Hackere misbruger kompromitterede fjernadgange i ransomware-angreb

Det er blevet almindeligt, at cyberkriminelle samarbejder og udveksler tjenester på det mørke net. Markedet for cyberkriminelle tjenester gør det muligt for kriminelle at købe adgange, værktøjer og infrastruktur, som de bruger i cyberangreb, frem for at udvikle det selv.

I en ny trusselsvurdering beskriver Center for Cybersikkerhed, hvordan kombinationen af nye platforme og muligheden for at købe sig til kompromitterede adgange bidrager til at sænke barren for, hvem der kan udføre ransomware-angreb.

Indbyrdes udveksling af tjenester kaldes i it-sikkerhedskredse Crime-as-a-Service (CaaS). Ransomware-as-a-Service (RaaS) er en underkategori af begrebet CaaS, hvor bagmænd mod betaling stiller en platform i form af ransomware og infrastruktur til rådighed for kriminelle partnere, der kan bruge denne platform til at udføre ransomware-angreb.

I de seneste år er flere mindre servicerede ransomware-platforme dukket op og er blevet populære. På disse nye platforme skal hackerne ofte selv finde og skaffe adgange til ofre. Det har skabt en efterspørgsel for såkaldte Initial Access Brokers, der specialiserer sig i at kompromittere og videresælge fjernadgange til andre hackere.

Udviklingen kendetegner et cyberkriminelt miljø, der bevæger sig fra fortrinsvis at være relationsbåret til at være mere regulært markedsbaseret, hvor omdrejningspunktet er udbud og efterspørgsel. Initial Access Brokers forstærker bevægelsen mod en øget arbejdsdeling i det kriminelle miljø, hvor den enkelte hacker har mulighed for at specialisere sig inden for et afgrænset felt.

Samtidig har COVID19-pandemien skabt behov for at opretholde produktion og serviceniveau hjemmefra i myndigheder og virksomheder. For mange organisationer krævede denne omstilling hurtige beslutninger om etablering eller udvidelse af fjernadgange som VPN-forbindelser og digitale løsninger til online samarbejde. Den slags adgange kan øge organisationers angrebsflade, og det kan give hackerne en vej ind.

Center for Cybersikkerhed vurderer, at udviklingen har bidraget til, at flere ransomware-angreb nu starter med en kompromittereret fjernadgang.

Det er vigtigt at forstå truslen for at bygge det bedste cyberforsvar op. Med den nye trusselsvurdering ønsker Center for Cybersikkerhed derfor at bidrage til en bedre forståelse af mekanismerne i det cyberkriminelle økosystem og give en indsigt i en af de indledende faser i et målrettet ransomware-angreb. Vurderingen er især henvendt til personer med ansvar for cybersikkerhed i danske myndigheder og virksomheder.