Lekket baksystem gir innsyn i løsepengegruppen The Gentlemen

Forskere hos Check Point har publisert en grundig gjennomgang av The Gentlemen, en løsepengevirus-som-tjeneste-operasjon der de interne systemene nylig ble lekket på nett. De eksponerte dataene omfattet interne samtaler, diskusjoner mellom partnere, forhandlinger om løsepenger, angrepsmetoder og driftsdetaljer knyttet til infrastrukturen.

Ifølge forskningen støtter gruppen seg tungt på kompromittert legitimasjon, sårbarheter i utstyr i nettverkskanten og NTLM-videreformidlingsangrep for å skaffe seg første fotfeste. Lekkasjen tyder også på at administratorene selv deltok direkte i enkelte angrep, framfor bare å administrere partnerne.

Hva det betyr for virksomheten

Det interessante er hvor lite eksotisk inngangen er. Stjålne passord, upatchet utstyr mot internett og gamle Windows-autentiseringsmekanismer er ikke avanserte teknikker, men de fungerer fortsatt fordi de er kjedelige å rydde opp i. Det gir en klar prioritering for norske virksomheter: de tre tingene som lukker inngangen, er de samme tre tingene som alltid står nederst på lista.

Berigo anbefaler

• Slå av NTLM der det er mulig, og kartlegg hva som fortsatt er avhengig av det før dere gjør det.
• Krev flerfaktorautentisering på all fjerntilgang uten unntak, også for administratorer og leverandører.
• Sett kortest mulig frist for patching av utstyr som står eksponert mot internett.
• Overvåk for pålogginger med legitimasjon som er kjent lekket, og tving passordbytte.

Kilde

• research.checkpoint.com