చెల్లాచెదురుగా ఉన్న స్పైడర్ రాన్సమ్వేర్ దాడి
అధునాతనమైన మరియు దూకుడుగా ఉండే సైబర్ క్రైమ్ గ్రూప్ అయిన స్కాటర్డ్ స్పైడర్, VMware ESXi హైపర్వైజర్లపై తన దాడులను ముమ్మరం చేసింది. ఉత్తర అమెరికాలో రిటైల్, ఎయిర్లైన్స్ మరియు రవాణా వంటి కీలక రంగాలను లక్ష్యంగా చేసుకుని, సమూహం యొక్క కార్యకలాపాలు లెక్కించబడి, ఉద్దేశపూర్వకంగా మరియు వినాశకరమైన ప్రభావవంతంగా ఉంటాయి. వారి విజయం సాఫ్ట్వేర్ దోపిడీలలో కాదు, సోషల్ ఇంజనీరింగ్ మరియు విశ్వసనీయ వ్యవస్థలను మార్చడంలో వారి నైపుణ్యం.
విషయ సూచిక
దోపిడీలు లేని వ్యూహాలు: ప్రధాన అంశంలో సామాజిక ఇంజనీరింగ్
సాఫ్ట్వేర్లోని దుర్బలత్వాలను ఉపయోగించుకునే బదులు, స్కాటర్డ్ స్పైడర్ ప్రయత్నించిన మరియు పరీక్షించబడిన వ్యూహంపై ఆధారపడుతుంది: ఫోన్ ఆధారిత సోషల్ ఇంజనీరింగ్. అధిక-ప్రత్యేక నిర్వాహకులతో సహా చట్టబద్ధమైన సిబ్బందిని అనుకరించడానికి ఈ బృందం తరచుగా IT హెల్ప్ డెస్క్లను సంప్రదిస్తుంది. ఈ కాల్లు విస్తృత ప్రచార-ఆధారిత వ్యూహంలో భాగం, వారి దాడులను యాదృచ్ఛికంగా కాకుండా చేస్తాయి. వారు ఒక సంస్థలోని అత్యంత సున్నితమైన వ్యవస్థలు మరియు డేటాను లక్ష్యంగా చేసుకోవడానికి వారి కార్యకలాపాలను జాగ్రత్తగా ప్లాన్ చేస్తారు.
స్కాటర్డ్ స్పైడర్ నటులు తమ లక్ష్యాల మౌలిక సదుపాయాలను లేదా లాగిన్ పోర్టల్లను దగ్గరగా అనుకరించే మోసపూరిత డొమైన్లను నమోదు చేయడానికి ప్రసిద్ధి చెందారు. సాధారణ నామకరణ నమూనాలు:
- బాధితుడి పేరు-sso.com
- బాధితుడి పేరు-okta.com
- బాధితుడి పేరు-servicedesk.com
- sso-victimname.com
- servicenow-victimname.com
హెల్ప్ డెస్క్ నుండి హైపర్వైజర్ వరకు: బహుళ-దశల దాడి గొలుసు
స్కాటర్డ్ స్పైడర్ యొక్క దాడి పద్దతి ఐదు వ్యూహాత్మక దశల ద్వారా విప్పుతుంది, ప్రతి ఒక్కటి యాక్సెస్ను పెంచడానికి మరియు గుర్తింపును తగ్గించడానికి రూపొందించబడింది:
ప్రారంభ యాక్సెస్ మరియు ప్రత్యేక హక్కుల పెంపు
దాడి చేసేవారు ఉద్యోగులను అనుకరించడానికి, వారి ఆధారాలను సేకరించడానికి మరియు అంతర్గత డాక్యుమెంటేషన్ను సేకరించడానికి సోషల్ ఇంజనీరింగ్తో ప్రారంభిస్తారు. వారు తరచుగా HashiCorp Vault వంటి పాస్వర్డ్ మేనేజర్ల నుండి డేటాను సంగ్రహిస్తారు మరియు నిర్వాహక పాస్వర్డ్లను రీసెట్ చేయడానికి IT మద్దతు ప్రక్రియలను దోపిడీ చేస్తారు.
vSphere కు పార్శ్వ కదలిక
VMware పరిసరాలకు మ్యాప్ చేయబడిన యాక్టివ్ డైరెక్టరీ ఆధారాలను ఉపయోగించడం ద్వారా, వారు vCenter సర్వర్ ఉపకరణం (vCSA)ని యాక్సెస్ చేస్తారు. ఫైర్వాల్ నియమాలను దాటవేసి, నిరంతర యాక్సెస్ను ఏర్పాటు చేసే ఎన్క్రిప్టెడ్ రివర్స్ షెల్ను సృష్టించడానికి టెలిపోర్ట్ అనే సాధనం ఉపయోగించబడుతుంది.
హైపర్వైజర్ మానిప్యులేషన్ మరియు డేటా సంగ్రహణ
ESXi హోస్ట్లలో SSH ప్రారంభించబడుతుంది, రూట్ పాస్వర్డ్లు రీసెట్ చేయబడతాయి మరియు 'డిస్క్-స్వాప్' దాడి అమలు చేయబడుతుంది. ఇందులో డొమైన్ కంట్రోలర్ VMని షట్ డౌన్ చేయడం, దాని వర్చువల్ డిస్క్ను వేరు చేయడం, దాడి చేసేవారి-నియంత్రిత VMకి జోడించడం మరియు ప్రక్రియను రివర్స్ చేయడానికి ముందు NTDS.dit డేటాబేస్ను సంగ్రహించడం జరుగుతుంది.
రికవరీ మెకానిజమ్లను నిలిపివేయడం
రికవరీ ఎంపికలను తొలగించడానికి మరియు దాడి ప్రభావాన్ని పెంచడానికి బ్యాకప్ జాబ్లు, స్నాప్షాట్లు మరియు రిపోజిటరీలు తొలగించబడతాయి.
రాన్సమ్వేర్ విస్తరణ
కస్టమ్ రాన్సమ్వేర్ బైనరీలు SCP లేదా SFTP ద్వారా రాజీపడిన ESXi హోస్ట్లకు నెట్టబడతాయి, వర్చువల్ వాతావరణంలో క్లిష్టమైన వ్యవస్థలను ఎన్క్రిప్ట్ చేస్తాయి.
చెల్లాచెదురుగా ఉన్న సాలీడు యొక్క వేగం మరియు దొంగతనం
0ktapus, Muddled Libra, Octo Tempest, మరియు UNC3944 వంటి మారుపేర్లతో కూడా పిలువబడే స్కాటర్డ్ స్పైడర్ను సాంప్రదాయ రాన్సమ్వేర్ నటుల నుండి వేరు చేసేది వారి కార్యకలాపాల వేగం మరియు రహస్యం. రాన్సమ్వేర్ విస్తరణకు ప్రారంభ యాక్సెస్ నుండి మొత్తం దాడి కొన్ని గంటల్లోనే జరుగుతుందని నిపుణులు గమనిస్తున్నారు. కొన్ని సందర్భాల్లో, 100 GB కంటే ఎక్కువ డేటా 48 గంటల్లోపు తొలగించబడింది. ఈ సమూహం డ్రాగన్ఫోర్స్ రాన్సమ్వేర్ ప్రోగ్రామ్తో కూడా అనుసంధానించబడి, వారి సామర్థ్యాలను మరింత పెంచుతుంది.
రక్షణ వ్యూహాలను మార్చడం: EDR నుండి మౌలిక సదుపాయాల కేంద్రీకృత భద్రతకు
ఈ దాడుల స్వభావం కారణంగా, ప్రామాణిక ఎండ్పాయింట్ డిటెక్షన్ మరియు రెస్పాన్స్ (EDR) సాధనాలు సరిపోకపోవచ్చు. స్కాటర్డ్ స్పైడర్కు వ్యతిరేకంగా రక్షించడానికి సమగ్రమైన, మౌలిక సదుపాయాల-కేంద్రీకృత విధానం అవసరం. కింది లేయర్డ్ డిఫెన్స్ వ్యూహాన్ని గట్టిగా సిఫార్సు చేయబడింది:
లేయర్ 1: vSphere మరియు హైపర్వైజర్ హార్డెనింగ్
- vSphere లో లాక్డౌన్ మోడ్ను ప్రారంభించండి
- అమలు చేయి execInstalledOnly
- VM ఎన్క్రిప్షన్ను ఉపయోగించండి
- ఉపయోగించని లేదా పాతబడిన వర్చువల్ మిషన్లను రిటైర్ చేయండి.
- వేషధారణ వ్యూహాలకు వ్యతిరేకంగా హెల్ప్ డెస్క్ను సురక్షితంగా ఉంచండి మరియు శిక్షణ ఇవ్వండి.
లేయర్ 2: గుర్తింపు మరియు యాక్సెస్ రక్షణ
- ఫిషింగ్-నిరోధక బహుళ-కారకాల ప్రామాణీకరణ (MFA)ను అమలు చేయండి.
- కీలకమైన గుర్తింపు మౌలిక సదుపాయాలను వేరు చేయండి.
- దాడి చేసేవారు దోపిడీ చేయగల వృత్తాకార ప్రామాణీకరణ ఆధారపడటాలను నివారించండి.
లేయర్ 3: పర్యవేక్షణ మరియు బ్యాకప్ ఐసోలేషన్
- కీలకమైన మౌలిక సదుపాయాల నుండి లాగ్ పర్యవేక్షణను కేంద్రీకరించండి.
- యాక్టివ్ డైరెక్టరీ యాక్సెస్ నుండి బ్యాకప్లను వేరు చేయండి.
ముగింపు: రాన్సమ్వేర్ ప్రమాదం యొక్క కొత్త యుగం
vSphere పర్యావరణ వ్యవస్థను, ముఖ్యంగా ESXi హోస్ట్లు మరియు vCenter సర్వర్లను లక్ష్యంగా చేసుకునే Ransomware, వేగవంతమైన, పెద్ద ఎత్తున అంతరాయం కలిగించే అవకాశం ఉన్నందున తీవ్ర ముప్పును కలిగిస్తుంది. స్కాటర్డ్ స్పైడర్ కార్యకలాపాల యొక్క లెక్కించిన స్వభావం సంస్థలు తమ రక్షణ భంగిమలను పునరాలోచించాల్సిన అవసరాన్ని హైలైట్ చేస్తుంది. ఈ ప్రమాదాలను విస్మరించడం లేదా సిఫార్సు చేయబడిన ప్రతిఘటనల అమలును ఆలస్యం చేయడం వలన తీవ్రమైన డౌన్టైమ్, డేటా నష్టం మరియు ఆర్థిక నష్టం వంటి విపత్కర పరిణామాలు సంభవించవచ్చు.
