்ட் எனப்படும் ஒரு கருவி பயன்படுத்தப்படுகிறது.

ஹைப்பர்வைசர் கையாளுதல் மற்றும் தரவு பிரித்தெடுத்தல்
ESXi ஹோஸ்ட்களில் SSH இயக்கப்பட்டது, ரூட் கடவுச்சொற்கள் மீட்டமைக்கப்பட்டன, மேலும் 'டிஸ்க்-ஸ்வாப்' தாக்குதல் செயல்படுத்தப்பட்டது. இது ஒரு டொமைன் கன்ட்ரோலர் VM ஐ மூடுவது, அதன் மெய்நிகர் வட்டைப் பிரிப்பது, தாக்குபவர் கட்டுப்படுத்தும் VM உடன் இணைப்பது மற்றும் செயல்முறையை மாற்றுவதற்கு முன் NTDS.dit தரவுத்தளத்தைப் பிரித்தெடுப்பதை உள்ளடக்குகிறது.

மீட்பு வழிமுறைகளை முடக்குதல்
மீட்டெடுப்பு விருப்பங்களை நீக்கவும் தாக்குதலின் தாக்கத்தை அதிகரிக்கவும் காப்புப்பிரதி வேலைகள், ஸ்னாப்ஷாட்கள் மற்றும் களஞ்சியங்கள் நீக்கப்படுகின்றன.

ரான்சம்வேர் பயன்பாடு
தனிப்பயன் ransomware பைனரிகள் SCP அல்லது SFTP வழியாக சமரசம் செய்யப்பட்ட ESXi ஹோஸ்ட்களுக்குத் தள்ளப்படுகின்றன, மெய்நிகர் சூழல் முழுவதும் முக்கியமான அமைப்புகளை குறியாக்குகின்றன.

சிதறிய சிலந்தியின் வேகமும் திருட்டுத்தனமும்

0ktapus, Muddled Libra, Octo Tempest, மற்றும் UNC3944 போன்ற மாற்றுப்பெயர்களால் அறியப்படும் Scattered Spider ஐ, பாரம்பரிய ransomware நடிகர்களிடமிருந்து வேறுபடுத்துவது அவர்களின் செயல்பாடுகளின் வேகம் மற்றும் திருட்டுத்தனம் ஆகும். ransomware வரிசைப்படுத்தலுக்கான ஆரம்ப அணுகலில் இருந்து முழு தாக்குதலும் ஒரு சில மணி நேரத்திற்குள் நிகழலாம் என்று நிபுணர்கள் குறிப்பிடுகின்றனர். சில சந்தர்ப்பங்களில், 100 GB க்கும் மேற்பட்ட தரவு 48 மணி நேரத்திற்குள் வெளியேற்றப்பட்டுள்ளது. இந்தக் குழு DragonForce ransomware திட்டத்துடன் இணைக்கப்பட்டுள்ளது, இது அவர்களின் திறன்களை மேலும் பெருக்குகிறது.

பாதுகாப்பு உத்திகளை மாற்றுதல்: EDR இலிருந்து உள்கட்டமைப்பு மையப்படுத்தப்பட்ட பாதுகாப்புக்கு

இந்தத் தாக்குதல்களின் தன்மை காரணமாக, நிலையான எண்ட்பாயிண்ட் கண்டறிதல் மற்றும் பதில் (EDR) கருவிகள் போதுமானதாக இருக்காது. சிதறடிக்கப்பட்ட சிலந்திக்கு எதிராகப் பாதுகாப்பதற்கு முழுமையான, உள்கட்டமைப்பு மையப்படுத்தப்பட்ட அணுகுமுறை தேவைப்படுகிறது. பின்வரும் அடுக்கு பாதுகாப்பு உத்தி கடுமையாகப் பரிந்துரைக்கப்படுகிறது:

அடுக்கு 1: vSphere மற்றும் ஹைப்பர்வைசர் கடினப்படுத்துதல்

• vSphere-இல் பூட்டுதல் பயன்முறையை இயக்கு.
• செயல்படுத்து execInstalledOnly
• VM குறியாக்கத்தைப் பயன்படுத்தவும்
• பயன்படுத்தப்படாத அல்லது காலாவதியான மெய்நிகர் இயந்திரங்களை ஓய்வு பெறுங்கள்.
• ஆள்மாறாட்ட தந்திரங்களுக்கு எதிராக உதவி மையத்தைப் பாதுகாத்து பயிற்சி அளிக்கவும்.

அடுக்கு 2: அடையாளம் மற்றும் அணுகல் பாதுகாப்பு

• ஃபிஷிங்-எதிர்ப்பு பல காரணி அங்கீகாரத்தை (MFA) செயல்படுத்தவும்.
• முக்கியமான அடையாள உள்கட்டமைப்பைப் பிரிக்கவும்.
• தாக்குபவர்கள் சுரண்டக்கூடிய வட்ட அங்கீகார சார்புகளைத் தவிர்க்கவும்.

அடுக்கு 3: கண்காணிப்பு மற்றும் காப்புப்பிரதி தனிமைப்படுத்தல்

• முக்கிய உள்கட்டமைப்பிலிருந்து பதிவு கண்காணிப்பை மையப்படுத்தவும்.
• ஆக்டிவ் டைரக்டரி அணுகலில் இருந்து காப்புப்பிரதிகளை தனிமைப்படுத்தவும்.

முடிவு: ரான்சம்வேர் அபாயத்தின் புதிய சகாப்தம்

vSphere சுற்றுச்சூழல் அமைப்பை, குறிப்பாக ESXi ஹோஸ்ட்கள் மற்றும் vCenter சர்வரை குறிவைக்கும் Ransomware, விரைவான, பெரிய அளவிலான இடையூறுகளுக்கான சாத்தியக்கூறு காரணமாக கடுமையான அச்சுறுத்தலை ஏற்படுத்துகிறது. Scattered Spider இன் செயல்பாடுகளின் கணக்கிடப்பட்ட தன்மை, நிறுவனங்கள் தங்கள் பாதுகாப்பு நிலைகளை மறுபரிசீலனை செய்ய வேண்டியதன் அவசியத்தை எடுத்துக்காட்டுகிறது. இந்த அபாயங்களைப் புறக்கணிப்பது அல்லது பரிந்துரைக்கப்பட்ட எதிர் நடவடிக்கைகளை செயல்படுத்துவதை தாமதப்படுத்துவது கடுமையான செயலிழப்பு, தரவு இழப்பு மற்றும் நிதி சேதம் உள்ளிட்ட பேரழிவு விளைவுகளுக்கு வழிவகுக்கும்.