Wat is de ransomware kill chain?

De ransomware kill chain is een specifieke versie van de Cyber Kill Chain die de verschillende fasen in een typische ransomware-infectie beschrijft. Dit perspectief kan nuttig zijn voor cyberverdedigers omdat het kan helpen bij het identificeren van potentiële punten waar de dreiging kan worden gedetecteerd en geëlimineerd voordat gegevensdiefstal en encryptie beginnen.

De verschillende ransomwaregroepen hebben verschillende tactieken, technieken en procedures (TTP’s) die zij gebruiken, wat betekent dat de ransomware kill chain niet “one size fits all” is. Echter, het in kaart brengen van aanvalscampagnes naar kaders zoals de Lockheed Martin Cyber Kill Chain of het MITRE ATT&CK-framework kan waardevolle inzichten bieden.

Belangrijke hoogtepunten

• De ransomware kill chain splitst een aanval op in fasen zodat verdedigers deze kunnen verstoren voordat encryptie plaatsvindt.
• Veel moderne ransomwarecampagnes omvatten ontdekking, privilege-escalatie en laterale beweging voordat de uiteindelijke impact plaatsvindt.
• Dubbele afpersing voegt een duidelijke fase van gegevensexfiltratie toe die kan plaatsvinden voordat encryptie plaatsvindt.
• Netwerk- en toegangscontroles kunnen het ransomware-risico verminderen door bekende kwaadaardige bestemmingen te blokkeren, exploits te detecteren, toegang te beperken en de overdracht van gevoelige gegevens te voorkomen.
• Het doorbreken van elke fase kan de impact, de responskosten en de bedrijfsonderbreking verminderen.

Hoe de Ransomware Kill Chain Verschilt van de Traditionele Cyber Kill Chain

Lockheed Martin definieerde de Cyber Kill Chain als een algemeen model voor cyberaanvallen. De ransomware kill chain richt zich op de specifics van ransomware-aanvallen, waarbij vaak de inbraakmechanismen en de ransomware-impact van gegevensexfiltratie en encryptie worden benadrukt.

Als gevolg hiervan kunnen deze ransomware kill chains extra malware-specifieke fasen in het proces introduceren. Bijvoorbeeld, de ransomware kill chain van Cisco omvat de volgende fasen:

• Verkenning
• Fase
• Lancering
• Exploiteren
• Installeer
• Terugbellen
• Volharden

Hoewel dit een model op hoog niveau is, variëren daadwerkelijke ransomware-aanvalsketens. Bijvoorbeeld, sommige aanvallers kunnen extra acties uitvoeren tussen het verkrijgen van een initiële toegang en het nastreven van impact.

Waarom gebruiken verdedigers gefaseerde modellen?

Verdedigers gebruiken vaak gefaseerde modellen omdat ze het gemakkelijker maken om over een aanval na te denken en potentiële kansen te identificeren om een aanval te onderbreken en te beheersen. Idealiter houdt dit in dat de dreiging vroeg in de levenscyclus wordt opgevangen en geëlimineerd, aangezien dit de kosten en complexiteit van herstel vermindert. Bovendien maken gefaseerde modellen het gemakkelijker om herhaalbare SOC- en incidentrespons (IR)-playbooks te ontwikkelen die algemeen toepasbaar zijn op meerdere ransomware-operators in plaats van op een specifieke campagne.

De Kernfasen van de Ransomware Kill Chain

Ransomware-aanvallen kunnen dramatisch variëren van de ene dreigingsactor naar de andere en zelfs tussen campagnes. Bovendien hebben verschillende cybersecurity-leveranciers verschillende modellen van de ransomware kill chain. Of het model nu vier stappen of negen bevat, het opsplitsen van het proces heeft zijn voordelen.

In dit artikel zullen we de volgende fasen voor de ransomware kill chain gebruiken:

1. Initiële Toegang en Infectie: Malware wordt geïnstalleerd en uitgevoerd op een doelwit systeem
2. Laterale Beweging en Verspreiding: Ransomware verspreidt zich door het netwerk naar systemen met hoge waarde
3. Commando-en-Control Communicatie: Malware stelt communicatie in met de aanvaller voor instructies en gegevensexfiltratie
4. Gegevens Exfiltratie: Gevoelige gegevens worden geëxfiltreerd uit het netwerk in dubbele afpersingsaanvallen
5. Versleuteling: Gegevens worden versleuteld om slachtoffers te dwingen een losgeld te betalen

Hoe aanvallers typisch aanvankelijke toegang krijgen in ransomwarecampagnes

Aanvallers kunnen verschillende methoden gebruiken om aanvankelijke toegang te krijgen tot een doelomgeving. Enkele van de meest voorkomende technieken zijn phishingaanvallen, kwaadaardige websites, exploitatie van blootgestelde diensten en gestolen inloggegevens.

Hoewel ransomwarecampagnes sterk kunnen variëren, gebruiken de meeste aanvallers een van deze technieken. De reden hiervoor is dat dit vaak laaghangend fruit is, dat vertrouwen, zwakke authenticatie of niet-gepatchte systemen uitbuit om aanvankelijke toegang te krijgen.

Hoe een aanvankelijke compromittering eruitziet in beveiligingstelemetrie

Nadat ze een aanvankelijke voet aan de grond hebben gekregen, is het doel van de aanvaller om hun malware op het geïnfecteerde systeem te laten draaien. Bovendien stelt de malware vaak een verbinding tot stand met de command-and-control-infrastructuur om instructies te ontvangen en gestolen gegevens te exfiltreren. Deze combinatie van acties produceert vaak de volgende indicatoren van compromittering (IoC’s):

• DNS-opzoekingen voor verdachte of bekende slechte domeinen
• Ongewone uitgaande verbindingen
• Nieuwe, onbekende processen
• Onverwachte uitvoering van verschillende tools

Hoewel deze waarschuwingssignalen kunnen zijn van een ransomware-infectie, zijn ze geen absoluut bewijs. Bijvoorbeeld, een nieuw onbekend proces kan een nieuw stuk legitieme software zijn dat een gebruiker heeft geïnstalleerd en uitgevoerd op hun systeem.

Wat er gebeurt na een voet aan de grond, en waarom ransomware-operators zich richten op ontdekking en laterale beweging

Ransomware-operators krijgen zelden directe toegang tot hun doelwitsystemen. Bijvoorbeeld, een phishingaanval compromitteert waarschijnlijk de werkplek van een gebruiker, terwijl ransomware het meest effectief is op een systeem met hoge waarde, zoals een belangrijke database of bestandsserver.

Om deze reden zullen aanvallers vaak proberen lateraal door het netwerk te bewegen, netwerkverkenning en -scanning uit te voeren om potentiële doelwitten te identificeren en naar hen toe te bewegen. Bijvoorbeeld, een aanvaller kan proberen om aanvullende gebruikersreferenties te stelen die hen in staat stellen om zich bij een nieuw systeem aan te melden.

Veelvoorkomende doelen van aanvallers in het midden van de ransomware-killchain

In het midden van de ransomware-killchain zijn de doelen van aanvallers om van hun initiële toegangspunt naar doelwitten met hoge waarde te bewegen. Veelvoorkomende acties die zij kunnen ondernemen om dit te bereiken zijn:

• Verzamelen van referenties en privilege-escalatie
• In kaart brengen van netwerkpaden en kritieke activa
• Uitschakelen van verdedigingen en voorbereiden van encryptie op grote schaal

Waar gegevensexfiltratie past in de ransomware-killchain, en hoe dubbele afpersing het verandert

Traditionele ransomware die gericht is op bestandsencryptie is minder effectief als het slachtoffer back-ups heeft waaruit zij kunnen herstellen. Om deze reden hebben veel ransomware-operators technieken voor dubbele afpersing aangenomen, waarbij zij gegevens stelen voordat zij deze versleutelen en dreigen deze te lekken als de losgeld niet wordt betaald. Sommige bedreigingsactoren integreren ook aanvullende afpersingstactieken, zoals gedistribueerde denial-of-service (DDoS) aanvallen.

Indicatoren en defensieve controles die het belangrijkst zijn tijdens exfiltratie

Met gegevensexfiltratie hebben organisaties de kans om een aanval te identificeren en te blokkeren voordat deze naar de fase van gegevensencryptie gaat. Dit vereist monitoring en handhaving van beleid die zijn ontworpen om exfiltratie van gevoelige gegevens en anomal gedrag, zoals bulkgegevensdownload en exfiltratie, te identificeren en te blokkeren.

Hoe kunnen beveiligingscontroles de ransomware-killchain op meerdere stadia verstoren?

Het in kaart brengen van ransomware-infecties naar een model met meerdere stadia maakt verstoring op verschillende stadia van het proces mogelijk. Enkele manieren waarop beveiligingscontroles kunnen helpen om ransomware-aanvallen te mitigeren zijn:

• DNS-filtering: Identificeert en blokkeert toegangspogingen voor kwaadaardige domeinen en phishingbestemmingen.
• Intrusion Prevention System (IPS) Detecteert en blokkeert exploitverkeer en kwaadaardige activiteiten in lijn.
• Zero-Trust Network Access (ZTNA) Beperkt de toegang tot middelen door expliciete toestemmingsbeleid en het principe van de minste privileges. Vermindert de paden voor laterale beweging.
• Data Loss Prevention (DLP) Vermindert het risico dat gevoelige gegevens de organisatie verlaten.

Hoe DNS-filtering vroegtijdige ransomware-killchain-activiteit verstoort

DNS wordt gebruikt om domeinnamen om te zetten in IP-adressen en is belangrijk in meerdere fasen van de ransomware-killchain. DNS-opzoekingen kunnen nodig zijn voor de initiële malware-download, bij het tot stand brengen van verbindingen met command-and-controlsystemen, en voor gegevensexfiltratie. Het blokkeren van pogingen om toegang te krijgen tot verdachte en bekende slechte domeinen voorkomt dat deze acties slagen en kan de aanval vroeg in de killchain beëindigen.

Hoe IPS helpt exploits te blokkeren en de verspreiding te vertragen

IPS is een inline beveiligingscontrole die is ontworpen om kwaadaardige inhoud en exploitatiepogingen te blokkeren. Het kan worden gebruikt om kwetsbaarheids-exploits voor initiële toegang en de overdracht van ransomware naar de doelomgeving te voorkomen.

Hoe ZTNA toegang beperkt en laterale beweging beperkt

ZTNA implementeert toegangcontroles met de minste privileges, die de privileges tot het minimum beperken dat nodig is voor een rol en vereisen dat elke toegangspoging expliciet wordt gevalideerd en goedgekeurd. Dit kan de poging tot laterale beweging belemmeren door de reikwijdte van gecompromitteerde accounts te beperken en de organisatie in staat te stellen anomalieën en verdachte verzoeken om bedrijfsgegevens of middelen te identificeren en te blokkeren.

Hoe DLP het risico op gegevensexfiltratie vermindert

DLP heeft als doel te voorkomen dat gevoelige gegevens worden gedeeld met ongeautoriseerde ontvangers. In een ransomware-context kan dit helpen om dubbele afpersingsaanvallen te voorkomen als de DLP-oplossing de poging tot exfiltratie van gestolen gegevens kan identificeren en blokkeren.

Wat beveiligingsteams moeten meten om de verstoring van de ransomware-killchain te valideren

Bij het proberen te verstoren van ransomware-aanvallen eerder in de kill chain, zijn enkele veelvoorkomende metrics:

• Gemiddelde tijd tot detectie (MTTD)
• Gemiddelde tijd tot herstel (MTTR)
• Vermindering van de impactradius van de aanval (aangetaste eindpunten, accounts, gegevens, enz.)

Voorbeeld meetcategorieën

Organisaties kunnen ook fase-specifieke metrics implementeren die zijn ontworpen om te identificeren wanneer ze met succes een ransomware-infectie identificeren en aanpakken, waaronder:

• preventie Blokkades in de initiële toegang en exploitatie-fases
• Beheersing: Pogingen tot laterale beweging worden gestopt of gesegmenteerd
• Gegevenssecurity. Pogingen tot exfiltratie gedetecteerd of voorkomen
• Impactvermindering: Lagere versleuteling verspreiding en snellere herstel

Hoe verbetert de ransomware kill chain incidentrespons en post-incident versterking?

De ransomware kill chain helpt de IR en post-incident versterking te verbeteren door een concretere en gedetailleerdere uitsplitsing van de aanval te bieden om playbooks en geleerde lessen aan te koppelen. Bijvoorbeeld, een post-incident retrospectief kan onderzoeken of de dreiging op verschillende stadia (initiële toegang, laterale beweging, gegevensexfiltratie, enz.) werd gedetecteerd en hoe de organisatie aanvullende controles kan implementeren of afstemmen om geïdentificeerde zichtbaarheid of beheersingshiaten aan te pakken.

Ransomware Kill Chain: Hoe het kader te gebruiken om de impact van ransomware in de loop van de tijd te verminderen

De ransomware kill chain biedt een kader om over deze aanvallen na te denken en beveiligingscontroles en IR-acties te plannen. Enkele manieren waarop organisaties gebruik kunnen maken van het kader zijn:

• Bouw fase-gebaseerde detecties en controles
• Voer tabletop-oefeningen uit die zijn afgestemd op de fasen
• Beoordeel incidenten per fase en pas de controles aan

VEELGESTELDE VRAGEN

Wat zijn de typische fasen in de ransomware kill chain?

Modellen van de ransomware kill chain kunnen variëren in de opgenomen fasen. Enkele veelvoorkomende fasen zijn initiële toegang, laterale beweging, commando en controle, gegevensexfiltratie en gegevensversleuteling.

Is gegevensexfiltratie altijd onderdeel van ransomware?

Nee, ransomware richtte zich oorspronkelijk uitsluitend op gegevensversleuteling, niet op exfiltratie. Echter, dubbele afpersingaanvallen zijn gebruikelijker geworden om te voorkomen dat slachtoffers de betaling van de losprijs kunnen vermijden door te herstellen vanuit back-ups.

Hoe is de ransomware kill chain gerelateerd aan de Cyber Kill Chain?

De Cyber Kill Chain is een algemeen model dat is ontworpen om de gebruikelijke fasen van een breed scala aan potentiële aanvallen te ontleden. De ransomware kill chain gebruikt een vergelijkbare ontleding, maar richt zich op de ransomwarebedreiging.

Welke controles kunnen ransomware eerder onderbreken dan versleuteling?

Enkele beveiligingscontroles die ransomware-aanvallen kunnen onderbreken voordat ze de versleutelingsfase bereiken, zijn DNS-filtering, inline exploitpreventie, toegangscontroles en gegevenscontroles. Bijvoorbeeld, DNS-filtering kan de toegang blokkeren tot webpagina’s die malware en commando- en controle-infrastructuur aanbieden.

Wat moeten teams prioriteit geven als ze niet elke fase kunnen dekken?

Als organisaties niet elke fase van de ransomware kill chain kunnen dekken, moeten ze proberen eerdere fasen en die waar ze meer zicht en controle hebben, prioriteit te geven. Bijvoorbeeld, een organisatie kan de toegang van gebruikers beperken in overeenstemming met het principe van de minste privileges om de mogelijkheid van een aanvaller om lateraal door het netwerk naar waardevolle doelwitten te bewegen te verminderen.