H\u00e4r \u00e4r ett dussintal s\u00e4tt f\u00f6r IT-teams av alla storlekar att inr\u00e4tta automatiserade varningar f\u00f6r att uppt\u00e4cka ransomware-attacker innan det \u00e4r f\u00f6r sent.\u00a0\u00a0<\/strong><\/p>\n Det \u00e4r galet att t\u00e4nka sig att det i maj var fem \u00e5r sedan WannaCry-utbrottet<\/a> bidrog till att g\u00f6ra ransomware till ett k\u00e4nt namn. P\u00e5 m\u00e5nga s\u00e4tt k\u00e4nns det som om det var en livstid sedan (eller l\u00e4ngre). Exempel: J\u00e4mf\u00f6rt med de skr\u00e4mmande siffrorna i dagens rapporter kan vissa av de utpressningsrelaterade siffrorna fr\u00e5n 2017 verka pittoreska.<\/p>\n Mycket har uppenbarligen f\u00f6r\u00e4ndrats, och med miljarder dollar p\u00e5 spel \u00e4r det en kraftig underdrift att s\u00e4ga att dagens utpressningsverksamhet har mognat och utvecklats.<\/p>\n Som s\u00e4kerhetsforskaren Kevin Beaumont uttrycker det i ett blogginl\u00e4gg som alla borde l\u00e4sa:<\/p>\n <\/p>\n ”En ransomware-grupp som fick 40 miljoner dollar f\u00f6r att attackera ett f\u00f6rs\u00e4kringsbolag f\u00f6r cybers\u00e4kerhet<\/a> ger angriparna mer budget f\u00f6r att genomf\u00f6ra cyberattacker \u00e4n vad de flesta medelstora och stora organisationer har f\u00f6r att f\u00f6rsvara sig mot attacker totalt sett. Och det \u00e4r bara en attack, fr\u00e5n en grupp, som knappt kom upp p\u00e5 de flesta m\u00e4nniskors nyhetsradar.”<\/strong><\/p>\n – Kevin Beaumont, ”The Hard Truth about Ransomware”<\/a><\/p><\/blockquote>\n <\/p>\n Det \u00e4r en allvarlig bed\u00f6mning, men innan vi b\u00f6rjar l\u00e4ngta tillbaka till de ”enklare” dagarna 2017 \u00e4r det ocks\u00e5 v\u00e4rt att t\u00e4nka p\u00e5 att \u00e4ven om vi har sett saker och ting f\u00f6r\u00e4ndras under de senaste fem \u00e5ren, finns det ocks\u00e5 en hel del som inte har f\u00f6r\u00e4ndrats.<\/p>\n Ja, ekosystemet f\u00f6r cyberbrottslighet har exploderat kring ransomware, och visst har angreppsgrupper samlat p\u00e5 sig enorma krigskassor f\u00f6r att k\u00f6pa zero-days och lansera bug bounty-program<\/a>. Men sanningen \u00e4r att trots allt detta arbetar majoriteten fortfarande med l\u00e5gt h\u00e4ngande frukter. Varf\u00f6r ska du vara s\u00e5 sofistikerad och fin n\u00e4r du \u00e4nd\u00e5 kan f\u00e5nga m\u00e5nga m\u00e4nniskor i s\u00f6mnen med det enklaste av allt?<\/p>\n Ja, det \u00e4r sv\u00e5rt f\u00f6r dagens organisationer att f\u00f6rebygga, men det har det alltid varit, och jag \u00e4r inte helt \u00f6vertygad om att det \u00e4r exponentiellt<\/em> sv\u00e5rare idag \u00e4n f\u00f6r fem \u00e5r sedan. Sanningen \u00e4r att starka grunder och grundl\u00e4ggande skydd av enheter kan hj\u00e4lpa sm\u00e5 och medelstora f\u00f6retag en bra bit p\u00e5 v\u00e4g.<\/p>\n Men det h\u00e4r inl\u00e4gget handlar om uppt\u00e4ckt, eller hur? N\u00e5v\u00e4l, samma sak g\u00e4ller \u00e4ven i detta fall. De flesta organisationer kommer fortfarande att beh\u00f6va dedikerade resurser (interna eller outsourcade) f\u00f6r att implementera och aktivt \u00f6vervaka de uppt\u00e4cktsm\u00f6jligheter som vi kommer att ta upp h\u00e4r, men intr\u00e4desbarri\u00e4ren \u00e4r inte n\u00f6dv\u00e4ndigtvis s\u00e5 h\u00f6g som vissa s\u00e4kerhetsleverant\u00f6rer vill f\u00e5 dig att tro.<\/p>\n Ett exempel p\u00e5 detta: Nedan f\u00f6ljer 12 bra, grundl\u00e4ggande id\u00e9er f\u00f6r uppt\u00e4ckt som kan ge resultat utan att kosta en f\u00f6rm\u00f6genhet.<\/p>\n L\u00e5t oss g\u00e5 in p\u00e5 dem.<\/p>\n Till att b\u00f6rja med kan vi komma \u00f6verens om att det \u00e4r en om\u00f6jlig uppgift att f\u00f6rs\u00f6ka uppt\u00e4cka ransomware-attacker efter utf\u00f6randet (utf\u00f6rbara utpressningsvirus som aktivt k\u00f6rs och krypterar data). N\u00e5gra av de mest utbredda varianterna av ransomware kan kryptera 100 000 filer p\u00e5 mindre \u00e4n fem minuter<\/a>.<\/p>\n F\u00f6rs\u00f6k att uppt\u00e4cka och reagera p\u00e5 pl\u00f6tsliga massf\u00f6r\u00e4ndringar av filnamn etc. \u00e4r ofta lite f\u00f6r sent.<\/p>\n AV \/ EDR \u00e4r uppenbarligen utformade f\u00f6r att blockera exekverbara ransomware, men detektions- och blockeringsfrekvensen \u00e4r inte perfekt, och \u00e4ven om de lyckas blockera en exekverbar fil s\u00e5 l\u00f6ser det inte problemet att angriparna har f\u00e5tt tillg\u00e5ng till den. Om de misslyckas en g\u00e5ng f\u00f6rs\u00f6ker de igen.<\/p>\n Det \u00e4r ocks\u00e5 vanligt att angripare anv\u00e4nder verktyg och spelb\u00f6cker som \u00e4r utformade f\u00f6r att f\u00e5 ut\u00f6kade privilegier s\u00e5 att de kan inaktivera s\u00e4kerhetsverktyg (och s\u00e4kerhetskopior).<\/p>\n D\u00e4rf\u00f6r \u00e4r det b\u00e4sta tillf\u00e4llet att uppt\u00e4cka och avbryta attacker tidigt, helst n\u00e4r du har att g\u00f6ra med ofta automatiserade f\u00f6rs\u00f6k att landa och etablera sig p\u00e5 dina system. Det \u00e4r mycket l\u00e4ttare att kv\u00e4va angreppen i sin linda \u00e4n att ta itu med n\u00e4sta steg, n\u00e4r du har att g\u00f6ra med en m\u00e4nsklig hackare som arbetar med en bepr\u00f6vad spelbok och m\u00e5nga verktyg som \u00e4r utformade f\u00f6r att hj\u00e4lpa dem att snabbt kartl\u00e4gga ditt n\u00e4tverk och ta det i besittning helt och h\u00e5llet.<\/p>\n <\/p>\n S\u00e5 n\u00e4r vi talar om att uppt\u00e4cka ransomware \u00e4r det kanske b\u00e4ttre att fr\u00e5ga: ”Hur uppt\u00e4cker vi de tidiga varningssignalerna f\u00f6r en kompromiss<\/em> som snabbt kan leda<\/em> till ransomware?”<\/strong><\/p><\/blockquote>\n <\/p>\n Och betoningen ligger v\u00e4ldigt mycket p\u00e5 ”snabbt” Rapporter visar att ransomware kan spridas fr\u00e5n den f\u00f6rsta \u00e5tkomsten till dagar eller till och med bara timmar senare. Se DFIR-rapportens uppdelningar av ”IcedID to XingLocker ransomware in 24 hours<\/a>” och ”Netwalker Ransomware in 1 Hour<\/a>”<\/p>\n Med s\u00e5 lite tid f\u00f6r att identifiera hotet och reagera \u00e4r det viktigt att ha verktyg och erfarna experter som aktivt \u00f6vervakar systemen och \u00e4r redo att reagera (helst med hj\u00e4lp av automatisering).<\/p>\n Den goda nyheten \u00e4r att \u00e4ven om det finns en m\u00e4ngd olika angreppsgrupper och varianter, s\u00e5 anv\u00e4nder de flesta fortfarande gemensamma playbooks och verktyg. Tack vare det arbete som forskare som The DFIR Report<\/a> och andra utf\u00f6rt kan f\u00f6rsvarare l\u00e4ra sig de vanligaste TTP:erna och bygga upp detekteringsmekanismer d\u00e4refter.<\/p>\n Nedan f\u00f6ljer en lista \u00f6ver uppt\u00e4cktsm\u00f6jligheter som \u00e4r kopplade till vanliga angreppsm\u00f6nster f\u00f6r ransomware (en stor inspiration fr\u00e5n DFIR Report’s 2021 Year in Review<\/a>). Listan \u00e4r inte helt\u00e4ckande, men den b\u00f6r ge dig en bra v\u00e4gledning f\u00f6r att komma ig\u00e5ng.<\/p>\n Om du anv\u00e4nder en l\u00f6sning f\u00f6r hantering av endpoints eller en<\/a>fj\u00e4rrhanteringsl\u00f6sning<\/a> som NinjaOne kan du skapa \u00f6vervaknings- och varningsvillkor f\u00f6r m\u00e5nga av dessa uppt\u00e4ckter som du sedan enkelt kan distribuera till alla enheter, vilket g\u00f6r att du och ditt team slipper manuellt arbete. Du kan ocks\u00e5 bygga upp automatiska \u00e5tg\u00e4rder som du vill att varningar ska utl\u00f6sa, till exempel automatisk ominstallation\/omstart av AV\/EDR-processer om de identifieras som saknade\/avaktiverade.<\/a><\/p>\n Om du vill ta allt detta ett steg l\u00e4ngre har folket p\u00e5 The DFIR Report ocks\u00e5 delat med sig av en massa extremt anv\u00e4ndbara Sigma-regler<\/a> som du kan anv\u00e4nda med Chainsaw, ett gratis verktyg med \u00f6ppen k\u00e4llkod fr\u00e5n F-Secure Labs<\/a> som erbjuder ett snabbt s\u00e4tt att kamma igenom h\u00e4ndelseloggar och uppt\u00e4cka misst\u00e4nkta tecken p\u00e5 en attack.<\/p>\n Rapporter om misst\u00e4nkt e-post fr\u00e5n slutanv\u00e4ndare:<\/strong> De f\u00e5r inte samma rubriker som nolldagss\u00e5rbarheter, men vanliga skadliga e-postmeddelanden som \u00e4r utformade f\u00f6r att lura anv\u00e4ndare att ladda ner och k\u00f6ra skadlig kod forts\u00e4tter att vara en av de vanligaste initiala angreppsmetoderna<\/a>. Varf\u00f6r? F\u00f6r att de fortfarande fungerar.<\/p>\n Misst\u00e4nkta RDP-anslutningar:<\/strong> Exponerad RDP \u00e4r en annan angreppsmetod som vissa IT- och s\u00e4kerhetsansvariga kanske rullar med \u00f6gonen \u00e5t, men den forts\u00e4tter att vara en av de fr\u00e4msta punkterna f\u00f6r inledande intr\u00e5ng i samband med ransomware.<\/p>\n <\/p>\n Misst\u00e4nkt skapande av schemalagda arbetsuppgifter<\/strong>: Ett av de vanligaste s\u00e4tten f\u00f6r angripare att f\u00e5 en l\u00e5ngvarig n\u00e4rvaro i ett system.<\/p>\n Ov\u00e4ntad programvara f\u00f6r fj\u00e4rr\u00e5tkomst:<\/strong> En annan taktik som har blivit allt vanligare \u00e4r att angriparna installerar programvara fr\u00e5n tredje part, till exempel AnyDesk (den i s\u00e4rklass mest popul\u00e4ra), Atera, TeamViewer och Splashtop.<\/p>\n Dessutom kan du \u00f6vervaka Windows Event ID 7045.\u00a0 <\/span><\/p>\n <\/p>\n Extrahering av autentiseringsuppgifter fr\u00e5n Windows Local Security Authority Subsystem (LSASS):<\/strong> Det finns andra s\u00e4tt f\u00f6r angripare att skrapa autentiseringsuppgifter, men detta \u00e4r ett av de absolut vanligaste s\u00e4tten.<\/p>\n <\/p>\n Inaktivera\/avinstallera antivirus och andra s\u00e4kerhetsverktyg:<\/b> Varf\u00f6r ska du f\u00f6rs\u00f6ka ta dig f\u00f6rbi s\u00e4kerhetsverktygen n\u00e4r du helt enkelt kan st\u00e4nga av dem?<\/span><\/p>\n <\/p>\n Ov\u00e4ntad anv\u00e4ndning av verktyg f\u00f6r portscanning och n\u00e4tverksidentifiering: <\/b>N\u00e4r ett strandhuvud v\u00e4l har etablerats m\u00e5ste angriparna se sig omkring f\u00f6r att se var de har landat och identifiera de b\u00e4sta m\u00f6jligheterna till sidof\u00f6rflyttning. M\u00e5nga kommer att anv\u00e4nda sig av inbyggda Windows-verktyg som nltest.exe, ipconfig, whoami etc. samt ADFind. Andra anv\u00e4nder verktyg f\u00f6r portscanning som Advanced IP Scanner.<\/span><\/p>\n <\/p>\n Misst\u00e4nkt anv\u00e4ndning av Cobalt Strike: <\/b>Cobalt Strike \u00e4r en ”programvara f\u00f6r simulering av motst\u00e5ndare” som tyv\u00e4rr har blivit lika popul\u00e4r bland angripare som den var f\u00f6r den avsedda m\u00e5lgruppen penetrationstestare. Det g\u00f6r det otroligt l\u00e4tt att utf\u00f6ra en m\u00e4ngd olika taktiker efter exploateringen och dyker regelbundet upp som ett missbrukat verktyg i incidenter med ransomware.<\/span><\/p>\n Ov\u00e4ntad programvara f\u00f6r fj\u00e4rr\u00e5tkomst: <\/b>Se avsnittet om fj\u00e4rr\u00e5tkomst i avsnittet ”Persistens” ovan.<\/span><\/p>\n Misst\u00e4nkta fj\u00e4rr\u00e5tkomstanslutningar:<\/b> Det kan handla om anv\u00e4ndning av RDP, SMB, VNC med mera <\/span><\/p>\n Misst\u00e4nkt anv\u00e4ndning av PsExec: <\/b>PsExec \u00e4r ett annat inbyggt Microsoft-verktyg som angriparna har b\u00f6rjat missbruka. Det g\u00f6r det m\u00f6jligt att utf\u00f6ra kommandon eller skript p\u00e5 distans som SYSTEM.<\/span><\/p>\n <\/p>\n Misst\u00e4nkta utg\u00e5ende anslutningar och trafikspikar:<\/b> F\u00f6r att f\u00e5 st\u00f6rre inflytande \u00f6ver offren blir det allt vanligare att angriparna inte bara krypterar data utan ocks\u00e5 exfiltrerar dem f\u00f6rst. Det ger dem ytterligare ett hot om att s\u00e4lja uppgifterna eller l\u00e4gga ut dem p\u00e5 n\u00e4tet <\/span><\/p>\n Missbruk av inbyggda verktyg och verktyg f\u00f6r fil\u00f6verf\u00f6ring med \u00f6ppen k\u00e4llkod:<\/b> Angripare \u00e4lskar att anv\u00e4nda legitima verktyg som kan hj\u00e4lpa dem att sm\u00e4lta in i m\u00e4ngden. N\u00e4r det g\u00e4ller dataexfiltrering ing\u00e5r Microsoft BITS, curl.exe, Rclone, Mega (MegaSync och MegaCmd) med flera.<\/span><\/p>\n <\/p>\n Att aktivt \u00f6vervaka och varna f\u00f6r den h\u00e4r typen av aktiviteter kan vara en utmaning f\u00f6r organisationer som inte har en kunnig och utbildad dedikerad resurs. I m\u00e5nga fall kan det vara en bra l\u00f6sning att samarbeta med r\u00e4tt experter p\u00e5 entreprenad <\/span><\/p>\n F\u00f6r fler exempel p\u00e5 automatiseringar som IT-teams kan utnyttja med Ninja, se <\/span>”What Should You Be Monitoring with Your RMM? 28 Recommendations.”<\/span><\/a><\/p>\n NinjaOne samarbetar ocks\u00e5 med Bitdefender f\u00f6r att tillhandah\u00e5lla en integrerad anti-ransomware-l\u00f6sning som en del av v\u00e5r enhetliga plattform f\u00f6r IT-hantering. Genom att inkludera<\/span> Ninja + Bitdefender GravityZone + Ninja Data Protection hj\u00e4lper NinjaOne Protect-paketet<\/a> till att f\u00f6rebygga, uppt\u00e4cka och reagera p\u00e5 ransomware-attacker, vilket potentiellt kan minska den skadliga inverkan p\u00e5 ditt f\u00f6retag. <\/span><\/p>\n\n
\n
Hur man uppt\u00e4cker ransomware (eller \u00e4nnu b\u00e4ttre, n\u00e4r)<\/h2>\n
Okej, s\u00e5 vad \u00e4r tidiga varningssignaler f\u00f6r ransomware och goda m\u00f6jligheter till uppt\u00e4ckt?<\/h2>\n
Typer av utpressningstekniker och hur man identifierar dem – m\u00f6jligheter till uppt\u00e4ckt per angreppsstadium<\/h2>\n
F\u00f6rsta tilltr\u00e4de<\/h3>\n
\n
\n
Uth\u00e5llighet<\/h3>\n
\n
\n
Upptrappning av privilegier \/ tillg\u00e5ng till autentiseringsuppgifter<\/h3>\n
\n
F\u00f6rsvar undvikande<\/h3>\n
\n
Uppt\u00e4ckande<\/h3>\n
\n
Sidof\u00f6rflyttning<\/h3>\n
\n
\n
\n
Exfiltrering av data<\/h3>\n
\n
\n
L\u00e4gg till ett lager av ransomware-uppt\u00e4ckning som \u00e4r hanterbart och skalbart<\/h2>\n