kuanzishwa
Ransomware ni mojawapo ya vitisho vya mtandao vinavyosumbua zaidi, kusimba data muhimu ya shirika na kudai malipo ya fidia ili kurejesha. Ingawa kampeni za mapema zilitegemea ulaghai mkubwa au usambazaji wa programu hasidi nyemelezi, utendakazi wa kisasa wa programu ya ukombozi umebadilika na kuwa mashambulizi ya hali ya juu, yaliyolengwa. Maadui wa siku hizi sio tu kwamba huambukiza mashine bali pia husogea pembeni kwenye mitandao, huvuna stakabadhi, punguza ulinzi, na kudumisha udhibiti unaoendelea—yote hayo huku yakiwa ya siri na kukwepa kutambuliwa.
Kanusho : Zana za Ufikiaji wa Mbali zinazojadiliwa katika blogu hii ni bidhaa halali za programu zilizoundwa kusaidia usimamizi wa TEHAMA na usaidizi wa mbali. Makala haya yanaangazia jinsi wapinzani wanavyoweza kuzitumia vibaya katika kampeni za ransomware ikiwa zimepangwa vibaya, hazijasimamiwa vizuri, au hazijafuatiliwa. Haionyeshi kwamba zana zenyewe ni hatari au ni mbaya.
Kinachowezesha mashambulizi haya ni unyonyaji wa Zana halali za Ufikiaji wa Mbali (RATs) kama vile AnyDesk, UltraViewer, AppAnywhere, RustDesk, CloneDesk, Splashtop, na TightVNC . Hapo awali ziliundwa kwa ajili ya usimamizi wa TEHAMA na usaidizi wa mbali, nyingi ya zana hizi hutoa matoleo ya bure au yanayopatikana bure , ambayo washambuliaji mara nyingi hutumia vibaya kwa sababu ni rahisi kusambaza, yanaaminika sana, na mara nyingi huorodheshwa katika mazingira ya biashara. Zana hizi hutoa:
- Ufikiaji ambao haujashughulikiwa: Unganisha bila mwingiliano wa mtumiaji
- Uhamisho wa faili: Hamisha jozi au exfiltrate data
- Udhibiti unaoingiliana wa eneo-kazi: Tekeleza majukumu ya usimamizi ukiwa mbali
- Mawasiliano yaliyosimbwa kwa njia fiche: Epuka ufuatiliaji wa mtandao
Mashirika mara nyingi huidhinisha Zana za Ufikiaji wa Mbali na kuamini sahihi zao za dijitali, ambazo washambuliaji hutumia kukwepa vidhibiti vya usalama na kuendelea kwa siri. Kuelewa jinsi Zana za Ufikiaji wa Mbali zinavyotumiwa vibaya ni muhimu kwa kujenga ulinzi madhubuti dhidi ya vitisho vya kisasa vya ukombozi.
Ransomware Kill Chain: Uchanganuzi wa Hatua kwa Hatua
Msururu wa mauaji ya kikombozi unaangazia kila hatua ya shambulio, kuanzia ufikiaji wa awali hadi athari ya mwisho. Wavamizi wanapotumia Zana halali za Ufikiaji wa Mbali, hupata siri, uthabiti na udhibiti, hivyo kufanya ugunduzi na upunguzaji kuwa ngumu zaidi.
Kuelewa kila hatua ya mlolongo wa mauaji ni muhimu kwa watetezi. Husaidia tu katika kutambua mifumo ya mashambulizi mapema lakini pia katika kujenga ulinzi imara, wenye tabaka ili kuwakomesha washambuliaji kwenye makundi yao. Kwa kuvunja kila awamu, timu za usalama zinaweza kutazamia vyema tabia ya adui na kuchukua hatua kwa wakati ili kutatiza shughuli hasidi kabla ya kusababisha uharibifu mkubwa. Sehemu ifuatayo inatoa uchanganuzi wa kina, hatua kwa hatua wa jinsi waendeshaji wa programu ya ukombozi hutumia Zana halali za Ufikiaji wa Mbali ili kuendeleza kampeni zao.
Hatua ya 1: Ufikiaji wa Awali - Maelewano ya Kitambulisho
Wavamizi hupata ufikiaji halali kwa kutumia vitambulisho vilivyoibiwa au kwa kulazimishwa kwa ukatili, wakikwepa ulinzi huku wakionekana kuwa watumiaji wanaoaminika. Akaunti za wasimamizi wanaolenga hutoa udhibiti wa juu zaidi na kuwezesha hatua za baadaye kama vile uwekaji wa Zana ya Ufikiaji wa Mbali na harakati za kando.
Njia za kawaida za mashambulizi:
- Mashambulizi ya nguvu dhidi ya vituo vya RDP/SMB
- Utumiaji wa kitambulisho kutoka kwa uvujaji au ukiukaji wa hapo awali
- Msimamizi anayelenga akaunti kwa mapendeleo ya juu zaidi
Viashiria vya Ugunduzi:
- Vitambulisho vya Tukio la Windows 4625 → 4624 (logi nyingi zilizoshindwa mara moja ikifuatiwa na mafanikio)
- Aina ya logo ya RDP 10 kwa saa zisizo za kawaida
- Ingizo kutoka kwa jiografia zisizotarajiwa.
Hatua ya 2: Matumizi Mabaya ya Zana - Utekaji nyara dhidi ya Usakinishaji wa Kimya
Baada ya kupata ufikiaji, washambuliaji huzingatia uwekaji wa Zana ya Ufikiaji wa Mbali kwa uendelevu wa siri. Wanaweza kuteka nyara Zana iliyopo ya Ufikiaji wa Mbali ili kuzuia kugunduliwa au kutekeleza usakinishaji wa kimya kwa kutumia visakinishi vilivyotiwa sahihi na alama ndogo zaidi. Usakinishaji wa kimya mara nyingi hutumia bendera za mstari wa amri zinazojulikana, hati za muuzaji, au uhandisi wa kubadilisha nyuma ili kupata vigezo vya kusambaza.
Mbinu ya 1: Utekaji nyara Zana Zilizopo za Ufikiaji wa Mbali
- Eleza Zana za Ufikiaji wa Mbali zilizosakinishwa kupitia WMI, sajili, au PowerShell.
- Ongeza kitambulisho cha mshambulizi au urekebishe usanidi wa ufikiaji.
- Huepuka kuunda faili mpya au michakato, kupunguza hatari ya kugunduliwa.
Njia ya 2: Ufungaji wa Kimya wa Zana za Ufikiaji wa Mbali
- Tumia visakinishi vyepesi, vilivyotiwa saini bila mwingiliano wa watumiaji.
- Alama za Kusakinisha Kimya: /S, /VERYSILENT, /tulia, /NORESTART.
| Zana za Mbali | Amri | Kusudi / Athari |
| Desk yoyote | anydesk.exe -sakinisha "C:\ProgramData\AnyDesk" -silent -start-with-win | Huduma inayoendelea ya ufikiaji wa mbali |
| Kitazamaji Bora | UltraViewer_Setup.exe /VERYSILENT /NORESTART | Sakinisha kimya kimya bila kuwasha upya |
| AppPopote | msiexec /i AppAnywhere.msi /quiet /norestart | Usambazaji wa kimya wa mtindo wa biashara |
| RustDesk | rustdesk.exe -service install -password "Str0ngPass123" | Huwasha ufikiaji wa mbali usiosimamiwa |
| CloneDesk | CloneDesk_Setup.exe /S /D=C:\ProgramData\CloneDesk | Ufungaji wa alama ndogo |
| Splashtop | Splashtop_Streamer.exe /s /i silent=1 precheck=0 confirm=0 | Utulivu, usambazaji wa biashara |
| TightVNC | tightvnc-setup.exe /S /NORESTART | Usakinishaji uliofichwa unaoendeshwa na CLI |
Hatua ya 3: Kudumu na Ujumuishaji wa Mapendeleo
Washambuliaji huongeza funguo za Usajili (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), kazi zilizopangwa zilizofichwa, na marekebisho ya faili za usanidi ili kudumisha ustahimilivu. Ukuaji wa fursa hupatikana kwa kutumia zana kama vile PowerRun au TrustedInstaller, kuruhusu Zana za Ufikiaji wa Mbali kufanya kazi na mapendeleo ya SYSTEM na kukwepa vizuizi vya kiwango cha mtumiaji.
Njia:
- Vifunguo vya Kuendesha Usajili: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
- Kazi Zilizoratibiwa: Kazi zilizofichwa za kuanzisha upya Zana za Ufikiaji wa Mbali kiotomatiki
- Faili za Usanidi: Rekebisha config.toml (RustDesk) kwa ufikiaji usiotarajiwa
- Ukuaji wa Upendeleo: Zindua Zana ya Ufikiaji wa Mbali kama SYSTEM kwa kutumia PowerRun au TrustedInstaller
- Ufuatiliaji: Vifunguo vipya vya usajili, kazi zilizoratibiwa, michakato iliyoinuliwa ya Zana ya Ufikiaji wa Mbali
Hatua ya 4: Udhibiti wa Kuzuia Virusi na Udhibiti wa Kupambana na Uchunguzi
Kwa kutumia Zana za Ufikiaji wa Mbali, wavamizi wanaweza kusimamisha huduma za Antivirus kwa maingiliano, kudhibiti sera za kikundi, na kuongeza saraka za Zana ya Ufikiaji wa Mbali kwenye orodha za kutengwa. Kumbukumbu muhimu husafishwa, na zana za kupasua faili hutumiwa kuondoa ushahidi wa kimahakama, hivyo kufanya uchunguzi wa baada ya tukio kuwa mgumu.
Mbinu:
- Acha huduma za Antivirus: sc kuacha au kituo cha wavu
- Udanganyifu wa sera: Ongeza saraka za Zana ya Ufikiaji wa Mbali kwa vizuizi.
- Kusafisha kumbukumbu: Maadui mara nyingi hutumia mistari ifuatayo ya amri kama sehemu ya Anti-Forensics kufuta kumbukumbu za matukio:
wevtutil cl Usalama
wevtutil cl Mfumo
wevtutil cl Maombi - Kupasua faili: Ondoa mabaki ya mahakama
Hatua ya 5: Usambazaji na Utekelezaji wa Upakiaji
Wavamizi husimamisha huduma za Kingavirusi, kurekebisha sera za usalama, kuzima mbinu za uokoaji, weka kumbukumbu za matukio, na kupasua faili nyeti ili kukwepa kutambuliwa na kuzuia uchunguzi wa kitaalamu. Wanaweza pia kuharibu suluhu za chelezo, kuzima nakala za vivuli, na kutumia Living-off-the-Land Binaries (LOLBins) kama vile rundll32 au PowerShell ili kuchanganya vitendo hasidi na michakato halali. Vitendo hivi huhakikisha mwonekano mdogo kwa watetezi na kuunda mazingira salama ya utekelezaji wa programu ya ukombozi.
Mfumo:
- Ransomware huwasilishwa kupitia chaneli za Zana ya Ufikiaji wa Mbali, mara nyingi hufichwa kama masasisho ya kuaminika au vitendo vya usimamizi, na kutekelezwa ndani ya vipindi vilivyopo vya mbali ili kukwepa mashaka ya watumiaji na ufuatiliaji wa usalama.
Hatua ya 6: Upanuzi wa kando
Usogeaji wa kando unawezeshwa kupitia utumiaji upya wa kitambulisho, uenezaji wa Zana ya Ufikiaji wa Mbali, au utumiaji wa Zana ya Ufikiaji wa Mbali ya biashara.
Njia:
- Utumiaji wa kitambulisho kwenye sehemu zote za mwisho
- Utumiaji wa Zana ya Ufikiaji wa Mbali ya Biashara kwa usambazaji wa watu wengi
Viashiria:
- Sehemu nyingi za mwisho zinazoripoti miunganisho mipya ya Zana ya Ufikiaji wa Mbali
- Kazi zisizoidhinishwa zilizoratibiwa au marekebisho ya sajili kwenye mashine zote
Hatua ya 7: Athari - Usimbaji na Kufungia nje
Utekelezaji wa upakiaji wa malipo ya Ransomware huanzisha usimbaji fiche wa data, kufungwa kwa akaunti na mabadiliko ya kitambulisho cha Zana ya Ufikiaji wa Mbali ili kuzuia urekebishaji wa msimamizi. Kampeni kama vile lahaja za LockBit, Nyeusi na Basta zinaonyesha hatua hii ya mwisho katika mashambulizi ya moja kwa moja.
Matokeo:
- Simba faili kwenye mifumo lengwa
- Funga akaunti au ubadilishe kitambulisho cha Zana ya Ufikiaji wa Mbali ili kuzuia urekebishaji
Mifano ya Kampeni ya Ulimwengu Halisi
Hapa chini ni Zana za Ufikiaji wa Mbali zinazotumiwa vibaya na wapinzani katika kampeni za programu ya ukombozi kwa ajili ya kuendelea, kusambaza na harakati za baadaye.
| Kijijini Ufikiaji Chombo | Kampeni Zinazohusishwa za Ransomware |
| Desk yoyote | TargetCompany, D3adCrypt, Makop, Mallox, Phobos, LockBit 2.0, LockBit 3.0, LockBit 2025 Renegade, Beast, Dharma, Proton / Shinra, MedusaLocker |
| Kitazamaji Bora | Beast, CERBER, Dharma (.cezar Family), GlobeImposter 2.0, LockBit 3.0, Makop, Phobos, SpiderPrey, TargetCompany |
| AppPopote | Makop, Ryuk, D3adCrypt, Dharma |
| RustDesk | Mimic, LockXXX, Dyamond, D3adCrypt, Makop |
| Splashtop | Makop, BlueSky, RansomHub, Proxima |
| TightVNC | Cerber 4.0 / 5.0 |
Muigizaji Tishio Ramani ya TTP (MITRE ATT&CK)
Kuelewa mbinu, mbinu, na taratibu (TTPs) zinazotumiwa na wapinzani ni muhimu ili kulinda dhidi ya kampeni za ukombozi zinazoendeshwa na Remote Access Tool. Kwa kupanga shughuli hizi kwenye mfumo wa MITER ATT&CK, timu za usalama zinaweza kuibua jinsi washambuliaji wanavyopata ufikiaji, kutumia zana, kudumisha uthabiti, kuongeza mapendeleo na hatimaye kutoa mizigo yenye matokeo. Jedwali lililo hapa chini linaangazia hatua muhimu za uvamizi, mbinu zilizopatikana, na zana zinazotumiwa vibaya za ufikiaji wa mbali zilizoratibiwa kwa kila hatua.
| tarajali | Mbinu | Kitambulisho cha Mbinu Ndogo cha MITER ATT&CK | Uchunguzi |
| Ufikiaji wa Awali | Nguvu ya Brute | T1110.001 | Kulenga vituo vya RDP/SMB ili kupata ufikiaji wa awali |
| Usambazaji wa Zana | Uhamisho wa Zana ya Ingress | T1105 | Huduma za ufikiaji wa mbali zimehamishwa kwa utekelezaji |
| Utekelezaji | Huduma za mbali | T1021.001 | Vipindi vya mbali vinavyotumika kutekeleza upakiaji |
| Kuendelea | Vifunguo vya Kuendesha Usajili | T1547.001 | Vifunguo vya Usajili vimeundwa/kubadilishwa kwa uendelevu wa zana |
| Upendeleo kuongezeka | Unyanyasaji Utaratibu wa Kudhibiti Mwinuko | T1548.002 | Mwinuko wa haki zinazozingatiwa ili kuendesha zana zilizo na haki za SYSTEM |
| Ukwepaji wa Ulinzi | Kudhoofisha Ulinzi | T1562.001 | Huduma za usalama zimezimwa, kumbukumbu zimefutwa |
| Harakati ya baadaye | Huduma za mbali | T1021.001 | Huduma za mbali zinatumiwa vibaya kuvuka sehemu za mwisho |
| Athari | Data Imesimbwa kwa Njia Fiche kwa Athari | T1486 | Zana zilizopatikana ili kupeleka programu ya ukombozi na kusimba data kwa njia fiche |
Mitindo Inayoibuka & Vitisho vya Wakati Ujao
Kadiri waendeshaji wa programu ya ukombozi wanavyoendelea, mbinu mpya zinaibuka ambazo hupanuka zaidi ya unyonyaji wa kawaida kwenye majengo. Mitindo hii inaangazia jinsi wavamizi wanavyochanganya otomatiki, matumizi mabaya ya wingu na mifumo ikolojia ya RaaS ili kuongeza kiwango na wizi wa shughuli zao.
- AI- Usambazaji wa Zana ya Ufikiaji wa Mbali: Uamuzi wa kiotomatiki wa mizigo
- Matumizi mabaya ya Zana ya Ufikiaji wa Mbali ya Wingu: Kutumia lango la ufikiaji wa mbali linalotegemea wingu
- Ujumuishaji wa RaaS: Zana za Ufikiaji wa Mbali zilizopachikwa katika matoleo ya ukombozi-kama-huduma kwa kampeni za biashara
- Mashambulizi ya hatua nyingi: Maelewano ya Zana ya Awali ya Ufikiaji wa Mbali ikifuatwa na upakiaji wa ziada (ufichuzi wa data, wizi wa siri, programu ya ziada ya kukomboa)
Jinsi ya Kupona Haraka / Seqrite Kinga Dhidi ya Shughuli Hizi.
Watendaji wa Ransomware wanaweza kujaribu kutumia zana zinazoaminika, lakini Uponyaji wa Haraka na Seqrite zimejengwa kwa tabaka nyingi za ulinzi ili kuzizuia kuingia kwenye njia zao. Kwa kuchanganya ufuatiliaji wa wakati halisi, ulinzi binafsi, na ugunduzi wa hali ya juu wa tabia, suluhisho hizi zinahakikisha kwamba washambuliaji hawawezi kuzima usalama au kupita bila kutambuliwa kwa urahisi.
- Ulinzi dhidi ya virusi: Hutambua kikamilifu na kuondoa visakinishi vilivyoboreshwa au mizigo iliyofichwa kabla ya kutekeleza.
- Kinga Virusi vya Kujilinda: Huzuia washambulizi kusitisha au kusanidua kwa nguvu huduma za usalama.
- Utambuzi Kulingana na Tabia: Wachunguzi wa shughuli zisizo za kawaida zinazohusishwa na programu ya ukombozi, kama vile mabadiliko ya faili nyingi au mchakato unaotiliwa shaka ulizinduliwa.
- Ulinzi wa Ransomware: Huzuia majaribio ambayo hayajaidhinishwa ya usimbaji fiche kwa wakati halisi, hukata shambulio kabla data haijafungwa.
- Udhibiti wa Maombi: Huzuia matumizi ya zana za mbali ambazo hazijaidhinishwa, kuhakikisha kuwa programu zinazoaminika pekee ndizo zinazoruhusiwa kufanya kazi.
Usalama Bora na Mapendekezo
Kulinda dhidi ya ukombozi sio tu kuwa na zana zinazofaa - pia ni juu ya kuzitumia kwa busara na kujenga tabia dhabiti za kila siku. Hapa kuna baadhi ya hatua za vitendo ambazo kila shirika linaweza kuchukua ili kuwatanguliza washambuliaji:
- Zuia Matumizi ya Zana ya Ufikiaji wa Mbali: Weka tu zana za mbali unazohitaji na uondoe zingine. Viingilio vichache ndivyo mifumo yako inavyokuwa salama zaidi.
- Tekeleza Uthibitishaji wa Vipengele Vingi (MFA): Hata kama washambuliaji wakiiba nenosiri, MFA hufanya iwe vigumu zaidi kwao kuingia.
- Kikomo cha Haki za Utawala: Usitoe haki za msimamizi isipokuwa lazima kabisa. Upendeleo mdogo unamaanisha uharibifu mdogo ikiwa akaunti imeingiliwa.
- Kagua na Ufuatilie Kumbukumbu kwa Kuendelea: Angalia kwa karibu kumbukumbu zako - kuingia kusiko kawaida, usakinishaji wa kimya, au amri za usanidi zisizo za kawaida zinaweza kuwa ishara za onyo za mapema.
- Masasisho ya Kawaida na Uwekaji: Pata masasisho ya mifumo yako ya uendeshaji na zana za usalama ili wavamizi wasiweze kutumia dosari za zamani.
- Mafunzo ya Ufahamu wa Mtumiaji: Watu ndio safu ya kwanza ya ulinzi. Wafanyikazi wa mafunzo ya kutambua barua pepe za ulaghai au shughuli za usaidizi wa mbali zinazoshukiwa zinaweza kukomesha mashambulizi kabla hata hazijaanza.
Hitimisho:
Zana halali za TEHAMA zinaweza kufichwa kwa urahisi na visambazaji mashambulizi visipodhibitiwa, na matumizi mabaya ya Zana ya Ufikiaji wa Mbali sasa ni kiwezeshaji muhimu cha programu ya ukombozi ya kizazi kijacho. Ili kukabiliana na hatari hii, makampuni ya biashara yanahitaji mbinu ya tabaka ambayo inachanganya utawala, ufuatiliaji, na mwitikio wa haraka.
Uponyaji wa Haraka na Seqrite zina jukumu muhimu katika mkakati huu wa ulinzi, kutoa ulinzi imara wa Antivirusi, ugunduzi wa tabia, na ulinzi wa Anti-Ransomware. Zikiunganishwa na utawala mkali na majibu ya matukio, mashirika yanaweza kuwa mbele ya washambuliaji.
Hatua kuu ni pamoja na:
- Udhibiti wa Zana ya Ufikiaji wa Mbali na uidhinishaji
- Ulinzi wa Antivirusi zenye tabaka nyingi unaoendeshwa na Quick Heal / Seqrite
- Utambuzi wa tabia na uchujaji wa nje
- Jibu la haraka la tukio la kuzuia na kupona
Kwa kutumia mkakati huu wa ulinzi wa tabaka nyingi, mashirika yanaweza kugundua, kudhibiti na kupunguza kampeni za ukombozi kulingana na Zana ya Ufikiaji wa Mbali—kugeuza zana zinazoaminika kutoka kwa vitisho vinavyoweza kutokea hadi mali zinazodhibitiwa na zinazoweza kudhibitiwa.
Mwandishi: Matin Tadvi
Mwandishi Mwenza : Umar Khan
