Ransomware

Jak wykryć ransomware w sieci

Wykrywanie ransomware w sieci polega na wychwyceniu ataku na etapach, które poprzedzają zaszyfrowanie pierwszego pliku. Napastnik musi najpierw dostać się na maszynę, połączyć się z własnym serwerem, znaleźć serwery plików i kopie zapasowe, przejść na nie, a w większości obecnych ataków także wyprowadzić dane, by mieć drugi środek nacisku. Każdy z tych kroków przechodzi przez sieć i zostawia wzorzec: regularne połączenia z zewnętrznym serwerem, jeden host skanujący wiele innych, nowe sesje administracyjne, duży transfer danych w nocy. Szyfrowanie to ostatni krok i ten, który sieć widzi najsłabiej.

Fakt, od którego warto zacząć

We wspólnym komunikacie AA24-131A, opublikowanym po raz pierwszy 10 maja 2024 r., CISA, FBI i agencje partnerskie podały, że afilianci grupy Black Basta zaatakowali ponad 500 organizacji na świecie, stosowali model podwójnego wymuszenia, czyli szyfrowali systemy i wyprowadzali dane, a do wyprowadzania danych przed szyfrowaniem używali narzędzia RClone.

Źródło: CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024

Sygnały w sieci, w kolejności, w jakiej zwykle się pojawiają

Żaden z nich sam nie dowodzi ransomware. Widziane w tej kolejności albo razem zasługują na sprawdzenie jeszcze tego samego dnia.

  1. 01Nowy zewnętrzny serwer, z którym host łączy się regularnie

    Stacja robocza zaczyna łączyć się z celem, którego nikt inny nie używa, co kilka minut, w dzień i w nocy. To często kanał command-and-control napastnika albo narzędzie zdalnego dostępu, którego nikt nie zatwierdził.

  2. 02Jeden host skanujący sieć wewnętrzną

    Przejęta maszyna sprawdza wewnętrzne zakresy adresów pod kątem otwartych portów SMB (445), RDP (3389) i baz danych, szukając serwerów plików, kopii zapasowych i kontrolerów domeny.

  3. 03Nowe sesje administracyjne do wielu serwerów

    Zdalne sesje SMB, RDP lub WinRM ze stacji roboczej do serwerów, z którymi nigdy się nie łączyła, często poza godzinami pracy, pokazują, że napastnik zbliża się do danych.

  4. 04Duży transfer na zewnątrz, zanim cokolwiek zostanie zaszyfrowane

    Kopiowanie danych do chmury, na przykład narzędziem RClone, widać jako nietypowy wolumen danych wychodzących z serwera, który zwykle wysyła niewiele, często w nocy.

  5. 05Intensywne odczytywanie i nadpisywanie udziałów sieciowych

    Gdy zaczyna się szyfrowanie, jeden klient w krótkim czasie odczytuje i nadpisuje duże ilości danych na udziałach sieciowych. Na tym etapie najważniejsze jest odizolowanie.

Mapowanie na MITRE ATT&CK

Nazwy i identyfikatory technik pochodzą od MITRE. Ostatnia kolumna podaje kategorię detekcji NetSenX, do której należy taki ruch; nie oznacza, że wykrywany jest każdy wariant techniki.

TechnikaJak to wygląda w sieciDetekcja NetSenX
T1046 Network Service DiscoveryDiscoveryJeden host łączący się w krótkim czasie z wieloma adresami wewnętrznymi na portach SMB, RDP lub baz danych.Skanowanie
T1021.002 Remote Services: SMB/Windows Admin SharesLateral MovementStacja robocza otwierająca sesje SMB z udziałami administracyjnymi na serwerach, z którymi nigdy się nie łączyła.Ruch boczny
T1071 Application Layer ProtocolCommand and ControlMałe, regularne połączenia z jednym zewnętrznym celem przez HTTPS, w dzień i w nocy.Beaconing C2
T1567.002 Exfiltration Over Web Service: Exfiltration to Cloud StorageExfiltrationSerwer wysyłający do usługi przechowywania w chmurze znacznie więcej danych niż zwykle.Nietypowy wolumen danych wychodzących
T1486 Data Encrypted for ImpactImpactSzyfrowanie działa na hostach. Gdy obejmuje udziały sieciowe, jeden klient odczytuje i nadpisuje duże ilości danych przez SMB.Brak dedykowanej detekcji: NetSenX obserwuje kroki, które je poprzedzają

Co NetSenX robi już dziś

  • Wykrywa skanowanie, ruch boczny, beaconing C2 i nietypowy wolumen danych wychodzących na podstawie zachowania w sieci, w każdym planie, także w Free.
  • Wyjaśnia każdy alert prostym językiem, wymieniając cechy ruchu, które wpłynęły na jego ocenę, więc mały zespół odróżni włamanie od nowego zadania kopii zapasowej.
  • Podaje w alercie technikę MITRE ATT&CK, jeśli detekcja jej odpowiada, i pokazuje w widoku pokrycia, które techniki obejmują włączone detekcje.
  • Śledzi terminy z art. 23 NIS2, jeśli incydent okaże się poważny, i przygotowuje dla Twojego IOD zgłoszenie naruszenia z art. 33 RODO.

Czego NetSenX nie robi

NetSenX nie zatrzymuje szyfrowania na hoście, nie przywraca plików i nie ma dedykowanej detekcji samego szyfrowania: to obszar ochrony punktów końcowych (EDR) i kopii zapasowych offline. Widzi tylko monitorowane segmenty i nigdy nie deszyfruje ruchu. Atak, który zaczyna się i kończy na jednej maszynie, daje sieci niewiele do zobaczenia, a alert to powód do sprawdzenia, a nie dowód ransomware.

Pytania kupujących

Jakie są wczesne sygnały ransomware w sieci?

Regularne połączenia stacji roboczej z nowym zewnętrznym serwerem, jeden host skanujący wewnętrzne zakresy pod kątem portów SMB, RDP lub baz danych, nowe sesje administracyjne do wielu serwerów i duży transfer do chmury z serwera, który zwykle wysyła niewiele. Zwykle pojawiają się w tej kolejności, zanim jakikolwiek plik zostanie zaszyfrowany.

Czy monitoring sieci wykryje ransomware przed szyfrowaniem?

Często tak, bo kroki przed szyfrowaniem przechodzą przez sieć: połączenia command-and-control, skanowanie, ruch boczny i kradzież danych. To okno, w którym atak da się jeszcze zatrzymać. Nie każdy atak pokazuje wszystkie te kroki, a atak zamknięty na jednej maszynie daje sieci niewiele do zobaczenia.

Czy NetSenX zatrzymuje ransomware?

Nie. NetSenX zgłasza zachowanie w sieci, które zwykle poprzedza ransomware, więc zespół może działać, póki jest czas. Izolowanie hostów, usunięcie napastnika i odtworzenie danych pozostają po stronie Twojego zespołu, ochrony punktów końcowych i kopii zapasowych.

Co zrobić najpierw, gdy widzimy te sygnały?

Odłączyć dotknięte hosty od sieci, zachować ich logi, zresetować dane logowania używane na nich i zadzwonić do firmy reagującej na incydenty. Jeśli organizacja podlega NIS2, termin 24 godzin na wczesne ostrzeżenie biegnie od chwili, gdy dowiesz się o poważnym incydencie.

Źródła

  1. CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024
  2. MITRE ATT&CK — Data Encrypted for Impact (T1486)
  3. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.

Powiązane strony

Wypróbuj NetSenX we własnej sieci

Zacznij od planu Free dla maksymalnie 3 urządzeń albo umów 20-minutowe demo.

Zobacz cennikUmów demo