L'ultimo attacco di ransomware-as-a-service lascia il noto rivenditore, Kmart, con interruzioni di servizio e una Active Directory compromessa.
Sulla scia del "ritiro" del ransomware Maze avvenuto il mese scorso, molti dei suoi affiliati sono passati al nuovo arrivato nel panorama dei ransomware, Egregor. Il nome deriva da un termine occulto che indica l'energia o la forza collettiva di un gruppo di individui (una scelta appropriata, dato il modello di affiliazione del ransomware); Egregor segue le orme di Maze ricorrendo alla crittografia, al furto di dati e all'estorsione come mezzi per garantire il pagamento del riscatto.
Secondo il rapporto sull'attacco pubblicato su Bleeping Computer, la richiesta di riscatto conferma che il dominio Active Directory di Kmart è stato compromesso nel corso dell'attacco. Sebbene non siano stati forniti dettagli specifici, possiamo formulare alcune ipotesi plausibili sulla base di attacchi simili avvenuti in precedenza, in cui Maze, Ryuke Save the Queen hanno compromesso e sfruttato Active Directory per diffondere il payload del ransomware al maggior numero possibile di sistemi. Ciascuna di queste varianti ha ottenuto un accesso privilegiato ad Active Directory e ha apportato specifiche modifiche dannose, il che significa che, in qualche fase del processo, almeno un account con diritti amministrativi su parte o su tutto Active Directory è stato compromesso e una porzione di Active Directory finisce per trovarsi in un ambiente controllato dall'autore dell'attacco, non sicuro.
Questo è preoccupante da alcuni punti di vista:
1. Active Directory non avrebbe dovuto essere vulnerabile – Sappiamo tutti che Active Directory funge ancora da archivio centrale primario delle identità per una parte consistente delle organizzazioni odierne – anche per quelle che adottano una strategia ibrida in materia di identità. Il fatto che il "dominio" sia stato compromesso implica anche che Active Directory rimanga un elemento chiave della rete di Kmart. Active Directory è spesso il fulcro degli attacchi ransomware che si diffondono rapidamente in rete. Sfortunatamente, una volta che Active Directory viene compromesso, si apre praticamente una strada spianata verso ogni sistema connesso nell’ambiente. Poiché Active Directory è così pesantemente sfruttato e, allo stesso tempo, costituisce la spina dorsale dell’organizzazione, richiede una protezione aggiuntiva. Come minimo, si tratta di monitorare e segnalare le modifiche. Idealmente, dovrebbe esserci anche un modo per proteggere le modifiche a specifici account con privilegi elevati, gruppi e altri oggetti, attivando approvazioni del flusso di lavoro e/o rollback automatici.
2. Kmart è stata fortunata – Da tutte le segnalazioni, sembra che non tutte le operazioni di Kmart siano state interrotte. Ciò significa probabilmente che Active Directory è stato compromesso ma non reso indisponibile, consentendo a tutti i servizi dipendenti dal dominio in tutta la foresta di continuare a funzionare. Ma ci sono stati casi in cui le organizzazioni non sono state così fortunate, come l' attacco NotPetya del 2018 contro Maersk , che ha resoinutilizzabileletteralmente ogni singolocontrollerdi dominio,ad eccezione di un server offline trovato in un ufficio remoto in Ghana. È negligente presumere che un attacco informatico non metterà mai fuori uso Active Directory; è fondamentale avere la capacità di ripristinarlo facilmente e, soprattutto, rapidamente.
3. Riportare Active Directory a uno stato di sicurezza accertato probabilmente non è stato facile – In molte organizzazioni, le modifiche dannose ad Active Directory potrebbero passare passano inosservate, ma sicuramente vengono tollerate per un periodo sufficientemente lungo da far sì che l’impatto dannoso si faccia sentire. Se non sapete cosa è stato modificato in Active Directory, come potete sapere cosa deve essere ripristinato o riportato indietro per correggere eventuali modifiche dannose? Sono stati creati nuovi account utente fasulli? Modifiche all'appartenenza al gruppo Domain Admins? E che dire delle modifiche alle politiche di gruppo per concedere i diritti "Agisci come sistema operativo" ai controller di dominio o a ogni workstation? L'elenco potrebbe continuare all'infinito. In breve, senza proteggere Active Directory, non è possibile correggere facilmente le modifiche apportate, il che richiede uno sforzo di ripristino che probabilmente non sarà semplice come "ripristinare il dominio allo stato di ieri a mezzogiorno".
Egregor è un giocatore relativamente nuovo sulla scenae ci aspettiamo di vedere il suo nome in altri titoli nei mesi a venire. Sapete già che se Active Directory cade, può cadere anche il resto della vostra rete. Pertanto, l'ultimo attacco ransomware di Egregor a Kmart dovrebbe ricordarvi che Active Directory richiede un'attenzione particolare nell'ambito della vostra strategia di sicurezza informatica. Proteggetela con forza, tenendo fuori gli attori delle minacce. In secondo luogo, considerate che anche se avete messo in atto una strategia di difesa in profondità solo per Active Directory, un giorno ci sarà comunque un attacco chesupererà le difese, richiedendoche supererà le difese, richiedendo di essere in grado di ripristinare Active Directory allo stato precedente all'attacco, che si tratti di una singola modifica, dell'intera foresta o di una via di mezzo.
