תוכנת כופר היא סיפור אבטחת הסייבר של העשור האחרון. אבל במהלך הזמן הזה, הטקטיקות, הטכניקות והנהלים של היריב (TTPs) המשיכו להשתנות בהתאם למירוץ החימוש המתפתח ללא הרף בין תוקפים למגיני רשת. עם מספרים נמוכים היסטורית של חברות קורבנות שבוחרות לשלם לסחטנים שלהן, שותפי תוכנת כופר מתמקדים במהירות, תזמון והסוואה.
השאלה היא: כאשר רוב ההתקפות מתרחשות כעת בסופי שבוע ובשעות הבוקר המוקדמות, האם למגני הרשת עדיין יש את הכלים והתהליכים הנכונים כדי להפחית את האיום? ארגוני שירותים פיננסיים, בפרט, יזדקקו לתשובה דחופה לשאלות כאלה לפני עמידה בחוק החוסן התפעולי הדיגיטלי (DORA) של האיחוד האירופי.
כוח לחוזק /
לפי מדד אחד, תוכנות כופר ממשיכות לשגשג. השנה צפויה להיות השנה הרווחית ביותר אי פעם, על פי ניתוח של תשלומי קריפטו לכתובות המקושרות לפשיעה. על פי דו"ח מאוגוסט של חוקרת הבלוקצ'יין Chainalysis , "זרימות" תוכנות הכופר מתחילת השנה (YTD) עומדות על 460 מיליון דולר, עלייה של כ-2% לעומת התקופה המקבילה אשתקד (449 מיליון דולר). החברה טוענת שעלייה זו נובעת בעיקר מ"ציד חיות גדולות" - הטקטיקה של רדיפה אחר פחות קורבנות של תאגידים גדולים שעשויים להיות מסוגלים ומוכנים יותר לשלם כופר גדול יותר. התיאוריה מאוששת בתשלום אחד של 75 מיליון דולר על ידי חברה אנונימית, לקבוצת תוכנות הכופר Dark Angels מוקדם יותר השנה - הגדול ביותר שתועד אי פעם.
בסך הכל, תשלום הכופר החציוני לזני תוכנות הכופר הנפוצות ביותר עלה אף הוא - מקצת פחות מ-200,000 דולר בתחילת 2023 ל-1.5 מיליון דולר באמצע יוני 2024. Chainalysis טוענת כי הדבר מצביע על כך "שהזנים הללו נותנים עדיפות להתמקדות לעסקים גדולים יותר ולספקי תשתית קריטיים. עשוי להיות בעל סיכוי גבוה יותר לשלם כופר גבוה בשל כיסיהם העמוקים וחשיבותם המערכתית. ”
החוזק לכאורה של המערכת האקולוגית של תוכנות הכופר מרשים עוד יותר בהתחשב בניצחונות אכיפת החוק מוקדם יותר השנה, אשר לכאורה שיבשו שתי קבוצות עיקריות: LockBit ו-ALPHV/BlackCat. Chainalysis טוענת שמאמצים אלה פילגו במידה מסוימת את תחום פשיעת הסייבר, כאשר חברות בנות עברו ל"זנים פחות יעילים" או השיקו זנים משלהן. ממצא זה עולה בקנה אחד עם ניתוח לרבעון השני של 2024 על ידי מומחית תוכנות הכופר Coveware, שטוענת כי נצפתה עלייה במספר קבוצות "הזאבים הבודדים" שאינן קשורות לאף "מותג" כופר מרכזי. רבות קיבלו החלטה זו "בשל האיום הגובר של חשיפה, הפרעה ואובדן רווחים הקשורים למותגי כופר 'רעילים'", נכתב בחברה.
עם זאת, השורה התחתונה היא ששחקני האיום הללו עדיין פעילים. ועם שיעורי התשלומים בירידה משיא של כ-85% מהקורבנות ב-2019 לכשליש מזה היום, הם תמיד מחפשים דרכים להפוך את המאמצים שלהם ליעילים יותר.
תזמון הוא הכל
דו"ח חדש של קבוצת ThreatDown של Malwarebytes חושף בדיוק כיצד הם מקווים לעשות זאת. הדיווח טוען כי במהלך השנה האחרונה, יותר קבוצות כופר תקפו קורבנות בסופי שבוע ובשעות הבוקר המוקדמות. צוות האיומים טיפל ברוב ההתקפות בין השעות 1 ל-5 לפנות בוקר שעון מקומי.
הסיבה ברורה: שחקני האיום מקווים לתפוס ארגון כשצוות ה-IT שלו ישן שינה עמוקה או יטען את המצברים שלו בסוף השבוע.
יתר על כן, הדו"ח טוען כי ההתקפות נעשות מהירות יותר. בשנת 2022, מחקר של Splunk בדק 10 גרסאות מובילות של תוכנות כופר ומצא כי המהירות החציונית להצפנת 100,000 קבצים הייתה 43 דקות בלבד, כאשר LockBit היא המהירה ביותר מכולן עם ארבע דקות בלבד. אבל מה ש-Malwarebytes רואה הוא האצה של כל שרשרת ההתקפה - החל מגישה ראשונית ועד לתנועה צידית, חילוץ נתונים ולבסוף, הצפנה. זה נותן למגני הרשת חסרי העין אפילו פחות זמן להגיב ולבלום איום לפני שיהיה מאוחר מדי.
הדו"ח גם טוען ששחקנים זדוניים יותר משתמשים בטכניקות Living Off the Land (LOTL), המשתמשות בכלים ותהליכים לגיטימיים כדי להישאר מוסתרים בתוך רשתות תוך השגת מטרות אלו. "תקריות לקוחות אחרונות של כנופיות מובילות כמו LockBit, Akira ומדוזה חושפות שרוב שרשרת התקפות תוכנת הכופר המודרנית מורכבת כעת מטכניקות LOTL", נכתב.
כיצד להפחית את הסיכון של תוכנת כופר בשנת 2024
התקפות ציד גדולות עשויות לצבור את רוב הכותרות, אבל האמת היא שרוב נפגעי תוכנות הכופר הם מבחינה טכנית SMBs. Coveware טוענת שהגודל החציוני ברבעון השני של 2 היה רק 2024 עובדים. אז איך הארגונים האלה יכולים לקוות להתגונן מפני התקפות חמקניות בלילה ובסופי שבוע?
"הפתרון היחיד הוא להבטיח שהנכסים האלה יהיו מנוטרים באותה הקפדה בשעה 1:1 כפי שהם נמצאים בשעה XNUMX:XNUMX", אומר חוקר מודיעין האיומים הבכיר של Malwarebytes, מארק סטוקלי, ל-ISMS.online.
"ניתן להשיג זאת על ידי איוש מרכז פעולות אבטחה פנימי (SOC) הפועל 24/7. אבל עבור רוב הארגונים, זה מעשי וחסכוני יותר להשתמש בשירות של צד שלישי, כמו Managed Detection and Response (MDR), או לספק שירות מנוהל (MSP) לעשות זאת."
ככל שעידן DORA מתקרב, צעדים כאלה יהיו נחוצים יותר ויותר עבור ארגוני שירותים פיננסיים וספקיהם. ניטור רציף, מוכנות לתגובה לאירועים 24/7, תכנון המשכיות עסקית איתנה ובדיקות שוטפות יידרשו כולם כדי להבטיח את הרגולטורים שהחוסן הוא ברמה המתאימה.
סטוקלי מאמין שתקני שיטות עבודה מומלצות ומסגרות כמו ISO 27001 יכולים לעזור להביא ארגונים לנקודה זו.
"כמו כל תקן או מסגרת, ISO 27001 הוא אמצעי להשגת מטרה. ארגונים יכולים להגיע לרמת אבטחת המידע שהם צריכים בלעדיה, אבל תקנים ומסגרות יכולים לשמש כמפות שימושיות כדי לעזור להם להגיע לשם ולהישאר שם", הוא מוסיף. "הבחירה הנכונה של המסגרת תלויה ברמת הבשלות האבטחה של הארגון. בסופו של דבר, לפושעי סייבר לא אכפת אילו אישורים יש לך; אכפת להם רק אם יעצרו אותם".
