Ransomware is een blijvertje

Onze ogen zijn momenteel gericht op een nieuwe ransom­ware-variant genaamd Petya die zich op wereld­wijde schaal als een lopend vuurtje verspreidt. Dit heeft funeste gevolgen voor diverse sectoren, met inbegrip van orga­ni­sa­ties die vitale infra­struc­turen beheren, zoals ener­gie­be­drijven, banken en transportbedrijven.

Deze geavan­ceerde nieuwe ransom­ware is speciaal ontwik­keld om snel misbruik te maken van recent onthulde exploits en maakt gebruik van dezelfde kwets­baar­heden die werden ingezet voor de eerste Wannacry-aanval in mei dit jaar. Voor deze nieuwe aanval wordt gebruik­ge­maakt van een zoge­naamde ‘ransom­worm’. Deze luistert naar de naam Petya. De aanval richt zich niet op één orga­ni­satie, maar hanteert een soort van sleepnet-aanpak. De ransom­ware probeert elk apparaat te infec­teren dat het maar tegenkomt om vervol­gens misbruik te maken van bepaalde kwetsbaarheden.

Het lijkt erop dat deze aanval begon met de versprei­ding van een Excel-document met kwaad­aar­dige code die misbruik maakte van een Microsoft Office-exploit. Na een apparaat via deze weg te hebben geïn­fec­teerd, maakt Petya misbruik van dezelfde kwets­baar­heid waarmee Wannacry zich naar andere apparaten verspreidde. Het worm­ach­tige gedrag van de nieuwe ransom­ware is te wijten aan het feit dat Petya actief naar een SMB-server zoekt. Het lijkt er namelijk op dat die zich verder verspreidt via de SMB-exploits Eter­n­al­Blue en WMIC.

Zodra Petya een kwetsbaar apparaat is binnen­ge­drongen, maakt de worm de Master Boot Record (MBR) onklaar. Daarop krijgt de gebruiker de volgende melding te zien: “Your files are no longer acces­sible because they have been encrypted”, vergezeld van de eis om voor circa 300 dollar aan losgeld te betalen in de vorm van Bitcoins. De gebruiker wordt er daarbij fijntjes op gewezen dat het uitzetten van de computer zal resul­teren in het volledige verlies van het systeem.

Dit is een andere tactiek dan het gebruik van een aftel­timer of het beetje bij beetje verwij­deren van bestanden, zoals bij andere ransom­ware-varianten het geval is. Bij de meeste ransom­ware-aanvallen loopt de gebruiker alleen kans om gegevens te verliezen. Maar omdat Petya de Master Boot Record wijzigt, loopt het slacht­offer de kans dat diens complete systeem wordt gewist. Bovendien zorgt Petya ervoor dat het systeem om het uur opnieuw wordt opgestart. Daarmee wordt een extra denial-of-service-dimensie aan de aanval toegevoegd.

Petya maakt opvallend genoeg niet alleen gebruik van Microsoft Office-exploits, maar ook hetzelfde aanvals­ka­naal als Wannacry. De ransom­worm maakt misbruik van exact dezelfde kwets­baar­heden in Microsoft-systemen die eerder dit jaar door de Shadow Brokers werden onthuld. Maar omdat er voor deze exploit gebruik werd gemaakt van aanvul­lende aanvals­ka­nalen, zou het instal­leren van de laatste patches onvol­doende zijn geweest om deze aanval te pareren. Bedrijven kunnen er dus niet omheen om patching te combi­neren met effec­tieve bevei­li­gingstools en ‑prak­tijken.

Er zijn een aantal inte­res­sante aspecten aan deze aanval verbonden. Ten eerste: ondanks alle rucht­baar­heid die is gegeven aan de kwets­baar­heden in Microsoft en de daarvoor beschik­bare patches, zijn er blijkbaar nog altijd duizenden orga­ni­sa­ties die verzuimd hebben om de laatste patches te instal­leren. Ondanks de wereld­wijde Wannacry-aanval, en ondanks het feit dat een aantal van deze orga­ni­sa­ties verant­woor­de­lijk is voor het beheer van vitale infra­struc­turen. Ten tweede is de Petya-aanval mogelijk niet meer dan een test, en zullen er in de toekomst meer aanvallen volgen die misbruik maken van recent onthulde kwetsbaarheden.

Wannacry was in finan­cieel opzicht niet bijster succesvol. De aanval bracht weinig geld in het laatje van de program­meurs. Dat was ten dele te wijten onder­zoe­kers die erin slaagden om een verborgen kill switch (een soort van nood­stop­knop) te vinden die de aanval tot stilstand bracht. Hoewel de payload (kwaad­aar­dige code) van Petya een veel geavan­ceerder karakter heeft, blijft de vraag of deze ransom­ware-variant vanuit finan­cieel oogpunt succes­voller is dan zijn voorganger.

Ransom­ware heeft het afgelopen jaar een razend­snelle opmars gemaakt en een spoor van vernie­ling aange­richt. Er is bovendien sprake van een verba­zing­wek­kend breed scala aan ransomware-varianten.

Bij de aller­eerste ransom­ware-golf was er sprake van een gerichte aanval. Er werd van tevoren een slacht­offer uitge­kozen, waarop speciale aanvals­tech­nieken werden ontwik­keld om de orga­ni­satie of het netwerk in kwestie te treffen. Daarbij werden bestanden versleu­teld, zodat het slacht­offer daar geen toegang meer toe kan krijgen. Vervol­gens wordt er losgeld gevraagd in ruil voor een code waarmee de bestanden weer konden worden ontsleuteld.

Onder­tussen is er sprake van een toename van het aantal ransom­ware-aanvallen met een denial-of-service-dimensie. Hierbij wordt een denial-of-service (DDoS)-aanval uitge­voerd om de systemen en ICT-diensten van orga­ni­sa­ties te over­be­lasten, zodat klanten en eind­ge­brui­kers daar geen toegang meer toe kunnen krijgen. Vervol­gens wordt er om losgeld gevraagd. Pas als er wordt betaald, houdt de aanval op.

De Mirai-aanval die in augustus en september van 2016 plaats­vond, was de grootste DDoS-aanval uit de geschie­denis. Hierbij werden honderd­dui­zenden geïn­fec­teerde IoT-apparaten omgevormd tot een kwaad­aardig botnet. Recen­te­lijk maakte een nieuw, op Mirai gelijkend IoT-botnet genaamd Hajimie misbruik van digitale video­ap­pa­ra­tuur om orga­ni­sa­ties te bestoken met een groot­scha­lige DDoS-aanval. Ook in dit geval werd losgeld gevraagd in ruil voor het stop­zetten van de aanval. Hajime is een nieuwe generatie cross-platform IoT-exploit die het momenteel op vijf verschil­lende platforms heeft gemunt. Het platform maakt gebruik van een toolkit die bepaalde hande­lingen auto­ma­ti­seert, evenals lijsten met dyna­mi­sche wacht­woorden die het mogelijk maken om de aanval in stand te houden en tech­nieken die menselijk gedrag nabootsen, zodat de aanval lange tijd onop­ge­merkt blijft.

Deze ontwik­ke­lingen nemen een inte­res­sante wending met de opkomst van ransom­ware-as-a-service (RaaS), dat minder technisch onder­legde crimi­nelen in staat stelt om ransom­ware-tech­no­logie in te zetten om zichzelf te verrijken met losgeld. In ruil voor het gebruik van een RaaS-platform betalen zij de ontwik­ke­laars een percen­tage van de winst. Recen­te­lijk obser­veerden we de aller­eerste RaaS-ransom­ware die het op het MacOS had voorzien. Dit bestu­rings­sys­teem vormde tot voor kort slechts zelden een doelwit van cyber­cri­mi­nelen. Maar aangezien het profiel van een Mac-gebruiker zowel technici (ontwer­pers etc.) als topmensen omvat, zou de toename van het aantal aanvallen op Mac’s aller­minst als een verras­sing moeten komen.

Wat we nu zien, is dat er twee nieuwe exploits aan het ransom­ware-pallet worden toege­voegd. Met Wannacry maakten ontwik­ke­laars van ransom­ware voor het eerst gebruik van een worm om het versprei­dings­proces te versnellen en de reik­wijdte van hun aanval te vergroten. En met Petya wordt nu ook de Master Boot Record gema­ni­pu­leerd. En als een orga­ni­satie geen losgeld betaalt, loopt die niet alleen het gevaar dat er bestanden verloren gaan, maar dat het hele systeem wordt gewist.