Spirals-ransomware rammer nettverk på under 24 timer

En nyoppdaget ransomwaregruppe kalt Spirals viser hvor raskt et cyberangrep kan utvikle seg. I en nylig analysert hendelse tok angriperne kontroll over et virksomhetsnettverk, spredte seg til flere systemer, stjal sensitiv informasjon og krypterte miljøet på under ett døgn.

Hendelsen viser at dagens ransomwaregrupper ikke lenger bruker flere dager på å kartlegge offerets nettverk. I stedet går de raskt fra første innbrudd til fullskala kryptering, noe som gir sikkerhetsteam svært lite tid til å oppdage og stanse angrepet.

Angriperne handlet umiddelbart

Angrepet startet da cyberkriminelle fikk tilgang via en webserver som var eksponert mot internett.

Rett etter innbruddet sikret de tilgangen sin og begynte å skaffe seg høyere privilegier. De aktiverte fjernaksess, opprettet administratorkontoer og hentet inn påloggingsinformasjon fra kompromitterte Windows-systemer.

Ved hjelp av de stjålne legitimasjonsopplysningene tok de raskt kontroll over flere enheter. I løpet av få timer hadde de klargjort miljøet for å gjennomføre ransomwareangrepet i hele nettverket.

Sikkerhetsløsninger ble satt ut av spill

Før angriperne startet krypteringen, rettet de oppmerksomheten mot virksomhetens sikkerhetsløsninger.

De deaktiverte beskyttelsesfunksjoner, slo av Microsoft Defender og stoppet tjenester som ble brukt av sikkerhetskopieringsprogrammer, virtualiseringsplattformer og databaseservere.

Samtidig opprettet de flere alternative tilgangsveier til nettverket. Hvis én forbindelse ble oppdaget eller blokkert, kunne de raskt benytte en annen.

Da forsvarsmekanismene var svekket, kunne de gjennomføre den siste fasen av angrepet.

Spirals prioriterer rask kryptering

Forskerne fant at Spirals er utviklet i programmeringsspråket Rust, som har blitt stadig mer populært blant ransomwareutviklere.

Skadevaren krypterer ikke hele store filer. I stedet benytter den såkalt periodisk kryptering, der bare deler av filene krypteres samtidig som innholdet blir ubrukelig.

Denne metoden gjør det mulig å kryptere store bedriftsnettverk betydelig raskere enn ved tradisjonelle teknikker.

For å unngå oppdagelse utgir ransomwareprogrammet seg også for å være en legitim Windows-prosess og bruker administrative verktøy som allerede finnes i mange virksomhetsmiljøer for å spre seg videre.

Datatyveri øker presset på ofrene

Krypteringen var bare én del av angrepet.

Før angriperne låste systemene, kopierte de sensitiv bedriftsinformasjon. Etterpå la de igjen et løsepengekrav der de truet med å publisere de stjålne dataene dersom virksomheten ikke innledet forhandlinger innen seks dager.

Denne formen for dobbel utpressing har blitt standard blant moderne ransomwaregrupper. Selv virksomheter som gjenoppretter systemene fra sikkerhetskopier, kan risikere at konfidensielle opplysninger blir offentliggjort.

Raske angrep krever raskere forsvar

Spirals viser hvordan ransomwareangrep fortsetter å utvikle seg i høyt tempo.

Angripere gjennomfører nå operasjoner på få timer som tidligere kunne ta flere dager. Det gjør tidlig oppdagelse viktigere enn noen gang.

Virksomheter bør sikre internettvendte systemer, overvåke uvanlig administrativ aktivitet, beskytte privilegerte kontoer og holde sikkerhetskopier adskilt fra produksjonsmiljøet.

Etter hvert som ransomware blir stadig raskere, blir evnen til å oppdage innbrudd på et tidlig stadium en avgjørende del av virksomhetens cybersikkerhet.