ransomware-as-a-service (RaaS)

Ransomware-as-a-service (RaaS) to model przestępczy, w którym twórcy ransomware udostępniają partnerom gotowe narzędzia, panel i infrastrukturę do ataków w zamian za udział w okupie. Microsoft opisuje RaaS jako układ między operatorem a afiliantem: operator rozwija i utrzymuje narzędzia, afiliant przeprowadza włamanie, a zysk dzielą między siebie ^[1]. Nazwa celowo nawiązuje do usług chmurowych w rodzaju SaaS: przestępcy sprzedają za określoną opłatę głównie złośliwe oprogramowanie albo infrastrukturę do ataków ^[4]. RaaS jest odmianą szerszego modelu malware-as-a-service (MaaS).

Jak działa

Model rozdziela pracę między wyspecjalizowane role. Operator dostarcza program szyfrujący, narzędzia do jego budowania, portal płatności i stronę, na której publikuje wykradzione dane ^[1]. Afiliant wchodzi do sieci ofiary, podnosi uprawnienia i uruchamia ładunek ^[1]. Trzecią rolą jest broker początkowego dostępu (initial access broker), który przejmuje sieci i sprzedaje dostęp do nich innym atakującym ^[1].

RYS. 1Role w modelu RaaS

Niebezpiecznik opisuje, jak ten podział wyglądał w LockBicie. Grupa nie prowadziła ataków sama, tylko „licencjonowała” oprogramowanie ^[3]. Zadaniem partnerów było namierzanie wrażliwych systemów: czasem przez włamanie, czasem przez zakup danych uwierzytelniających z wycieków krążących na czarnym rynku, a czasem przez przekupienie pracownika, czyli insidera ^[3]. Partnerzy korzystali ze specjalnego panelu kontrolnego, który ułatwiał użycie narzędzi przygotowanych przez „deweloperów” ^[3]. Według Europolu partnerów LockBita były setki ^[3].

Microsoft nazywa takie ataki ransomware obsługiwanym przez człowieka: na każdym etapie decyzje podejmuje osoba, która dostosowuje działania do słabości znalezionych w sieci ofiary ^[1]. To odróżnia RaaS od masowych, zautomatyzowanych kampanii.

Modele rozliczeń

CyberDefence24, powołując się na CrowdStrike, wymienia cztery sposoby zarabiania grup RaaS ^[4].

Stawki bywają różne. Już w 2015 roku Sekurak opisywał usługę dostępną w sieci TOR, która pobierała 50 USD opłaty wstępnej i 10 procent okupu, a klient dostawał gotowy plik do rozsyłania i prosty panel administracyjny ^[5]. Według CyberDefence24 LockBit pobierał 20 procent zapłaconego okupu i wymagał od nowych partnerów depozytu w wysokości jednego bitcoina ^[4]. Niebezpiecznik podaje, że partnerzy LockBita otrzymywali zwykle około trzech czwartych przychodów z okupów ^[3]. CISA zwraca uwagę na rozwiązanie wyróżniające LockBita: afilianci dostawali okup, zanim przekazali część grupie głównej ^[2].

W WordPressie

Strona na WordPressie jest aplikacją dostępną publicznie. CISA wymienia wykorzystanie aplikacji publicznie dostępnych jako jeden ze sposobów, w jaki afilianci LockBita uzyskiwali dostęp, obok nadużycia RDP, phishingu i przejętych, ważnych danych logowania ^[2]. Dla modelu RaaS serwer z podatnością we wtyczce albo przejętym kontem administratora to towar: broker może sprzedać dostęp afiliantowi ^[1].

W praktyce oznacza to, że te same zabezpieczenia, które chronią przed zwykłym włamaniem, ograniczają ryzyko ataku RaaS. Dokumentacja WordPressa przypomina, że starsze wersje nie są utrzymywane i nie dostają poprawek bezpieczeństwa ^[6]. Zaleca też regularne kopie całej instalacji, obejmujące pliki rdzenia i bazę danych, przechowywane w zaufanym miejscu ^[6].

Zagrożenia i skutki

Model RaaS obniża próg wejścia. Sekurak zwracał uwagę, że usługa nie wymagała od klienta wiedzy technicznej ^[5]. Skala potrafi być duża: według CISA w 2022 roku LockBit był najczęściej wdrażanym wariantem ransomware na świecie ^[2]. W USA od stycznia 2020 roku przypisano mu około 1700 ataków i około 91 mln USD zapłaconych okupów ^[2].

Operatorzy RaaS prowadzą strony z wykradzionymi danymi ^[1], więc atak łączy zwykle szyfrowanie z groźbą publikacji, czyli podwójne wymuszenie (double extortion). Utrata danych osobowych może być też naruszeniem ochrony danych osobowych w rozumieniu RODO.

Jak się bronić

Zalecenia Microsoftu i CISA dotyczą przede wszystkim tego, jak afilianci wchodzą do sieci i się po niej poruszają.

• Poprawki. CISA zaleca szybkie łatanie, dla krytycznych podatności w ciągu 24–48 godzin ^[2]. Microsoft zaznacza, że atakujący potrafią zacząć wykorzystywać podatności uwierzytelniania w ciągu godziny ^[1].
• Tożsamość. Uwierzytelnianie wieloskładnikowe (MFA) dla wszystkich kont i ochrona kont uprzywilejowanych ^[1].
• Kopie offline. CISA zaleca kopie przechowywane poza siecią ^[2]; zob. kopia niezmienna (immutable backup).
• Segmentacja i logi. CISA wymienia segmentację sieci, listy dozwolonych aplikacji i rozszerzone logowanie ^[2].
• Wykrywanie. Microsoft zaleca m.in. EDR (Endpoint Detection and Response) w trybie blokowania i ochronę narzędzi bezpieczeństwa przed wyłączeniem ^[1].

Historia i przykłady

• Listopad 2015. Sekurak opisuje usługę ransomware w sieci TOR dostępną za 50 USD i 10 procent okupu ^[5].
• 9 maja 2022. Microsoft publikuje analizę gospodarki RaaS i ról operatora, afilianta i brokera dostępu ^[1].
• 14 czerwca 2023. CISA wraz z partnerami wydaje ostrzeżenie AA23-165A o LockBicie ^[2].
• Luty 2024. W operacji Cronos, prowadzonej m.in. przez brytyjską NCA, Europol, FBI i polskie CBZC, przejęto 34 serwery LockBita, ponad 200 kont kryptowalutowych oraz 1000 kluczy deszyfrujących ^[3]. Zatrzymano dwie osoby, w Polsce i na Ukrainie ^[3]. Według władz USA, na które powołuje się Niebezpiecznik, grupa zaatakowała ponad 2000 firm i zebrała około 120 mln USD okupów ^[3].