INC Ransomware: O Eroare Operațională A Permis Recuperarea Datelor Criptate Pentru 12 Organizații Din SUA

În acest material discutăm despre o situație în care datele compromise în urma unui atac de tip ransomware au fost recuperate.

Dar să nu jubilăm: nu toți hackerii sunt neglijenți, așa cum au fost cei de la INC.

Un incident recent din zona securității cibernetice scoate în evidență faptul că, chiar și în cazul grupărilor de ransomware bine organizate, greșelile operaționale pot avea consecințe semnificative. Gruparea INC, cunoscută pentru atacuri de tip ransomware asupra organizațiilor mari, a comis o eroare de securitate care a permis cercetătorilor să recupereze datele sustrase de la 12 entități din Statele Unite.

Cazul demonstrează atât complexitatea atacurilor moderne, cât și importanța investigațiilor tehnice detaliate în procesul de răspuns la incidente.

Ce s-a întâmplat în acest caz

Incidentul a fost identificat în urma detectării unei activități anormale pe un server de producție utilizat într-un mediu enterprise. Analiza inițială a indicat prezența unei variante de ransomware asociate grupării INC, care a fost lansată dintr-un director standard al sistemului de operare, o metodă des întâlnită pentru a evita detecția inițială.

În timpul investigației forensice, cercetătorii au descoperit utilizarea unui instrument legitim de backup de către atacatori. Prezența unor scripturi automate, variabile hard-codate și comenzi specifice a sugerat faptul că infrastructura folosită pentru stocarea datelor furate nu a fost securizată corespunzător după finalizarea atacurilor.

Această eroare de operare a permis accesul la arhivele criptate conținând datele exfiltrate de la multiple organizații. După identificare, datele au putut fi decriptate și validate, iar informațiile relevante au fost păstrate ca dovezi și corelate cu victimele afectate.

Organizațiile vizate proveneau din domenii variate, precum sănătate, producție și tehnologie, subliniind încă o dată caracterul larg și nediscriminatoriu al atacurilor ransomware moderne.

Ce este ransomware și cum funcționează

Ransomware este un tip de malware conceput pentru a bloca accesul la date sau sisteme informatice, prin criptare, până la plata unei recompense. În majoritatea cazurilor, atacurile de acest tip urmează un tipar bine definit:

• compromiterea inițială a infrastructurii prin vulnerabilități sau campanii de phishing;
• escaladarea privilegiilor și mișcarea laterală în rețea;
• exfiltrarea datelor sensibile;
• criptarea sistemelor și afișarea cererii de răscumpărare.

În ultimii ani, aceste atacuri au evoluat către modelul de „dublă extorcare”, în care atacatorii nu doar criptează datele, ci amenință și cu publicarea acestora dacă plata nu este efectuată. În paralel, modelul „Ransomware-as-a-Service” a facilitat extinderea rapidă a acestor campanii la nivel global.

Cum protejăm infrastructura IT împotriva ransomware-ului

Protejarea infrastructurii IT împotriva amenințărilor de tip ransomware necesită o abordare coerentă, care să combine măsuri tehnice, procedurale și educaționale.

Actualizări periodice și patching

Implementarea regulată a actualizărilor pentru sistemele de operare și aplicațiile utilizate este esențială. Sesiunile de patching, planificate și controlate, reduc semnificativ riscul exploatării vulnerabilităților cunoscute.

Utilizarea soluțiilor de securitate

Pe lângă actualizări, este necesară utilizarea soluțiilor antivirus la nivelul stațiilor de lucru și serverelor. Firewall-urile hardware joacă un rol important în filtrarea traficului de rețea și pot bloca activități malițioase înainte ca acestea să afecteze infrastructura internă.

Implementarea unei politici solide de backup

Deși backup-ul nu previne infectarea cu ransomware, acesta reduce considerabil impactul unui atac. Restaurarea datelor din copii de siguranță bine configurate implică costuri mult mai mici decât plata unei recompense și elimină dependența de promisiunile atacatorilor.

Instruirea utilizatorilor

Utilizatorii reprezintă una dintre cele mai frecvente ținte ale atacurilor ransomware. Instruirea acestora pentru a recunoaște mesajele de tip spam, atașamentele suspecte și tentativele de phishing este o componentă critică în strategia de securitate.

Aplicate corect, aceste măsuri diminuează considerabil riscul ca datele unei organizații să fie compromise și să devină inutilizabile.

Concluzie

Incidentul care implică gruparea INC arată că, în ciuda nivelului ridicat de sofisticare al atacurilor ransomware, greșelile operaționale ale atacatorilor pot duce la rezultate favorabile pentru victime. Totodată, cazul subliniază importanța investițiilor continue în securitatea infrastructurii IT, în procesele de răspuns la incidente și în pregătirea utilizatorilor.

Într-un context în care ransomware-ul rămâne una dintre cele mai mari amenințări cibernetice, prevenția și reacția rapidă rămân cele mai eficiente instrumente de apărare.

Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.

Zemernett este o companie de prestari servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.