Von der Warnung der groben Kraft an ein System von Ransomware: so eine exponierte RDP ergab eine kriminelle Operation

Es braucht sehr wenig für das, was wie ein Routinealarm aussieht, um die Spitze eines Eisbergs zu werden. Eine grobe Kraftwarnung gegen einen Remoto Desktop (RDP) Dienst, der dem Internet ausgesetzt ist, wird in der Regel als tägliche Veranstaltung behandelt: IP ist blockiert, Versuche werden überprüft und Fall geschlossen. Aber wenn ein Antwortteam entscheidet, den Faden mit investigativer Neugier zu ziehen, erscheinen Verbindungen oft, die eine viel anspruchsvollere kriminelle Operation zeichnen.

Im heutigen Vorfall öffnete ein erfolgreicher Start-up nach einer brutalen Kraftkampagne die Tür zu einer forensischen Tour, die ein ungewöhnliches Verhalten zeigte: ein Schauspieler, der Anmeldeinformationen in Dateien sucht, eine von Ländern und Domänen verteilte Infrastruktur, die VPN-Dienste mit Versprechen von "kein Login" bezeichnete. All dies passt in ein Ransomware-Ökosystem als Service und die Logik derjenigen, die den ersten Zugriff auf Netzwerke an Dritte verkaufen.

Die RDP-Belichtung ist einer der am häufigsten verwendeten Vektoren. Obwohl viele Organisationen nicht helfen können, aber einen Fernzugriff aus betrieblichen Gründen bieten, ist dieses Fenster zur Außenwelt ein konstantes Ziel. Microsoft und Cyber-Sicherheitsspezialisten erinnern sich seit Jahren an die Risiken der Veröffentlichung von RDP-Diensten ohne entsprechende Schutzmaßnahmen; es ist ratsam, offizielle Anleitungen zu konsultieren, um die Angriffsfläche zu minimieren, wie Microsofts technische Dokumentation zum Fernzugriff.

Die forensische Untersuchung begann mit Windows-Aufzeichnungen: Während in vielen Umgebungen die Protokolle mit Authentifizierungsversuchen überschrieben und Wertverluste, in diesem Fall gab es noch nützliche Spuren. Analysten erkannten, dass, obwohl mehrere Konten angegriffen wurden, nur einer kompromittiert wurde. Was die Aufmerksamkeit bekam, war, dass dieses Konto von mehreren IP-Adressen verwendet wurde, aber mit Zeitmustern, die einen einzelnen Schauspieler anzeigten, der verschiedene Server steuerte, nicht mehrere unabhängige Angreifer.

Mit dem Zugriff auf den Host hat der Angreifer eine Liste der Domain erstellt und Anmeldeinformationen gesucht. Hier tauchte eine weitere Anomalie auf: statt sofort auf automatische Techniken für die Extraktion von Anmeldeinformationen - wie das Umdrehen von LSASS mit bekannten Werkzeugen - der Eindringling öffnete Textdateien mit passwortbezogenen Namen und visualisierte sie mit dem Notebook. Die Jumplisten bestätigten das Vorhandensein von manuellen Suchvorgängen innerhalb des Systems, eine weniger häufige, aber effektive Prozedur, wenn Geheimnisse in Dateien gespeichert sind.

Dieses Verhalten führte zu einer zweiten Phase der Forschung: die zugehörigen PIs- und TLS-Zertifikate zu verfolgen. Die Grenzen der Zertifikate und der öffentlichen Daten ergaben Domänen und Adressen, die ein Netzwerk mit einer Präsenz in mehreren Ländern bildeten, oft unter dem gleichen Namen Konvention. Diese Art der Kartierung ist möglich dank der Pivots auf kryptographischen Drucken und Suchvorgängen in öffentlichen Repositorien wie Auflieger, die bekannte schädliche Infrastruktur katalogisiert.

Aus diesen Drehpunkten entstanden verdächtige Domains und Services, die legitime VPN-Lieferanten - mit kleinen Unterschieden in der Schreibweise - imitierten und andere, die explizit "keine Aufzeichnungen" Richtlinien boten, etwas sehr attraktiv für Schauspieler, die Anonymität suchten. Eine betriebsbezogene Domain wurde auch mit Ransomware-Familien und Berichten von Cybersicherheitsagenturen verknüpft. Insbesondere Körper wie die CISA haben Mitteilungen veröffentlicht, die Adressen und Kampagnen mit Gruppen von Ransomware verbinden, was hilft, die Ernsthaftigkeit der Suche zu bestätigen.

Der Beweissatz - anfänglicher Zugriff durch RDP, aktive Datei-Anmelder suchen, geographisch replizierte Infrastruktur und skrupellose VPN-Dienste - passt zu dem, was als Cyber-Kriminalität-Wert-Kette bekannt ist: Erstzugriff Broker, die Zugriff verkaufen, und Ransomware-Anwender, die diesen Zugang zu Verschlüsselungsnetzwerken nutzen. Um die Techniken und Verfahren zu verstehen, die von den Angreifern verwendet werden, ist es nützlich, sich auf Frames wie MITRE ATT & CK, die Taktiken wie die Erfassung von Anmeldeinformationen und die Aufzählung von Domains beschreiben.

Über die Beschreibung des Angriffs hinaus gibt es zwei klare Betriebsstunden. Die erste ist, dass Verteidigungsteams viel verdienen, wenn sie nicht "gemeinsame" Warnungen herunterladen und eine inquisitive Mentalität anwenden: kleine Daten (ein Zertifikat, eine IP, eine offene Datei) können Routen werden, um ein komplettes negatives Netzwerk zu bilden. Die zweite ist, dass Angreifer nicht immer dem Handbuch folgen: Sie nehmen manchmal unorthodoxe Methoden an, wie z.B. die Überprüfung von Textdateien, die kontuitiv fruchtbar sind und daher in defensiven Spielbüchern berücksichtigt werden müssen.

Im Hinblick auf die Minderung sollten konkrete und nachhaltige Maßnahmen ergriffen werden. Vermeiden Sie die direkte Exposition von RDP im öffentlichen Internet, die Bereitstellung von Multifaktor-Authentifizierung für Remote-Zugang, und halten Sie Aufzeichnungen von Ereignissen mit ausreichender Retention sind grundlegende Säulen. Es ist auch wichtig, ungewöhnliche Verbindungen zu überwachen und sie mit der Suche nach Zertifikaten und Domains im Zusammenhang mit schädlicher Infrastruktur korrelieren; für diejenigen, die die Verteidigung verwalten, Quellen wie CISA StopRansomware bieten aktuelle praktische Anleitungen und Ressourcen.

Schließlich unterstreicht der Fall die Bedeutung des Teilens der Intelligenz und der Aufrechterhaltung der Zusammenarbeit zwischen den Reaktionsteams, den Sicherheitsanbietern und den Agenturen. Als Forscher von einer IP zu Domänen und Dienstleistungen schwenken konnten, die Anonymitätsanbieter imitierten, ermöglichte die kollektive Sichtbarkeit es, den Vorfall innerhalb einer größeren kriminellen Wirtschaft zu platzieren, die nicht mit einem einzigen, isolierten Rekord erreicht wird.

Wenn etwas klar ist, basieren die Finanzmechanismen von Cyberkriminalität auf Infrastruktur und Dienstleistungen, die wie Anoden aussehen: TLS-Zertifikate, kleine Typosquating-Domains und VPN bietet "ohne Aufzeichnungen". Verstehen, wie diese Elemente zusammengebaut werden und Unterrichtsteams, jeden verdächtigen Faden zu ziehen, ist heute eine der besten Möglichkeiten, das Leben für diejenigen, die mit Zugang und Erpressungsorganisationen handeln schwierig zu machen.

Für diejenigen, die spezifische Techniken und ähnliche Fälle vertiefen wollen, ist es neben den Führern der Regierungsbehörden nützlich, technische Repositorien und forensische Analyse von spezialisierten Teams und Reaktionsgemeinschaften zu konsultieren. Ein praktischer Ausgangspunkt für die Überprüfung von schädlichen Infrastruktur-Listen ist das Projekt Auflieger, und um Beispiele von Werkzeugen für die Extraktion von Anmeldeinformationen zu erkunden, können Sie das Projektarchiv von Projekten wie Mimikatz. Es gibt auch Dokumente und Beispiele, die unabhängige Forscher gesammelt haben Öffentliche Gisten die zeigen, wie die Drehpunkte von Zertifikaten und Domains ganze Netzwerke zeigen.

Kurz gesagt, nicht unterschätzen eine brutale Kraftwarnung: mit der richtigen Methodik und einige Forschung Geduld kann es der Schlüssel sein, ein Netzwerk zu entdecken, um hocheffiziente Operationen zu unterstützen. Und für diejenigen, die Systeme verteidigen, ändert sich die Empfehlung nicht: Priorität wird gegeben, um Exposition, proaktive Erkennung und Zusammenarbeit zwischen Teams zu reduzieren.