Dietro molti aggressori informatici non ci sono solo dei solitari in stanze buie. Piuttosto, alcuni gruppi APT si vedono come società commerciali che non agiscono più da sole, ma vendono solo i loro servizi e la loro tecnologia e raccolgono pesantemente. Questo fa soldi e riduce i rischi. Ecco una breve spiegazione di come funziona RaaS – Ransomware as-a-Service.
Nell'IT, i prodotti sono ora offerti principalmente come servizi, come Platform-as-a-Service (PaaS) o Infrastructure-as-a-Service (IaaS). Questi consistono in un gran numero di sottoservizi, a loro volta messi a disposizione da diversi fornitori in termini di divisione del lavoro e professionalizzazione: un concetto di successo di cui approfittano anche i criminali informatici. Diversi gruppi di aggressori forniscono le singole parti dell'intero servizio ransomware end-to-end. Questi blocchi di servizio ransomware sono ben descritti e possono essere facilmente acquistati in diversi livelli di qualità.
Modello di business del ransomware come servizio
Negli ultimi anni il Ransomware-as-a-Service (RaaS) si è trasformato in un vero e proprio modello di business con attori altamente professionali, anche perché la possibile superficie di attacco per i criminali informatici è aumentata in modo significativo. Si stima che nel 2020 il 64% di tutti gli attacchi ransomware sia stato effettuato utilizzando l'approccio RaaS.
Con il boom del lavoro da remoto e dell'home office, è aumentato anche il numero di dispositivi utilizzati al di fuori del perimetro aziendale protetto. Inoltre, a causa del passaggio a servizi e infrastrutture basati su cloud, gli scenari IT stanno diventando più complessi e sono quindi più difficili da proteggere. Gli aggressori devono solo trovare una singola vulnerabilità; Le organizzazioni devono coprire tutte le eventualità e stare al passo con le ultime strategie di attacco.
RaaS è un'azienda professionale
“Il business RaaS è diventato estremamente professionale negli ultimi anni: i provider criminali forniscono un'ampia varietà di strumenti di attacco e singole fasi di attacco come servizi e attribuiscono grande importanza al servizio. Gli strumenti vengono offerti insieme a guide pratiche per condurre attacchi, best practice, strategie ransomware e persino un helpdesk IT", spiega il Dr. Sebastian Schmerl, direttore dei servizi di sicurezza EMEA presso Arctic Wolf. "RaaS offre spesso esattamente il tipo di documentazione e architettura che ci si aspetterebbe dalle offerte SaaS tradizionali, ed è molto diverso dalla rappresentazione della cultura pop del solitario stereotipato con la felpa con cappuccio".
Come nel settore SaaS, esistono anche diverse strategie di prezzo per i fornitori di RaaS. Alcuni offrono i loro servizi di attacco come acquisto una tantum, altri tramite abbonamenti e altri ancora utilizzano una combinazione di abbonamento e una quota della quota di riscatto pagata allo sviluppatore dopo un attacco riuscito. In quest'ultimo caso, i fornitori sono piuttosto esigenti e lavorano solo con clienti che hanno un certo track record. Viene quindi effettuata una prima verifica di redditività.
Perché RaaS ha così tanto successo?
Le criptovalute sono un fattore critico per il successo di RaaS. Poiché valute come bitcoin e monero sono difficili da rintracciare, si prestano bene ai pagamenti RaaS e alle richieste di riscatto. Inoltre, le criptovalute sono relativamente facili da convertire in "denaro pulito", il che le rende attraenti per gli attori malintenzionati alla ricerca di un rapido profitto.
Per dirla semplicemente: RaaS ha così tanto successo perché il ransomware è un potente mezzo di pressione - parola chiave "doppia estorsione": crittografia IT combinata con la minaccia della divulgazione dei dati. Inoltre, quando i dati vengono rubati o bloccati, le aziende spesso non sanno cosa fare nella situazione. Spesso pensano che pagare il riscatto sia l'unica opzione, anche se LKA, BKA e BSI consigliano vivamente alle aziende di non farlo.
Non solo l'uso del ransomware è un'efficace strategia di attacco, ma i servizi RaaS sono anche relativamente facili da accedere, utilizzare e adattare. Gli aggressori utilizzano spesso una piattaforma ransomware per gestire le vittime e il loro stato e sviluppano continuamente questa piattaforma e i singoli moduli di attacco. Ciò consente loro di aggiungere facilmente nuove funzionalità che rendono la piattaforma ancora più "scalabile e produttiva". Alcuni gruppi di aggressori cooperano anche nell'elaborazione delle vittime e condividono il codice del motore di attacco.
Ecco come le aziende possono proteggersi
Sebbene gli aggressori siano organizzati e altamente professionali, le aziende possono proteggersi dagli attacchi ransomware. Il fattore più importante nella difesa dalle minacce informatiche è un approccio proattivo con misure preventive:
- Stabilire una mentalità di sicurezza o una cultura aziendale attenta alla sicurezza: questo inizia con l'educazione sull'igiene informatica e la consapevolezza che la sicurezza non è uno stato di cose, ma un processo continuo. Man mano che le minacce cambiano, l'intelligence sulle minacce dovrebbe essere sfruttata per adeguare le strategie di difesa e le risorse informative sulla sicurezza.
- Formazione dei dipendenti per aumentare la consapevolezza delle minacce e come individuare truffe di phishing e altri segnali di allarme. Ciò è particolarmente importante in quanto gli attacchi di ingegneria sociale sono diretti direttamente ai dipendenti.
- Sfrutta tutte le possibilità per aumentare la sicurezza dei dati, ad esempio attraverso backup più frequenti. I backup devono essere archiviati in aree di gestione separate in modo che non siano in pericolo insieme ai dati utilizzati attivamente (soluzione air-gapped).
- Patching regolare dei sistemi, poiché gli aggressori RaaS spesso sfruttano vulnerabilità note ed errori di configurazione.
- Ampio monitoraggio della sicurezza per identificare rapidamente gli attacchi informatici e intraprendere le azioni appropriate. Detection and Response è offerto anche come servizio Managed Detection and Response (MDR) da fornitori come Arctic Wolf.
A proposito di lupo artico Arctic Wolf è un leader globale nelle operazioni di sicurezza, fornendo la prima piattaforma di operazioni di sicurezza nativa del cloud per mitigare il rischio informatico. Sulla base della telemetria delle minacce che copre endpoint, rete e fonti cloud, Arctic Wolf® Security Operations Cloud analizza più di 1,6 trilioni di eventi di sicurezza alla settimana in tutto il mondo. Fornisce informazioni critiche per l'azienda su quasi tutti i casi d'uso della sicurezza e ottimizza le soluzioni di sicurezza eterogenee dei clienti. La piattaforma Arctic Wolf è utilizzata da oltre 2.000 clienti in tutto il mondo. Fornisce rilevamento e risposta automatizzati alle minacce, consentendo alle organizzazioni di tutte le dimensioni di impostare operazioni di sicurezza di livello mondiale con la semplice pressione di un pulsante.