Ransomware er cybersikkerhedshistorien fra det seneste årti. Men i løbet af den tid er modstandernes taktikker, teknikker og procedurer (TTP'er) fortsat med at skifte i overensstemmelse med det konstant udviklende våbenkapløb mellem angribere og netværksforsvarere. Med et historisk lavt antal af ofrevirksomheder, der vælger at betale deres afpressere, fokuserer ransomware-tilknyttede virksomheder på hastighed, timing og camouflage.

Spørgsmålet er: Med de fleste angreb nu i weekenderne og tidligt om morgenen, har netværksforsvarere så stadig de rigtige værktøjer og processer på plads til at afbøde truslen? Især finansielle serviceorganisationer vil have brug for et hurtigt svar på sådanne spørgsmål, før de overholder EU's lov om digital operationel modstandsdygtighed (DORA).

Fra styrke til styrke

På én måde fortsætter ransomware med at trives. I år forventes det at blive det mest indbringende nogensinde, ifølge en analyse af kryptobetalinger til adresser forbundet med kriminalitet. Ifølge en rapport fra august fra blockchain-efterforskeren Chainalysis ligger ransomware-"tilstrømningen" år-til-dato (YTD) på 460 millioner dollars, en stigning på omkring 2 % i forhold til samme tidspunkt sidste år (449 millioner dollars). Virksomheden hævder, at denne stigning i høj grad skyldes "storvildtjagt" - taktikken med at gå efter færre store virksomhedsofre, der muligvis er mere i stand til og villige til at betale større løsepenge. Teorien bekræftes af én betaling på 75 millioner dollars fra et unavngivet firma til ransomware-gruppen Dark Angels tidligere på året - den største nogensinde registreret.

Samlet set er den gennemsnitlige løsesumsbetaling til de mest almindelige ransomware-stammer også steget - fra lige under $200,000 i begyndelsen af ​​2023 til $1.5 mio. i midten af ​​juni 2024. Chainalysis hævder, at dette tyder på, "at disse stammer prioriterer målrettet mod større virksomheder og kritiske infrastrukturudbydere, som kan være mere tilbøjelige til at betale høje løsesummer på grund af deres dybe lommer og systemiske betydning. ”

Den tilsyneladende styrke af ransomware-økosystemet er mere imponerende i betragtning af de retshåndhævende sejre tidligere på året, som syntes at forstyrre to store grupper: LockBit og ALPHV/BlackCat. Chainalysis hævder, at disse bestræbelser har fragmenteret cyberkriminalitetsundergrunden noget, hvor tilknyttede selskaber er gået over til "mindre effektive stammer" eller lancerer deres egne. Dette stemmer overens med en analyse fra 2. kvartal 2024 foretaget af ransomware-specialisten Coveware, som hævder at have observeret en stigning i antallet af "lone wolf"-grupper, der ikke er tilknyttet noget større ransomware-"mærke". Mange har taget denne beslutning "på grund af den stigende trussel om eksponering, afbrydelse og profittab forbundet med 'giftige' ransomware-mærker," siger de.

Men bundlinjen er, at disse trusselsaktører stadig er aktive. Og da betalingsraterne falder fra et maksimum på omkring 85 % af ofrene i 2019 til omkring en tredjedel af det i dag, leder de altid efter måder at gøre deres indsats mere effektiv.

Timing er alt

En ny rapport fra Malwarebytes' ThreatDown-gruppe afslører præcis, hvordan de håber at gøre det. Den hævder, at flere ransomware-grupper i løbet af det seneste år har angrebet ofre i weekenderne og tidligt om morgenen. Trusselsteamet håndterede de fleste angreb mellem kl. 1 og 5 lokal tid.

Årsagen er indlysende: trusselsaktørerne håber at fange en organisation, når dens it-team sover hurtigt eller lader batterierne op i weekenden.

Rapporten hævder desuden, at angrebene bliver hurtigere. Tilbage i 2022 testede et Splunk-studie 10 af de mest populære ransomware-varianter og fandt, at medianhastigheden for kryptering af 100,000 filer kun var 43 minutter, hvor LockBit var den hurtigste af alle med kun fire minutter. Men det, Malwarebytes ser, er en acceleration af hele angrebskæden – fra initial adgang til lateral bevægelse, dataudvinding og endelig kryptering. Det giver netværksforsvarere med slørede øjne endnu mindre tid til at reagere og inddæmme en trussel, før det er for sent.

Rapporten hævder også, at flere ondsindede aktører bruger Living Off the Land (LOTL) teknikker, som bruger legitime værktøjer og processer til at forblive skjult inde i netværk, mens de opnår disse mål. "Seneste kundehændelser fra topbander som LockBit, Akira og Medusa afslører, at det meste af den moderne ransomware-angrebskæde nu er sammensat af LOTL-teknikker," står der.

Sådan mindskes Ransomware-risikoen i 2024

Storvildtsjagtangreb kan samle de fleste overskrifter, men sandheden er, at de fleste ransomware-ofre teknisk set er SMB'er. Coveware hævder, at medianstørrelsen i 2. kvartal 2024 kun var 200 ansatte. Så hvordan kan disse organisationer håbe på at forsvare sig mod snigende angreb om natten og i weekenden?

"Den eneste løsning er at sikre, at disse aktiver overvåges med samme omhu kl. 1, som de er kl. 1," siger Malwarebytes senior trusselsefterretningsforsker Mark Stockley til ISMS.online.

"Det kan opnås ved at bemande et internt Security Operations Center (SOC), der opererer 24/7. Men for de fleste organisationer er det mere praktisk og omkostningseffektivt at bruge en tredjepartstjeneste, såsom Managed Detection and Response (MDR), eller at få en Managed Service Provider (MSP) til at gøre det."

Efterhånden som DORA-æraen nærmer sig, bliver sådanne foranstaltninger i stigende grad nødvendige for finansielle serviceorganisationer og deres leverandører. Kontinuerlig overvågning, 24/7-hændelsesberedskab, robust forretningskontinuitetsplanlægning og regelmæssige tests vil alt sammen være påkrævet for at tilfredsstille regulatorer, at modstandskraften er på et passende niveau.

Stockley mener, at best practice standarder og rammer som ISO 27001 kan hjælpe med at få organisationer til dette punkt.

"Som enhver standard eller rammeværk er ISO 27001 et middel til at nå et mål. Organisationer kan nå frem til det niveau af informationssikkerhed, de har brug for, uden det, men standarder og rammer kan fungere som nyttige kort, der hjælper dem med at komme dertil og blive der,” tilføjer han. ”Det rigtige valg af rammer afhænger af organisationens niveau af sikkerhedsmodenhed. I sidste ende er cyberkriminelle ligeglade med, hvilke certificeringer du har; de er kun ligeglade, hvis de bliver stoppet.”