Omgaan met DarkSide

Brian Krebs heeft meer details besproken over ‘DarkSide’ en de rol van deze ransomwaregroep bij het stilleggen van de Colonial Pipeline. DarkSide is een groep die ransomware-tools en -diensten als een soort ‘as a service’ aanbiedt. Andere ransomwarebendes en -organisaties betalen een vergoeding voor de tools en diensten van DarkSide, waardoor het moeilijk is om de verantwoordelijkheid nauwkeurig toe te wijzen.

Deze groep verpakt en past veelgebruikte backdoors zoals Harpy, Sekur en Cobalt Strike aan met hun eigen, op maat gemaakte loaders en beheerinterfaces. Ze configureren en implementeren diverse ransomwarepakketten, zoals REvil-ransomware, die echter geen van alle uniek zijn voor DarkSide. Het is niet de malware die ze verkopen of de specifieke technieken die ze gebruiken die hen effectief maken, maar het feit dat ze goed georganiseerd en ervaren zijn. Deze groep beschikt over een volledige inlichtingendienst en gestroomlijnde werkwijzen die beginnen met het onderzoeken van hun slachtoffers, waarbij ze zich ervan verzekeren dat deze kwetsbaar zijn, niets doorhebben en in staat zijn om losgeld te betalen.

Hoe ga je om met DarkSide:

Wat kun je nu doen tegen deze potentiële dreiging? Het klinkt misschien simpel, maar het is van cruciaal belang om prioriteit te geven aan beveiligingsinfrastructuur en monitoring. DarkSide kent onschuldige verkennings- en inlichtingenverzamelingsfasen waarmee ze op veilige wijze de mogelijkheden van hun slachtoffers in kaart kunnen brengen. Deze groep vermijdt doorgaans goed beveiligde organisaties en slachtoffers die over middelen beschikken om hen op te sporen – zoals systemen voor gedragsdetectie en -reactie. CISA heeft ook deze aanbevelingen gedaan om bedrijfsverstoringen door ransomware-aanvallen te voorkomen.

Technieken om op te letten:

• DarkSide maakt gebruik van PowerShell om de eerste fasen van de malware te downloaden en systemen voor te bereiden.
• Ze verwijderen schaduwkopieën van volumes via PowerShell.
• Ze ontcijferen en voeren malware uit via Certutil.exe.
• Ze kunnen op oudere besturingssystemen zoals Windows 7 bevoegdheden uitbreiden (bij de meeste moderne besturingssystemen is dit nog niet waargenomen)

Zodra de verkenning is uitgevoerd, verspreiden ze zich volledig door het netwerk en starten ze PR-campagnes, nog voordat de versleuteling of het eisen van losgeld plaatsvindt. Dit biedt een kans om de aanval op te sporen en de schade te beperken, mits u beschikt over een actieve MDR-dienst die hierop let.

Wilt u weten hoe u uw klanten kunt beschermen tegen de meest geavanceerde en kwaadaardige cyberdreigingen? Maak dan een afspraak voor een demo met een van onze vertegenwoordigers.