Wat is Ryuk Ransomware en hoe werkt het?

Wat is Ryuk ransomware?

Ryuk is een soort ransomware die, zodra deze is geïnstalleerd, bestanden op een geïnfecteerd systeem versleutelt. Het losgeld wordt doorgaans geëist in bitcoin of andere cryptovaluta’s. Ryuk heeft zich gericht op tal van grote organisaties die gebruikmaken van Microsoft Windows en aanverwante systemen. 

Voor het eerst gespot in augustus 2018 en aanvankelijk werd gedacht dat het een groep was die opereerde vanuit Noord-Korea, maar nu wordt aangenomen dat het is ontwikkeld door Russische hackers. 

70% van de managed service providers (MSP’s) geeft aan dat ransomware de meest voorkomende malwarebedreiging voor hun klanten is. Bescherming tegen Ryuk en het afhandelen van een aanval vormen een cruciale functionaliteit en een belangrijk onderscheidend kenmerk voor MSP’s.

Wat is er uniek aan Ryuk Ransomware en waarom is het zo succesvol? 

Ryuk is uniek omdat het, zoals Microsoft het omschrijft, een door mensen uitgevoerde ransomware-aanval is. De aanvallers maken gebruik van uiterst geavanceerde doelgerichte en heimelijke tactieken om een hoog slagingspercentage te garanderen. 

Doordat ze door mensen worden uitgevoerd, voeren aanvallers aanvallen op meerdere niveaus uit op bedrijfsnetwerken. 

Het begint met het zorgvuldig selecteren van doelwitten in plaats van een geautomatiseerde "spray and pray"-aanpak en vereist zowel brede als specifieke kennis van de doelinfrastructuur om te slagen.

Het vertrouwt vervolgens op tools zoals Mimikatz om gebruikersgegevens te stelen, waarna PowerShell Empire wordt gebruikt om verkenningen uit te voeren en lateraal door de omgeving te bewegen, om uiteindelijk privilege-escalatie uit te voeren via Domain Administrator. 

Dit is geen snelle in-en-uit aanval. Dit is een langdurige, voortdurende aanval waarbij echte mensen actief zijn binnen het netwerk en gegevens verzamelen.

De aanvallers kiezen hun doelwitten doorgaans zorgvuldig uit en richten zich eerder op grote organisaties dan op individuen. Hierdoor is de Ryuk-ransomware niet alleen in het nieuws gekomen, maar hebben de beheerders van de ransomware ook miljoenen dollars aan losgeld opgehaald. 

Beroemde Ryuk-aanvallen in het nieuws

Onder de slachtoffers van de Ryuk-aanval bevinden zich naar verluidt grote organisaties, lokale overheden, ziekenhuizen en nog veel meer. Bijvoorbeeld:

• Ministerie van Sociale Zaken
• Tribune Publishing, waaronder de Los Angeles Times, Chicago Tribune, Wall Street Journal en de New York Times
• Boston's Comité voor Openbare Raadsdiensten
• Jackson County, Georgia, (betaalde 400.000 dollar losgeld)
• Riviera Beach, Florida (betaalde 594.000 dollar losgeld)
• LaPorte County, Indiana (130.000 dollar losgeld betaald)

Hoe wordt Ryuk geleverd?

Net als veel andere soorten, worden Ryuk ransomware-aanvallen voornamelijk afgeleverd via een phishing-e-mail. 

Volgens het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) wordt Ryuk verspreid via „phishingcampagnes die ofwel links bevatten naar kwaadaardige websites waarop de malware staat, ofwel bijlagen met de malware.“ 

In een notendop ontvangt een gebruiker een phishing-e-mail die er op het eerste gezicht legitiem uitziet. De bijlage bij de e-mail is een gecompromitteerd Microsoft Office-document. Dit document kan "Kwartaalresultaten" heten, of iets vergelijkbaar onschuldigs. Bij het openen van het document gebruiken aanvallers echter de macrofunctie om te beginnen met het uitvoeren van code. Zodra dit proces is gestart, gebruiken aanvallers een gereedschapskist met producten om lateraal binnen de organisatie te bewegen en steeds hogere toegangsrechten te krijgen.

Ryuk werd meer dan twee jaar geleden geïdentificeerd. Waarom richt het nog steeds verwoestingen aan? 

Ransomware-aanvallen veranderen voortdurend. Aanvallers maken gebruik van automatisering om veelvoorkomende bedreigingsvarianten te muteren, wat resulteert in een enorme toename van voorheen ongeziene eerste bedreigingen. 

Dit is een populaire techniek waarmee aanvallers de meeste beveiligingsoplossingen kunnen omzeilen - die meestal varianten van bestaande bedreigingen verkeerd identificeren, zelfs als de originele bedreigingen hun handtekening al hebben geregistreerd. Door deze zwakte kunnen aanvallers organisaties blijven aanvallen, hun bestaande beveiligingsoplossingen omzeilen en hun payload op het netwerk van het slachtoffer implementeren. 

Bestrijd de nieuwste bedreigingen met Datto's ransomware-oplossingen > 

De oude Ryuk vs. de nieuwe Ryuk

In januari 2021 werd een nieuwe variant van Ryuk ontdekt. Er duiken voortdurend nieuwe varianten op, maar deze had een enorme impact omdat hij over wormachtige eigenschappen beschikt waardoor hij zich automatisch lateraal binnen de geïnfecteerde netwerken kan verspreiden. Eerdere versies van Ryuk konden zich niet automatisch lateraal door een netwerk verplaatsen en hadden een ‘dropper’ nodig, gevolgd door handmatige verspreiding. De nieuwe versie is in feite een computerworm die kopieën van zichzelf van apparaat naar apparaat verspreidt zonder dat daar menselijke tussenkomst voor nodig is. 

Hoe u zich kunt beschermen tegen de volgende Ryuk-variant - zelfs voordat u weet dat deze bestaat

Zoals we al eerder hebben opgemerkt, wordt Ryuk, net als andere veelvoorkomende gevallen van ransomware, voornamelijk ingezet via een phishing- of spear-phishing-e-mail. Phishing is lastig en zelfs de meest ervaren cyberexperts zijn niet altijd in staat om het te detecteren. Daarom is, naast het opleiden van werknemers over hoe ze phishing-bedreigingen kunnen vermijden, de beste verdediging tegen een dergelijke aanval voor uzelf en uw klanten ervoor te zorgen dat u geavanceerde bescherming gebruikt voor e-mail en andere samenwerkingstools, een die zowel phishing als malware dekt. Als u een beschermingsoplossing kiest, gebruik er dan een die een aanvalsagnostisch detectiemechanisme gebruikt, zodat het bescherming biedt tegen onbekende Ryuk-varianten zodra deze opduiken. 

Omdat Ryuk bovendien op zoek gaat naar de zwakste schakel in de keten, is het sterk aan te raden om je netwerk en systemen voortdurend te scannen op zwakke plekken in de beveiliging en deze te patchen zodra ze worden ontdekt.  

Wat is de losgeldeis bij Ryuk-aanvallen?

Losgeldbedragen variëren, maar er zijn gevallen bekend van Ryuk-aanvallen waarbij losgeld in de miljoenen dollars werd geëist. Onthoud dat het betalen van losgeld niet de oplossing is om aan een ransomware-aanval te ontsnappen.

Hoe Ryuk-infecties detecteren en stoppen

Allereerst is het belangrijk dat u als MSP, en ook voor uw klanten, over systemen beschikt voor het opsporen en verhelpen van ransomware. Het opsporen van ransomware is een onderdeel van back-upsystemen dat de gevolgen van een aanval kan beperken. Door een aanval in een vroeg stadium op te sporen, kunnen systemen snel worden geïsoleerd en hersteld, zodat wordt voorkomen dat er losgeld aan de aanvaller moet worden betaald voor het ontsleutelen van de gegevens.

Met de oplossing voor bewaking en beheer op afstand (RMM) van Datto kunnen MSP’s bijvoorbeeld elk eindpunt waarvoor een contract geldt op afstand bewaken, beheren en ondersteunen. Dit biedt een extra beveiligingslaag, inclusief ingebouwde ransomware-detectie. 

Als ransomware wordt gedetecteerd, stuurt Datto RMM automatisch waarschuwingen waardoor MSP's proactieve stappen kunnen ondernemen. Deze omvatten het beëindigen van het ransomware-proces en het isoleren van het geïnfecteerde apparaat om te voorkomen dat de ransomware zich verspreidt. Dit vermindert de downtime en voorkomt dat MSP's moeten wachten tot klanten mogelijke infecties melden. 

Naast Datto RMM kunnen MSP's gebruikmaken van Datto's back-up- en herstelservices, wat de enige manier is om bedrijfscontinuïteit voor klanten te garanderen. 

Datto biedt verschillende oplossingen waaronder:

• Een compleet pakket voor bedrijfscontinuïteit en noodherstel (BCDR): bijvoorbeeld Datto Unified Continuity, dat voorziet in alle behoeften op het gebied van bedrijfscontinuïteit en noodherstel, waaronder de bescherming van servers, bestanden, pc’s en SaaS-toepassingen
• Datto SIRIS, een betrouwbare, alles-in-één oplossing voor bedrijfscontinuïteit en noodherstel, speciaal ontwikkeld voor MSP’s om gegevensverlies te voorkomen en de downtime bij klanten tot een minimum te beperken
• Datto ALTO, een kleine maar krachtige oplossing voor bedrijfscontinuïteit en noodherstel, speciaal ontwikkeld voor MSP’s om downtime tot een minimum te beperken en gegevensverlies bij hun kleine zakelijke klanten efficiënt te voorkomen
• Datto Endpoint Backup voor pc’s, dat de Windows-computers van MSP-klanten beschermt tegen uitval en gegevensverlies en gegevens snel herstelt in geval van een ramp
• SaaS Protection biedt betrouwbare en veilige cloud-naar-cloud-back-ups voor Microsoft 365 en Google Workspace, zodat kritieke cloudgegevens goed beschermd zijn

Ryuk heeft al laten zien dat het voortdurend zal evolueren om beveiligingsoplossingen te omzeilen. MSP's moeten in staat zijn om klanten echte, praktische oplossingen te bieden die deze voortdurende dreiging aanpakken.