Spirals ransomware slår ut nätverk på mindre än 24 timmar

En nyupptäckt ransomwaregrupp med namnet Spirals visar hur snabbt en cyberattack kan utvecklas. I ett nyligen analyserat intrång tog angriparna kontroll över ett företags nätverk, spred sig mellan flera system, stal känslig information och krypterade miljön på mindre än ett dygn.

Händelsen visar att dagens ransomwaregrupper inte längre lägger flera dagar på att kartlägga offrets nätverk. I stället går de snabbt från första intrånget till fullskalig kryptering, vilket ger säkerhetsteam mycket begränsad tid att upptäcka och stoppa attacken.

Angriparna agerade direkt

Attacken började när cyberkriminella tog sig in via en webbserver som var exponerad mot internet.

Direkt efter intrånget säkrade de sin åtkomst och började höja sina behörigheter. De aktiverade fjärråtkomst, skapade administratörskonton och samlade in inloggningsuppgifter från komprometterade Windows-system.

Med hjälp av de stulna uppgifterna tog de snabbt kontroll över fler enheter. Inom några timmar hade de skapat förutsättningar för att genomföra ransomwareattacken i hela nätverket.

Säkerhetsskydd slogs ut

Innan angriparna aktiverade krypteringen riktade de in sig på organisationens säkerhetslösningar.

De stängde av skyddsfunktioner, inaktiverade Microsoft Defender och stoppade tjänster som användes av säkerhetskopieringsprogram, virtualiseringsplattformar och databasservrar.

Samtidigt skapade de flera alternativa vägar tillbaka in i nätverket. Om en anslutning blockerades kunde de snabbt använda en annan för att behålla kontrollen.

När skydden väl hade försvagats kunde de genomföra den sista fasen av attacken.

Spirals prioriterar snabb kryptering

Forskarna konstaterar att Spirals har utvecklats i programmeringsspråket Rust, som blivit allt vanligare bland ransomwareutvecklare.

Skadlig kod krypterar inte hela stora filer. I stället använder den så kallad intermittent kryptering, där endast delar av innehållet krypteras samtidigt som filerna blir obrukbara.

Den metoden gör att angriparna kan kryptera stora företagsnätverk betydligt snabbare än med traditionella tekniker.

För att undvika upptäckt utger sig ransomwareprogrammet dessutom för att vara en legitim Windows-process och använder administrativa verktyg som redan finns i många företagsmiljöer för att sprida sig vidare.

Datastöld ökar pressen på offren

Krypteringen var bara en del av attacken.

Innan angriparna låste systemen kopierade de känslig företagsinformation. Efter attacken lämnade de ett lösensummekrav där de hotade att publicera den stulna informationen om företaget inte inledde förhandlingar inom sex dagar.

Den här typen av dubbel utpressning har blivit en etablerad metod bland ransomwaregrupper. Även organisationer som återställer sina system från säkerhetskopior riskerar att få känsliga uppgifter publicerade.

Snabba attacker kräver snabbare försvar

Spirals visar hur ransomwareattacker fortsätter att utvecklas i hög takt.

Angripare genomför i dag operationer på några timmar som tidigare kunde ta flera dagar. Det gör tidig upptäckt betydligt viktigare än tidigare.

Organisationer bör skydda internetanslutna system, övervaka ovanlig administrativ aktivitet, säkra privilegierade konton och hålla säkerhetskopior åtskilda från produktionsmiljön.

När ransomware blir allt snabbare blir förmågan att upptäcka ett intrång i ett tidigt skede en avgörande del av organisationens cybersäkerhet.