Você já se perguntou quanto custa o acesso a uma rede comprometida?? Novo relatório revela que o preço inicial do acesso à rede triplicou em setembro em comparação com agosto.
O acesso inicial à rede é o que leva hackers mal-intencionados para dentro da rede de uma organização. Atores de ameaça que estão vendendo isso (conhecidos como “corretores de acesso inicial”) crie uma ponte entre campanhas oportunistas e atacantes direcionados. Na maioria dos casos, estes são operadores de ransomware. Pesquisadores KELA indexados com sucesso 108 listagens de acesso à rede compartilhadas em fóruns de hackers populares no mês passado. O valor total do preço exigido estava acima $500,000.
Como os agentes de ameaças calculam o preço do acesso à rede?
Ao analisar o topo 5 acessos mais caros e os TTPs de seus vendedores, os pesquisadores criaram uma hipótese. Eles acreditam que o preço depende da receita da vítima e do nível de privilégios que o acesso à rede permite. Por exemplo, o acesso do administrador do domínio pode ser de 25% para 100% mais caro do que o acesso do usuário.
Como funciona a venda de acesso inicial à rede?
Desdobrando ainda mais a cadeia de suprimentos, os pesquisadores viram que os corretores de acesso inicial obtêm seu ponto de entrada pronto para venda por meio de três etapas:
1. Encontrando um vetor de infecção inicial
Conforme revelado por conversas em fóruns de crimes cibernéticos, existem várias possibilidades que concedem este acesso. Infecção de botnet, protocolos de acesso remoto como RDP e VNC, e software de acesso remoto, logo conhecido como VPN, estão entre as melhores escolhas.
Transformando o vetor de infecção inicial em um compromisso mais abrangente
Com base no vetor inicial de compromisso, os tipos de acesso inicial variam. A tarefa mais importante agora é ampliar o escopo de acesso e os privilégios adquiridos para que sejam atraentes para um comprador potencial.
“Tsua atratividade é derivada do objetivo operacional do comprador, como diferentes atores podem ter diferentes demandas de um acesso potencial à rede,”O relatório observa.
Com a maioria dos compradores considerados operadores de ransomware ou afiliados, é importante ter em mente que o escopo de acesso à rede não precisa ser ideal: só precisa ser bom o suficiente. Uma operação de ransomware bem-sucedida não precisa necessariamente bloquear milhares de endpoints em uníssono perfeito - às vezes, bloquear alguns servidores principais e extrair dados de vários outros pode ser o suficiente para monetizar o acesso.
3. Decidir como o acesso é fornecido a um comprador
De acordo com KELA, esta etapa é crucial, pois as outras duas: os corretores de acesso inicial devem criar um canal de entrada sustentável para outros cibercriminosos.
Como nas relações comerciais normais, alguns vendedores são flexíveis e partem das necessidades de seus clientes: eles podem fornecer a eles o acesso adequado para seus objetivos. É por isso que alguns vendedores tendem a perguntar como um comprador usará o acesso e aceitará apenas clientes "experientes", observa o relatório.
Longa história curta, uma vez que esse acesso está nos compradores’ mãos, pode se transformar em um ponto de entrada para toda uma rede. Os invasores agora podem executar comandos e entregar malware.
Mais detalhes estão disponíveis em Análise completa de KELA.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: