Indledende omkostninger til netværksadgang $500,000

Har du nogensinde spekuleret på, hvor meget koster adgang til et kompromitteret netværk?? En ny rapport afslører, at den oprindelige netadgangspris er tredoblet i september sammenlignet med august.

Indledende netadgang er det, der får ondsindede hackere inde i en organisations netværk. Trusselsaktører, der sælger det (kendt som “mæglere med indledende adgang”) skabe en bro mellem opportunistiske kampagner og målrettede angribere. I de fleste tilfælde, disse er ransomware-operatører. KELA-forskere indekseres med succes 108 netværksadgangslister delt på populære hackingsfora sidste måned. Den samlede værdi af den krævede pris var over $500,000.

Hvordan beregner trusselsaktører prisen på netværksadgang?

Mens du analyserer toppen 5 dyreste adgang og TTP for deres sælgere, forskerne skabte en hypotese. De mener, at prisen afhænger af offerets indtægter og det niveau af privilegier, som netværksadgang tillader. For eksempel, adgang til domæneadministrator kan være fra 25% til 100% dyrere end brugeradgang.

Hvordan fungerer salg af indledende netværksadgang?

Ved at udfolde forsyningskæden yderligere, forskerne så, at mæglere med indledende adgang får deres adgangspunkt klar til salg gennem tre trin:

1. Finde en indledende infektionsvektor
Som afsløret af samtaler på cyberkriminalitetsfora, der findes flere muligheder, der giver denne adgang. Botnet infektion, fjernadgangsprotokoller som RDP og VNC, og software til fjernadgang, snart kendt som VPN, er blandt de bedste valg.

At omdanne den oprindelige infektionsvektor til et mere omfattende kompromis
Baseret på den indledende kompromisvektor, indledende adgangstyper varierer. Den vigtigste opgave nu er at udvide både adgangsområdet og de erhvervede privilegier, så de er attraktive for en potentiel køber.

”Thans tiltrækningskraft stammer fra købers operationelle mål, da forskellige aktører kan have forskellige krav fra en potentiel netværksadgang,”Noterer rapporten.

Med de fleste købere antages at være ransomware-operatører eller tilknyttede virksomheder, det er vigtigt at huske på, at netværksadgangen ikke behøver at være ideel: det skal bare være godt nok. En vellykket ransomware-operation behøver ikke nødvendigvis at låse tusindvis af slutpunkter perfekt sammen - undertiden, at låse et par nøgleservere og udtrække data fra flere andre kan være nok til at tjene penge på adgangen.

3. Beslutning om, hvordan en køber får adgang
Ifølge KELA, dette trin er afgørende som de to andre: indledende adgangsmæglere bør skabe en bæredygtig adgangskanal for andre cyberkriminelle.

Som i sædvanlige forretningsforbindelser, nogle sælgere er fleksible og går ud fra deres kunders behov: de kan give dem den adgang, der passer til deres mål. Derfor har nogle sælgere tendens til at spørge, hvordan en køber bruger adgang og kun accepterer "erfarne" kunder, ifølge rapporten.

Kort fortalt, når en sådan adgang er hos køberne’ hænder, det kan blive et indgangspunkt til et helt netværk. Angribere er nu i stand til at udføre kommandoer og levere malware.
Flere detaljer findes i KELA's grundige analyse.