S-a descoperit o nouă tulpină de ransomware specializată în furtul informațiilor de conectare din browserul Chrome

O nouă tulpină de ransomware numită Qilin a fost descoperită folosind o tactică relativ sofisticată, foarte personalizabilă, pentru a fura informațiile de conectare la cont stocate în browserul Google Chrome.

Echipa internațională de cercetare în domeniul securității Sophos X-Ops a observat tehnicile de colectare a acreditărilor în timpul răspunsului la incident la Qilin. Acest lucru arată o schimbare alarmantă în tendințele de funcționare ale acestei tulpini periculoase de ransomware.

Prezentare generală a procesului de atac

Atacul analizat de cercetătorii Sophos a început cu malware-ul Qilin care a accesat cu succes rețeaua țintă folosind acreditări compromise pe un gateway VPN fără autentificare multifactor (MFA).

Aceasta a fost urmată de o perioadă de 18 zile de „hibernare” a programelor malware, ceea ce indică faptul că hackerii au achiziționat probabil acces la rețea printr-un broker de acces inițial (IAB). Este posibil ca Qilin să fi petrecut timp cartând rețeaua, identificând activele cheie și efectuând recunoașteri.

După primele 18 zile, malware-ul se deplasează lateral către controlerele de domeniu și modifică obiectele de politică de grup (GPO) pentru a executa un script PowerShell („IPScanner.ps1”) pe toate mașinile conectate la rețeaua de domeniu.

Acest script este executat de un script batch ("logon.bat") și este, de asemenea, inclus în GPO. Este conceput pentru a colecta informații de conectare stocate în Google Chrome.

Scriptul batch este configurat să ruleze (și să declanșeze scriptul PowerShell) de fiecare dată când un utilizator se conectează la computerul său. În paralel, acreditările furate vor fi salvate pe partiția „SYSVOL” sub numele „LD” sau „temp.log”.

După trimiterea fișierelor către serverul de comandă și control (C2) al lui Qilin, copiile locale și jurnalele de evenimente aferente au fost șterse pentru a ascunde activitatea rău intenționată. În cele din urmă, Qilin implementează încărcătura utilă de ransomware și datele criptate pe mașinile compromise.

Un alt GPO și un fișier de comandă separat („run.bat”) sunt, de asemenea, folosite pentru a descărca și executa ransomware-ul pe toate mașinile din domeniu.

Complexitate în apărare

Abordarea lui Qilin cu privire la acreditările Chrome creează un precedent îngrijorător care ar putea face mai dificilă protecția împotriva atacurilor ransomware.

Deoarece GPO este aplicat tuturor mașinilor din domeniu, fiecare dispozitiv pe care utilizatorul este conectat este supus procesului de colectare a acreditărilor.

Aceasta înseamnă că scriptul este capabil să fure acreditări de la toate mașinile din sistem, atâta timp cât acele mașini sunt conectate la domeniu și au un utilizator conectat în timpul rulării scriptului.

Un astfel de furt amplu de acreditări ar putea permite hackerilor să lanseze alte atacuri, ducând la incidente de securitate care se întind pe mai multe platforme și servicii, făcând eforturile de răspuns mult mai greoaie. Acest lucru reprezintă, de asemenea, o amenințare persistentă care durează mult timp după ce incidentul ransomware este rezolvat.

Organizațiile pot atenua riscul prin implementarea unor politici stricte pentru a interzice stocarea secretelor în browserele web. În plus, implementarea autentificării cu mai mulți factori este esențială pentru a proteja conturile împotriva preluării, chiar și în cazul acreditărilor compromise.

În cele din urmă, implementarea principiilor privind cel mai mic privilegiu și segmentarea rețelei poate împiedica semnificativ capacitatea unui actor de amenințare de a se răspândi într-o rețea compromisă.