Groep criminelen slaat ransomware over en steelt alleen data voor afpersing
De afgelopen maanden is een toenemend aantal bedrijven en organisaties afgeperst door een groep criminelen die binnen dertig minuten op systemen weet in te breken en allerlei data steelt. Als de getroffen organisatie geen losgeld betaalt dreigt de groep gestolen data openbaar te maken.
In tegenstelling tot veel andere aanvallen die de afgelopen maanden plaatsvonden maakt deze groep geen gebruik van ransomware. Dat meldt securitybedrijf NCC Group in een analyse. De groep wordt vanwege de snelle aanvallen en het gebruik van de tool mc.exe voor het exfiltreren van data "SnapMC" genoemd.
Om toegang tot systemen en netwerken van organisaties te krijgen maakt de groep gebruik van bekende kwetsbaarheden in webserver-applicaties en vpn-oplossingen. Het gaat onder andere om een twee jaar oude kwetsbaarheid in Telerik UI waar sinds december 2019 een beveiligingsupdate voor beschikbaar is, maar die niet door getroffen organisaties is geïnstalleerd.
Zodra de aanvallers toegang tot een systeem hebben maken ze gebruik van de PrintNightmare-kwetsbaarheid om hun rechten te verhogen. Voor dit beveiligingslek is sinds 8 juni van dit jaar een patch beschikbaar. Vervolgens wordt er via een script allerlei data in CSV-bestanden opgeslagen, die door middel van 7-Zip worden gearchiveerd. Uiteindelijk wordt de verzamelde data via de MinIO-client naar de aanvallers gestuurd.
"De toegang werd via bekende kwetsbaarheden verkregen waarvoor patches beschikbaar zijn. Het tijdig patchen en het up-to-date houden van apparaten is de meest effectieve manier om dit soort aanvallen te voorkomen", aldus het securitybedrijf. Dat adviseert organisaties om geregeld het eigen netwerk op kwetsbaarheden te scannen.
2 Systemen die geheel los staan van elkaar, 1 Intern en 1 verbinding met de buitenwereld.
Onmogelijk ?? Misschien als je alleen door onze bestaande brillen van IT kijkt en niet buiten die blik wilt kijken.
Het is soms moeilijk overzicht te houden over de data die je hebt. Nieuwe hardware is een mooie gelegenheid dingen off-line te zetten waardoor je backups ook kleiner worden. Het niet verzamelen van data in de eerste plaats is natuurlijk de beste remedie tegen deze aanvallen.
Hoe gaan bedrijven zich hier tegen verzekeren zoals de laatste tijd veel geroepen wordt?
2 Systemen die geheel los staan van elkaar, 1 Intern en 1 verbinding met de buitenwereld.
Onmogelijk ?? Misschien als je alleen door onze bestaande brillen van IT kijkt en niet buiten die blik wilt kijken.
Neem een contract bij een hierin gespecialiseerd beveiligingsbedrijf. De kosten haal men er zo uit.
Bovendien bleken de aanvallers met de rechten en privileges van het gehackte account (of accounts) in veel gevallen voldoende gegevens bij elkaar te kunnen harken (d.w.z. zonder privilege escalation).
Er zijn dus weinig aangrijpingspunten voor vroegtijdige detectie, en als de aanval binnen een half uur plaatsvindt, zal bijtijds handmatig ingrijpen sowieso niet meevallen.
Straks ligt echt al onze data op straat daar kun je op wachten.
Die cybercriminelen wachten niet op een vergadering.
Ik zou het als een hele ernstige waarschuwing beschouwen om in ieder geval elk overheid structuur zo snel mogelijk te updaten naar het laatste level.
Stap 1 is echter asset en patch management. Weet wat er op je netwerk thuis hoort en zorg er voor dat de software/firmware/os up to date zijjn.....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
