👸🏽 🕺🏽 😠 रैंसमवेयर रैंसमवेयर से जुड़े जोखिमों को कैसे कम करें 🔑 🧓🏾 ⭕️

आज, जब रिमोट का काम आम हो रहा है, और सूचना सुरक्षा विशेषज्ञों, विशेष रूप से स्वास्थ्य सेवा और अन्य महत्वपूर्ण उद्योगों में लोड इतना अधिक कभी नहीं रहा है, क्रिप्टोग्राफ़िक अनुप्रयोगों का प्रबंधन करने वाले हैक समूहों की गतिविधियां कमजोर नहीं हो रही हैं।

कई हैक समूह, जिन्होंने कई महीनों के भीतर विभिन्न नेटवर्क में प्रवेश किया और "ताकत" जमा की, अप्रैल के पहले छमाही में अपने रैंसमवेयर अनुप्रयोगों की दर्जनों प्रतियां सक्रिय कीं। चिकित्सा सुविधाओं, हेल्थकेयर बिलिंग कंपनियों, निर्माताओं, परिवहन कंपनियों, सरकारी एजेंसियों और प्रशिक्षण सॉफ्टवेयर डेवलपर्स द्वारा हमलों को प्रभावित किया गया। इसने प्रदर्शित किया कि वैश्विक संकट के बावजूद, ऐसे हैक समूह महत्वपूर्ण सेवाओं के कामकाज की उपेक्षा करते हैं। हालांकि, अन्य क्षेत्रों की कंपनियों पर भी हमला किया जा रहा है, इसलिए संगठनों को समझौते के संकेतों पर विशेष ध्यान देने की आवश्यकता है।

क्रिप्टोग्राफर्स के काम के दो सप्ताह के भीतर, जबरन वसूली के साथ हमलों की संख्या थोड़ी बढ़ गई। हालाँकि, Microsoft विशेषज्ञों द्वारा किए गए एक अध्ययन के साथ-साथ DART टीम (Microsoft डिटेक्शन एंड रिस्पॉन्स टीम) द्वारा की गई एक अन्य घटना की जांच के परिणाम के बाद, यह पता चला कि कई मामलों में समझौता, जो हमलों की संभावना प्रदान करता है, पहले हुआ था। मानव-नियंत्रित रैंसमवेयर अनुप्रयोगों का उपयोग करते हुए हमलों की तकनीक विशिष्ट का उपयोग करते हुए , हमलावरों ने पिछले कुछ महीनों में लक्ष्य नेटवर्क से समझौता किया और सबसे उपयुक्त समय पर मैलवेयर को तैनात करके परिणाम का मुद्रीकरण करने के अवसर की प्रतीक्षा की।

इनमें से कई हमले इंटरनेट से सुलभ कमजोर उपकरणों पर अनुसंधान के साथ शुरू हुए। कुछ मामलों में, ब्रूट फोर्स की मदद से आरडीपी सर्वरों से समझौता किया गया। हमलों के दौरान उपकरणों की एक विस्तृत श्रृंखला का उपयोग किया गया था, लेकिन उन सभी ने एक ही तकनीक का उपयोग किया था जो मानव-प्रबंधित रैनसमवेयर अनुप्रयोगों का उपयोग करने वाले हमलों के लिए विशिष्ट हैं: क्रेडेंशियल्स की चोरी और "पार्श्व विस्थापन", जिसके बाद हमलावरों ने उन उपकरणों को तैनात किया जैसे वे फिट दिखते थे। चूंकि रैंसमवेयर एप्लिकेशन की शुरूआत हमले के अंतिम चरण में होती है, इसलिए रक्षकों को अकाउंटिंग की जानकारी चुराने वाले घुसपैठियों के निशान, साथ ही साथ "पार्श्व विस्थापन" के संकेतों पर ध्यान केंद्रित करना चाहिए।

इस लेख में हम रैंसमवेयर अनुप्रयोगों का उपयोग करके ऐसे अभियानों के विश्लेषण के परिणामों के बारे में बात करेंगे।

सामग्री:

हमने सूचना सुरक्षा कार्यों की प्राथमिकता पर हमलों और सिफारिशों का पता लगाने के लिए गाइड सहित कई तकनीकी विवरण जोड़े हैं।

कमजोर और असम्बद्ध प्रणाली इंटरनेट से सुलभ है और मानव-चालित हमलों को अंजाम देना आसान बनाती है

यद्यपि हाल के हमलों में नए जबरन वसूली उपकरण तैनात किए गए थे, लेकिन कई हमलों में पिछले अभियानों से छोड़े गए बुनियादी ढांचे का उपयोग किया गया था। उन्होंने मानव-चालित रैंसमवेयर का उपयोग करते हुए अन्य हमलों के लिए अच्छी तरह से ज्ञात तकनीकों का भी इस्तेमाल किया।

ईमेल द्वारा वितरित मैलवेयर के हमलों के विपरीत, जो आमतौर पर बहुत तेजी से होता है, प्रारंभिक पैठ के बाद एक घंटे के भीतर, अप्रैल के हमले डॉपेलपेमर का उपयोग करते हुए 2019 के हमलों के समान हैं। फिर हमलावरों ने अग्रिम में लक्ष्य नेटवर्क तक पहुंच प्राप्त की। फिर उन्होंने कई महीनों तक इंतजार किया, रैंसमवेयर अनुप्रयोगों को तैनात करने के लिए सही क्षण का चयन किया।

हाल के हमलों में, इंटरनेट से सुलभ सिस्टम और निम्नलिखित नुकसान होने से लक्ष्य नेटवर्क को भेदने के लिए उपयोग किया गया था:

Remote Desktop Protocol (RDP) (MFA).
, (, Windows Server 2003 Windows Server 2008). .
-, IIS, , .
Citrix Application Delivery Controller (ADC) CVE-2019-19781.
Pulse Secure VPN CVE-2019-11510.

इस तरह के हमलों को रोकने के लिए, इंटरनेट से सुलभ सिस्टम पर सुरक्षा पैच लागू करना महत्वपूर्ण है। यह भी नोट करें: हालांकि Microsoft विशेषज्ञों ने अभी तक इसका अवलोकन नहीं किया है, लेकिन संचित जानकारी यह बताती है कि अंत में, हमलावर इन कमजोरियों का लाभ उठा सकते हैं: CVE-2019-0604 , CVE-2020-0688 , CVE-2020-10189 ।

कई पैठ के मामलों के रूप में, साइबर अपराधियों ने Mimikatz और कोबाल्ट स्ट्राइक जैसे लोकप्रिय साधनों का उपयोग करके "पार्श्व ऑफसेट" का इस्तेमाल किया, और नेटवर्क खुफिया और डेटा निष्कर्षण में लगे हुए हैं। मालवेयर ऑपरेटरों ने प्रशासक विशेषाधिकारों के साथ खातों तक पहुंच प्राप्त की, और इस मामले में वे और भी विनाशकारी कार्रवाई करने के लिए तैयार थे। जिन नेटवर्क में हमलावरों ने अपना सॉफ़्टवेयर स्थापित किया था, उन्होंने जानबूझकर कुछ बिंदुओं पर अपनी उपस्थिति बनाए रखी, फिरौती मिलने के बाद अपनी गतिविधियों को फिर से शुरू करना चाहते थे या सिस्टम को फिर से इंस्टॉल किया गया था। यद्यपि केवल कुछ हैक समूह एकत्रित डेटा की बिक्री के माध्यम से ज्ञात हुए, लगभग सभी ने हमलों के दौरान डेटा को देखा और निकाला, भले ही उन्होंने अभी तक चोरी की जानकारी का विज्ञापन या बिक्री नहीं की हो।

मानव-नियंत्रित रैंसमवेयर का उपयोग करते हुए सभी हमलों में, वर्णित मामलों में, हमलावरों की गतिविधि नेटवर्क पर फैल गई, जिसमें ईमेल, एंडपॉइंट, एप्लिकेशन और बहुत कुछ शामिल हैं। चूंकि विशेषज्ञों के लिए एक समझौता किए गए नेटवर्क में साइबर अपराधियों से पूरी तरह से छुटकारा पाना मुश्किल हो सकता है, इसलिए जोखिमों को कम करने के लिए इंटरनेट से सुलभ संवेदनशील प्रणालियों को पैच करना और प्रतिबंधों को लागू करना बेहद जरूरी है।

मोटले एक्सटॉर्शन कंपनी

इस अध्याय में विभिन्न प्रकार के हमलों और रैनसमवेयर परिवारों का वर्णन किया गया है, लेकिन जिन हमलों पर हमने चर्चा की है, वे थोड़े बदलावों के साथ एक लोकप्रिय पैटर्न का पालन करते हैं। एक समान तरीके से विकसित किए गए हमलों, आम तौर पर समान तकनीकों का उपयोग करते हुए। और हमले के अंत में एक विशेष रैंसमवेयर प्रोग्राम का विकल्प लगभग पूरी तरह से हमलावरों के स्वाद पर निर्भर करता था।

रॉबिनहुड रैनसमवेयर

हमले के बाद के चरणों में सुरक्षा सॉफ्टवेयर को अक्षम करने के लिए कमजोर ड्राइवरों के उपयोग के कारण रॉबिनहुड रैंसमवेयर ऑपरेटरों ने ध्यान आकर्षित किया है । हालांकि, कई समान हमलों में, उन्होंने एक असुरक्षित संसाधन पर आरडीपी के लिए क्रूर बल के साथ शुरुआत की। नतीजतन, हमलावरों को उच्च विशेषाधिकार प्रमाण प्राप्त हुए, मुख्य रूप से सामान्य या सामान्य पासवर्ड के साथ स्थानीय व्यवस्थापक खातों से, साथ ही डोमेन व्यवस्थापक विशेषाधिकारों के साथ सेवा खाते। RobbinHood ऑपरेटरों, साथ ही साथ Ryuk ऑपरेटरों और अन्य अवांछित हैक समूहों, अपने उपकरणों को हटाने के बाद फिर से नेटवर्क तक पहुंच प्राप्त करने के लिए नए स्थानीय और सक्रिय निर्देशिका खातों को पीछे छोड़ देते हैं।

वेटेट बूटलोडर

हमलावर अक्सर बदनामी से बचने के लिए अपने बुनियादी ढांचे, तरीकों और उपकरणों को बदलते हैं, जो सूचना सुरक्षा के क्षेत्र में कानून प्रवर्तन एजेंसियों या शोधकर्ताओं का ध्यान आकर्षित कर सकते हैं। अक्सर, हैकर्स अपने उपकरणों को पकड़ते हैं, कम ध्यान आकर्षित करने के लिए संबंधित कलाकृतियों को निष्क्रिय करने के लिए सूचना सुरक्षा कंपनियों की प्रतीक्षा कर रहे हैं। वेट कोबाल्ट स्ट्राइक फ्रेमवर्क के लिए एक लोडर है, जिसका उपयोग नवंबर 2018 में हमलों में किया गया था, और फिर से हालिया घटनाओं में सामने आया।

शायद, लोडर ऑपरेटरों को अस्पतालों, चिकित्सा सुविधाओं, इंसुलिन आपूर्तिकर्ताओं, चिकित्सा उपकरणों के निर्माताओं और अन्य महत्वपूर्ण संगठनों के विशेषज्ञ बनाने का इरादा था। ये कुछ सबसे विपुल रैंसमवेयर सॉफ्टवेयर ऑपरेटर हैं जो दर्जनों हमलों से संबंधित हैं।

वैटेट और कोबाल्ट स्ट्राइक की मदद से, हैक ग्रुप ने विभिन्न रैंसमवेयर स्थापित किए। उन्होंने हाल ही में एक इन-मेमोरी एप्लिकेशन को तैनात किया है जो अल्टरनेट डेटा स्ट्रीम (ADS) का उपयोग करता है और अन्य एप्लिकेशन परिवारों से बायबैक आवश्यकताओं के सरलीकृत संस्करण दिखाता है। हमलावर भेद्यता CVE-2019-19781 का उपयोग करके नेटवर्क तक पहुंच प्राप्त करते हैं , RDP के साथ समापन बिंदु और दुर्भावनापूर्ण PowerShell कमांड चलाने वाली .lnk फ़ाइलों के साथ संदेश भेजते हैं । एक बार नेटवर्क में हैक होने के बाद, हैकर्स क्रेडेंशियल चोरी करते हैं, जिसमें क्रेडेंशियल मैनेजर रिपॉजिटरी शामिल है, और "लेटरल बायस" का उपयोग तब तक करते हैं जब तक कि वे डोमेन व्यवस्थापक विशेषाधिकार प्राप्त नहीं कर लेते। टिप्पणियों के अनुसार, रैंसमवेयर कार्यक्रमों की तैनाती से पहले, ऑपरेटर नेटवर्क से डेटा निकालते हैं।

नेटवल्कर रैंसमवेयर

नेटवल्कर ऑपरेटर अस्पतालों और चिकित्सा सुविधाओं पर हमलों के लिए कुख्यात हो गए, जिसके दौरान उन्होंने सीओवीआईडी -19 के बारे में जानकारी देने का वादा करते हुए पत्र भेजे। नेटवल्कर प्रोग्राम को .vbs अटैचमेंट के रूप में अक्षरों में समाहित किया गया था, और इस तकनीक ने मीडिया का ध्यान आकर्षित किया। हालांकि, ऑपरेटरों ने Mimikatz प्रोग्राम लॉन्च करने और क्रेडेंशियल्स चोरी करने के लिए अनुचित रूप से कॉन्फ़िगर किए गए IIS-आधारित अनुप्रयोगों का उपयोग करके नेटवर्क से समझौता किया। फिर, इस जानकारी का उपयोग करते हुए, हमलावरों ने PsExec लॉन्च किया, और परिणामस्वरूप नेटवल्कर स्थापित किया।

पोनीफाइनल रैंसमवेयर

इस जावा कार्यक्रम को एक नवीनता माना जाता है, लेकिन इसका उपयोग करने वाले हमले असामान्य नहीं हैं। ऑपरेटरों ने इंटरनेट से सुलभ वेब सिस्टम से समझौता किया और विशेषाधिकार प्राप्त किए। हमलावर नेटवर्क पर अपनी उपस्थिति की स्थिरता सुनिश्चित करने के लिए, हमलावर mshta.exe सिस्टम टूल लॉन्च करने के लिए PowerShell कमांड का उपयोग करते हैं और हमलों के लिए लोकप्रिय PowerShell फ्रेमवर्क पर आधारित रिवर्स शेल कनेक्शन कॉन्फ़िगर करते हैं। इसके अलावा, हैकर्स ने दूरस्थ डेस्कटॉप से कनेक्शन बनाए रखने के लिए स्प्लैशटॉप जैसे वैध उपकरणों का उपयोग किया।

भूलभुलैया रैनसमवेयर

चोरी के डेटा को बेचने के लिए सुर्खियों में आने वाले पहले रैंसमवेयर अभियानों में से एक। भूलभुलैया प्रौद्योगिकी प्रदाताओं और सार्वजनिक सेवाओं के विशेषज्ञ हैं। इस रैंसमवेयर का उपयोग प्रबंधित सेवा प्रदाताओं (MSPs) के खिलाफ उनके ग्राहकों के डेटा और नेटवर्क तक पहुँच प्राप्त करने के लिए किया गया था।

पत्रों के माध्यम से भूलभुलैया फैल गई, लेकिन ऑपरेटरों ने आरडीपी जानवर बल जैसे सामान्य हमले वाले वैक्टर का उपयोग करके नेटवर्क तक पहुंच प्राप्त करने के बाद भी कार्यक्रम स्थापित किया। नेटवर्क में घुसने के बाद, हमलावर क्रेडेंशियल्स चुराते हैं, संसाधनों तक पहुंच प्राप्त करने और डेटा निकालने के लिए "पार्श्व ऑफसेट" करते हैं, और फिर रैनसमवेयर को स्थापित करते हैं।

हाल ही में एक हैकर अभियान के दौरान, Microsoft शोधकर्ताओं ने पता लगाया कि कैसे भूलभुलैया ऑपरेटरों ने इंटरनेट-सुलभ प्रणाली पर एक स्थानीय व्यवस्थापक खाते के RDP bruteforce के माध्यम से पहुंच प्राप्त की। पासवर्ड ब्रूट फोर्स के बाद, ऑपरेटर "साइड शिफ्ट" करने में सक्षम थे, क्योंकि अन्य एंडपॉइंट्स में अंतर्निहित व्यवस्थापक खातों में एक ही पासवर्ड का उपयोग किया जाता था।

डोमेन व्यवस्थापक के खाते से क्रेडेंशियल्स चोरी होने के बाद, हैकर्स ने सभी प्रकार के पेलोड को वितरित करने और डेटा तक पहुंच प्राप्त करने के लिए कोबाल्ट स्ट्राइक, PsExec और कई अन्य उपकरणों का उपयोग किया। हमलावरों ने कार्य शेड्यूलर और सेवाओं का उपयोग करके नेटवर्क पर एक फ़ाइल-मुक्त उपस्थिति का आयोजन किया जो रिमोट पॉवरशेल-आधारित गोले चलाते हैं। इसके अलावा, हैकर्स ने चोरी के डोमेन व्यवस्थापक खाते के साथ नियंत्रण बनाए रखने के लिए विंडोज रिमोट मैनेजमेंट चालू कर दिया। रैंसमवेयर स्थापित करने की तैयारी में सूचना सुरक्षा पर नियंत्रण को कमजोर करने के लिए, हमलावरों ने समूह नीतियों के माध्यम से विभिन्न सेटिंग्स में हेरफेर किया।

रैंसमवेयर REvil

नेटवर्क तक पहुंच हासिल करने के लिए क्रेडेंशियल्स चुराने के लिए पल्स वीपीएन में नेटवर्क कमजोरियों का फायदा उठाने के लिए रैंसमवेयर ऑपरेटरों का यह संभवतः पहला समूह है। REvil (या Sodinokibi) एमएसपी मर्मज्ञ करने के लिए जाना जाता है, अपने ग्राहकों के नेटवर्क और दस्तावेजों तक पहुंच प्राप्त करने के साथ-साथ उन तक पहुंच भी बेचता है। हमलावरों ने मौजूदा संकट के दौरान एमएसपी और सरकारी एजेंसियों सहित अन्य ठिकानों पर हमला करना जारी रखा। रिविल के हमलों को नई कमजोरियों के उपयोग से पहचाना जाता है, लेकिन उनके तरीके कई अन्य हैक समूहों के समान होते हैं: नेटवर्क में घुसने के बाद, Mimikatz और PsExec जैसे उपकरणों का उपयोग क्रेडेंशियल्स चोरी करने के लिए किया जाता है, "पार्श्व पूर्वाग्रह" और टोही।

अन्य रैंसमवेयर परिवार

समीक्षाधीन अवधि के दौरान, लोगों द्वारा प्रबंधित अनुप्रयोगों के ऐसे परिवारों का उपयोग भी नोट किया गया था:

स्वर्ग यह सीधे पत्रों के माध्यम से वितरित किया जाता था, लेकिन अब इसका उपयोग मानव-चालित हमलों में किया जाता है।
RagnarLocker। एक समूह द्वारा उपयोग किया जाता है जो चोरी की साख के साथ RDP और कोबाल्ट स्ट्राइक का सक्रिय रूप से उपयोग करता है।
MedusaLocker। संभवतः पहले से मौजूद ट्रिकबोट संक्रमणों के माध्यम से स्थापित किया गया है।
Lockbit उन ऑपरेटरों द्वारा वितरित किया गया जिन्होंने "पार्श्व विस्थापन" करने के लिए सार्वजनिक रूप से उपलब्ध CrackMapExec पैठ परीक्षण उपकरण का उपयोग किया था।

चल रहे हमलों की तत्काल प्रतिक्रिया

हम दृढ़ता से अनुशंसा करते हैं कि संगठन वर्णित हमलों से संबंधित अलर्ट के लिए तुरंत जांच करें और जांच और सिस्टम पुनर्प्राप्ति को प्राथमिकता दें। रक्षकों को क्या ध्यान देना चाहिए:

PowerShell, Cobalt Strike , « ».
, , Local Security Authority Subsystem Service (LSASS) , .
, USN — .

Microsoft डिफेंडर एडवांस्ड थ्रेट प्रोटेक्शन (एटीपी) का उपयोग करने वाली कंपनियां प्रासंगिक अलर्ट और उन्नत पहचान तकनीकों के विवरण के लिए खतरे की विश्लेषण रिपोर्ट का उल्लेख कर सकती हैं । जो लोग Microsoft खतरा विशेषज्ञ सेवा का उपयोग करते हैं, वे लक्षित हमले सूचनाओं का भी उपयोग कर सकते हैं जिनमें विस्तृत इतिहास, अनुशंसित सुरक्षा उपाय और पुनर्प्राप्ति युक्तियां शामिल हैं।

यदि आपके नेटवर्क पर हमला किया गया है, तो स्थिति की सीमा का आकलन करने के लिए तुरंत नीचे दिए गए चरणों का पालन करें। इन हमलों के प्रभाव का निर्धारण करते समय, आपको पूरी तरह से समझौता (IOC) के संकेतकों पर निर्भर नहीं होना चाहिए, क्योंकि अधिकांश उल्लेखित रैनसमवेयर प्रोग्राम एक "एक बार" अवसंरचना का उपयोग करते हैं, उनके लेखक अक्सर अपने टूल और सिस्टम को बदलते हैं, पता लगाने के लिए अपने लक्ष्यों की क्षमताओं का निर्धारण करते हैं। । संभव हद तक, एक्सपोज़र का पता लगाने और कम करने के साधनों को व्यापक व्यवहार पैटर्न के आधार पर तकनीकों का उपयोग करना चाहिए। आपको जल्द से जल्द साइबर अपराधियों द्वारा उपयोग की जाने वाली कमजोरियों को भी बंद करना होगा।

हमले के समापन बिंदु और साख का विश्लेषण करें

उन सभी क्रेडेंशियल्स को पहचानें जो अटैक एंडपॉइंट पर उपलब्ध हैं। उन्हें हमलावरों के लिए सुलभ माना जाना चाहिए, और उनसे जुड़े सभी खातों से समझौता किया जाना चाहिए। ध्यान दें कि हमलावर न केवल इंटरैक्टिव या आरडीपी सत्रों में लॉग इन किए गए खातों की साख को कॉपी कर सकते हैं, बल्कि सेवारत खातों और अनुसूचित कार्यों के लिए कैश्ड क्रेडेंशियल्स और पासवर्ड भी कॉपी कर सकते हैं, जो एलएसए गोपनीयता रजिस्ट्री अनुभाग में संग्रहीत होते हैं।

Microsoft डिफेंडर एटीपी में बनाए गए एंडपॉइंट्स के लिए , आक्रमण करने वाले बिंदुओं में लॉग इन खातों की पहचान करने के लिए उन्नत तरीकों का उपयोग करें। ऐसा करने के लिए, धमकी विश्लेषण रिपोर्ट में एक शिकार क्वेरी है।
Windows, , — 4624 2 10. 4 5.

प्रमुख बिंदुओं को अलग करें जिनमें नियंत्रण और नियंत्रण के संकेत हैं या जो "पार्श्व विस्थापन" के लिए लक्ष्य बन गए हैं। प्रासंगिक IOC के लिए उन्नत खोज क्वेरी या अन्य प्रत्यक्ष खोज विधियों का उपयोग करके इन समापन बिंदुओं को पहचानें। Microsoft डिफेंडर ATP का उपयोग कर मशीनों को अलग करें या अन्य डेटा स्रोतों का उपयोग करें, जैसे कि NetFlow, जो कि CRM या किसी अन्य केंद्रीकृत प्रबंधन प्रबंधन टूल के भीतर खोज करता है। ज्ञात समझौता समापन बिंदुओं से "पार्श्व विस्थापन" के संकेतों के लिए देखें।

इंटरनेट से सुलभ कमजोरियों को बंद करें

परिधि प्रणालियों को पहचानें जो हमलावर आपके नेटवर्क तक पहुंच प्राप्त करने के लिए उपयोग कर सकते हैं। आप सार्वजनिक स्कैनिंग इंटरफ़ेस का उपयोग करके अपने विश्लेषण को पूरक कर सकते हैं, उदाहरण के लिए, shodan.io । ऐसे सिस्टम में हैकर्स की दिलचस्पी हो सकती है:

मल्टी-फैक्टर ऑथेंटिकेशन के बिना RDP या वर्चुअल डेस्कटॉप।
CVE-2019-19781 भेद्यता के साथ Citrix ADC सिस्टम।
पल्स सिक्योर वीपीएन सिस्टम CVE-2019-11510 भेद्यता के साथ।
Microsoft SharePoint सर्वर भेद्यता CVE-2019-0604 के साथ है।
Microsoft Exchange सर्वर भेद्यता CVE-2020-0688 के साथ।
Zoho ManageEngine सिस्टम भेद्यता CVE-2020-10189 के साथ।

किसी संगठन की भेद्यता को और कम करने के लिए, माइक्रोसॉफ्ट डिफेंडर एटीपी ग्राहक गलत कॉन्फ़िगरेशन में कमजोरियों को पहचानने, प्राथमिकता देने और बंद करने के लिए थ्रेट एंड वल्नेरेबिलिटी मैनेजमेंट (टीवीएम) क्षमताओं का लाभ उठा सकते हैं । टीवीएम आईटी सुरक्षा पेशेवरों और प्रशासकों को संयुक्त रूप से पता चला कमजोरियों से छुटकारा पाने की अनुमति देता है।

मैलवेयर संक्रमित उपकरणों की जांच और मरम्मत करें

कई हैकर्स पहले से लागू कार्यक्रमों जैसे इमोटेट और ट्रिकबोट के माध्यम से नेटवर्क में घुसपैठ करते हैं। इन टूल परिवारों को बैंकिंग ट्रोजन के रूप में वर्गीकृत किया गया है जो स्थायी सॉफ़्टवेयर बुकमार्क सहित किसी भी पेलोड को वितरित कर सकते हैं। सभी ज्ञात संक्रमणों की जांच करें और समाप्त करें और उन्हें खतरनाक मानव विरोधियों के संभावित वैक्टर पर विचार करें। हमला किए गए एंडपॉइंट्स को बदलने या पासवर्ड बदलने से पहले सभी खुले क्रेडेंशियल्स, अतिरिक्त प्रकार के पेलोड और "पार्श्व विस्थापन" के संकेतों की जांच करना सुनिश्चित करें।

मानव-चालित रैंसमवेयर से नेटवर्क की सुरक्षा के लिए सूचना स्वच्छता

जैसा कि हैकर संचालक अधिक शिकार पाते हैं, रक्षकों को सभी उपलब्ध साधनों का उपयोग करते हुए अग्रिम में जोखिम का आकलन करना चाहिए। सभी सिद्ध निवारक समाधानों को लागू करना जारी रखें - क्रेडेंशियल हाइजीन, न्यूनतम विशेषाधिकार और होस्ट फ़ायरवॉल - जो सुरक्षा खामियों और अनावश्यक विशेषाधिकारों का फायदा उठाने वाले हमलों को रोकते हैं।

प्रवेश के लिए अपने नेटवर्क के प्रतिरोध को बढ़ाएं, सॉफ्टवेयर बुकमार्क्स के पुनर्सक्रियन और निम्नलिखित उपायों के साथ "पार्श्व विस्थापन":

व्यवस्थापक खातों के लिए बेतरतीब ढंग से उत्पन्न पासवर्ड का उपयोग करें, उदाहरण के लिए, एलएपीएस का उपयोग कर।
खाता लॉकआउट नीति लागू करें ।
. , .
C « ». TCP- 445 , .
Microsoft Defender , . .
Office, Office 365 Windows. Microsoft Secure Score , .
, .
, -:
- .
- PsExec WMI-.
- Windows (lsass.exe).

मानव- नियंत्रित रैनसमवेयर कार्यक्रमों के खिलाफ सुरक्षा में सुधार और सामान्य रूप से साइबर हमलों के खिलाफ अधिक विश्वसनीय सुरक्षा बनाने के लिए, मानव-संचालित रैंसमवेयर हमलों को देखें: एक रोके जाने योग्य आपदा ।

Microsoft खतरा सुरक्षा: जटिल और बड़े पैमाने पर रैंसमवेयर चालित मानव चालित अनुप्रयोगों के खिलाफ समन्वित सुरक्षा

रैंसमवेयर का उपयोग कर हमलों की संख्या में अप्रैल की वृद्धि ने दिखाया कि हैकर्स वैश्विक संकट के दौरान उनकी सेवाओं में रुकावट के कारण परिणामों के बारे में चिंतित नहीं हैं।

मानव-नियंत्रित रैंसमवेयर कार्यक्रमों का उपयोग करने वाले हमले खतरे के एक नए स्तर का प्रतिनिधित्व करते हैं, क्योंकि हमलावर सिस्टम प्रशासन और सुरक्षा उपकरणों के विन्यास में पारंगत होते हैं, इसलिए वे कम से कम प्रतिरोध के साथ घुसने का रास्ता खोज सकते हैं। एक बाधा के साथ सामना, वे इसे तोड़ने की कोशिश करते हैं। और अगर यह काम नहीं करता है, तो वे हमले के विकास के नए तरीके खोजने में सरलता प्रदर्शित करते हैं। इसलिए, मानव-नियंत्रित रैंसमवेयर का उपयोग करने वाले हमले जटिल और व्यापक हैं। दो समान हमले नहीं होते हैं।

Microsoft खतरा सुरक्षा (MTP)समन्वित रक्षा प्रदान करता है जो मानव-चालित रैंसमवेयर का उपयोग करके जटिल हमलों की पूरी श्रृंखला को अवरुद्ध करने में मदद करता है। MTP सुरक्षा, रोकथाम, पता लगाने और समापन बिंदु, ईमेल, खातों और अनुप्रयोगों के प्रबंधन के लिए विभिन्न Microsoft 365 सुरक्षा सेवाओं की क्षमताओं को जोड़ती है।

बिल्ट-इन इंटेलिजेंस, ऑटोमेशन और इंटीग्रेशन टूल्स का उपयोग करते हुए, एमटीपी हमलों को रोकने, घुसपैठियों की उपस्थिति को खत्म करने और स्वचालित रूप से हमला किए गए संसाधनों को पुनर्प्राप्त करने में सक्षम है। यह उपकरण जांच और प्रतिक्रिया के संदर्भ में घटनाओं को प्राथमिकता देने में मदद करने के लिए अलर्ट और अलर्ट की तुलना और समेकन करता है। एमटीपी में अद्वितीय क्रॉस-डोमेन खोज क्षमताएं भी हैं जो हमले के विकास को पहचानने में मदद करेगी और यह समझेंगी कि प्रत्येक मामले में रक्षा को कैसे मजबूत किया जाए।

Microsoft खतरा संरक्षण चिप-टू-क्लाउड दृष्टिकोण का हिस्सा है, जो हार्डवेयर, ऑपरेटिंग सिस्टम और क्लाउड सुरक्षा की सुरक्षा को जोड़ती है। विंडोज 10 में हार्डवेयर-समर्थित सुरक्षा विशेषताएं, जैसे एड्रेस स्पेस लेआउट रैंडमाइजेशन (एएसएलआर), कंट्रोल फ्लो प्रोटेक्शन (सीएफजी), और अन्य, उन सहित कई गंभीर खतरों के लिए प्लेटफ़ॉर्म के प्रतिरोध को बढ़ाते हैं। कि कर्नेल चालक कमजोरियों का फायदा उठाते हैं। इन सुरक्षा विशेषताओं को मूल रूप से Microsoft डिफेंडर एटीपी में एकीकृत किया गया है, जो एंड-टू-एंड सुरक्षा प्रदान करता है जो विश्वास के मजबूत हार्डवेयर रूट से शुरू होता है। सुरक्षित कर्नेल ( सुरक्षित-कोर पीसी ) वाले कंप्यूटरों पर , ये प्रतिबंध डिफ़ॉल्ट रूप से सक्षम हैं।

हम अपने ग्राहकों, भागीदारों और अनुसंधान समुदाय के साथ काम करना जारी रखते हैं ताकि लोगों द्वारा संचालित रैनसमवेयर और अन्य परिष्कृत उपकरणों को ट्रैक किया जा सके। मुश्किल मामलों में, ग्राहक जांच और पुनर्प्राप्ति में मदद करने के लिए Microsoft डिटेक्शन एंड रिस्पॉन्स (DART) कमांड का उपयोग कर सकते हैं ।

परिशिष्ट: MITER ATT & CK की खोज की तकनीक

मानव-प्रबंधित रैनसमवेयर कार्यक्रमों का उपयोग करने वाले हमलों में कई तकनीकों का उपयोग होता है जो विशेषाधिकार प्राप्त डोमेन खातों पर नियंत्रण प्राप्त करने के बाद हमलावरों के लिए उपलब्ध हैं। नीचे सूचीबद्ध तकनीकों को व्यापक रूप से अप्रैल 2020 में स्वास्थ्य सेवा और महत्वपूर्ण संगठनों के खिलाफ हमलों में इस्तेमाल किया गया था।

साख तक पहुंच:

T1003 क्रेडेंशियल डंपिंग | LaZagne, Mimikatz, LsaSecretsView और अन्य क्रेडेंशियल संग्रह उपकरण, साथ ही समाप्ति बिंदुओं पर CVE-2019-11510 का उपयोग ।

दीर्घकालिक उपस्थिति:

T1084 विंडोज मैनेजमेंट इंस्ट्रूमेंटेशन इवेंट सब्सक्रिप्शन | WMI ईवेंट की सदस्यता लें।
T1136 खाता बनाएँ | नए RDP खाते बनाएँ।

प्रबंधन और नियंत्रण:

T1043 आमतौर पर इस्तेमाल किया पोर्ट | पोर्ट 443 का उपयोग करना।

अध्ययन:

T1033 सिस्टम मालिक / उपयोगकर्ता डिस्कवरी | अलग-अलग टीमें।
T1087 खाता खोज | LDAP और AD क्वेरी, साथ ही साथ अन्य कमांड।
T1018 रिमोट सिस्टम डिस्कवरी | पिंग्स, क्विंस्टा और अन्य उपकरण और कमांड।
T1482 डोमेन ट्रस्ट डिस्कवरी | Nltest के साथ डोमेन ट्रस्ट गणन।

निष्पादन:

T1035 सेवा निष्पादन | CMD- (जैसे ComSpec) और पॉवरशेल कमांड चलाने के लिए पंजीकृत सेवा।

"पार्श्व विस्थापन":

T1076 रिमोट डेस्कटॉप प्रोटोकॉल | नेटवर्क पर अन्य मशीनों तक पहुंचने के लिए RDP का उपयोग करें।
T1105 रिमोट फाइल कॉपी | WMI और PsExec का उपयोग कर पार्श्व विस्थापन।

सुरक्षात्मक उपकरण से बचाव:

मेजबान पर T1070 संकेतक हटाने | Wevutil का उपयोग करके क्लीयर ईवेंट लॉग, fsutil का उपयोग करके USN लॉग को हटाना, cipher.exe का उपयोग करके ड्राइव पर अप्रयुक्त स्थान को हटाना।
T1089 सुरक्षा उपकरण अक्षम करना | प्रोसेसहैकर का उपयोग करने के साथ-साथ कमजोर सॉफ्टवेयर ड्राइवरों का उपयोग करके एंटीवायरस और अन्य सुरक्षा को रोकना या हैक करना।

प्रभाव:

T1489 सेवा रोक | एन्क्रिप्शन से पहले सेवाओं को रोकें।
T1486 डेटा प्रभाव के लिए एन्क्रिप्टेड | अतिक्रमण एन्क्रिप्शन।

रैंसमवेयर रैंसमवेयर से जुड़े जोखिमों को कैसे कम करें