Von aufkommender Bedrohung zur führenden Ransomware-as-a-Service: Die Evolution von INC Ransomware

Zusammenfassung

INC-Ransomware hat sich zu einem bedeutenden Ransomware-as-a-Service-Betrieb entwickelt und beansprucht seit 2023 mehr als 800 Opfer. Die Gruppe verwendet Rust-basierte Verschlüsseler für sowohl Windows als auch Linux/ESXi Systeme, was die Malware-Analyse erschwert. Ihre Betreiber setzen auf Doppelerpressungstaktiken und konzentrieren sich auf wertvolle Sektoren wie Gesundheits- und Rechtsdienstleistungen.

Untersuchung

Die Acronis Threat Research Unit analysierte die INC-Einbruchskette und beobachtete einen Trend hin zur Ausnutzung ungepatchter Randgeräte und Angriffe auf Veeam-Backup-Server. Die technische Analyse zeigte, dass die Windows-Nutzlast mit VMProtect 3.X geschützt ist, während die Linux-Version VMware-Umgebungen über Befehle wie vim-cmdzielt. Die Untersuchung fand auch Codeähnlichkeiten mit verwandten Ransomware-Familien, einschließlich Lynx und Sinobi.

Minderung

Organisationen sollten die 3-2-1-Backup-Strategie anwenden und sicherstellen, dass Backups unveränderliche oder offline Kopien enthalten, um die Wiederherstellung zu unterstützen. Der Einsatz von EDR oder XDR mit Manipulationsschutz und die Durchsetzung von Multi-Faktor-Authentifizierung sind essenziell. Die Priorisierung des Patchens von Anwendungen mit Internetzugang und die Segmentierung kritischer Netzwerke kann ebenfalls die Auswirkungen eines Kompromisses reduzieren.

Reaktion

Wird Aktivitäten der INC-Ransomware erkannt, sollten die betroffenen Systeme sofort isoliert werden, um seitliche Bewegungen zu stoppen und die Verschlüsselung zu verhindern. Die Integrität der Backups sollte überprüft werden, bevor die Wiederherstellung beginnt, und die Vorfallreaktionsverfahren sollten sich darauf konzentrieren, den anfänglichen Zugangsvektor zu identifizieren. Teams sollten auch Überwachungen auf Datenexfiltrationsversuche mit Tools wie rclone.

Simulation Ausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und das Narrativ MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die von der Erkennungslogik erwartete Telemetrie zu generieren. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle: Der Angreifer beabsichtigt, Anmeldedaten aus dem Sicherheitssubsystem-Dienst der Lokalen Sicherheitsbehörde (lsass.exe) abzugreifen. Um von der Endpunktsicherheit nicht erkannt zu werden, versuchen sie zuerst, einen sicherheitsrelevanten Prozess mit taskkill.exe zu beenden, um die Überwachung zu stören. Anschließend versuchen sie, eine Remote-Thread-Injektionstechnik zu verwenden, um Code im lsass.exe Speicherraum auszuführen. Dieser direkte Ansatz soll die spezifische Logik der Regel bezüglich taskkill.exe and lsass.exe Thread-Erstellung auslösen.

• Regressionstest-Skript:

  # Simulationsskript zur Erkennungsvalidierung
  # Schritt 1: Process Termination (Ereignis-ID 4689) auslösen
  Write-Host "[*] Prozessbeendigung über taskkill auslösen..."
  Start-Process calc.exe
  Start-Sleep -Seconds 1
  taskkill /F /IM calc.exe
  
  # Schritt 2: Auslösung der Remote-Thread-Erstellung (Sysmon Ereignis-ID 8)
  # Hinweis: Dies erfordert Administratorrechte.
  # Wir verwenden eine PowerShell-basierte Injektion, um die Erstellung eines Remote-Threads in lsass.exe zu simulieren.
  Write-Host "[*] Versuch einer Remote-Thread-Injektion in lsass.exe..."
  $DllPath = "C:WindowsSystem32user32.dll"
  $DllFunction = "LoadLibraryA"
  $ProcessName = "lsass"
  
  $TargetProcess = Get-Process $ProcessName -ErrorAction SilentlyContinue
  if ($TargetProcess) {
      $Handle = [Runtime.InteropServices.Marshal]::GetComObject(New-Object -ComObject WScript.Shell).Exec("powershell -Command `"[DllImport('kernel32.dll')] public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId); ...`"")
      # Für ein sauberes, reproduzierbares Skript ohne komplexe C#-Kompilierung in einem einzigen Block verwenden wir eine bekannte Methode, um ein Sysmon Ereignis 8 über ein leichtgewichtiges Injektionsmuster auszulösen.
      $Code = @"
      using System;
      using System.Runtime.InteropServices;
      public class Injector {
          [DllImport("kernel32.dll")]
          public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId);
          [DllImport("kernel32.dll")]
          public static extern IntPtr VirtualAllocEx(IntPtr hProcess, IntPtr lpAddress, uint dwSize, uint flAllocationType, uint flProtect);
          [DllImport("kernel32.dll")]
          public static extern bool WriteProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer, uint nSize, out IntPtr lpNumberOfBytesWritten);
          [DllImport("kernel32.dll")]
          public static extern IntPtr CreateRemoteThread(IntPtr hProcess, IntPtr lpThreadAttributes, uint dwStackSize, IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);
  
          public static void Run() {
              IntPtr hProcess = OpenProcess(0x001F0FFF, false, 644); // lsass PID ist normalerweise 644 in diesem Kontext oder über Get-Process gefunden
              // Dies ist eine vereinfachte Darstellung, um das Sysmon Ereignis 8 auszulösen
          }
      }
  "@
      # Um sicherzustellen, dass das Skript ausführbar und nicht destruktiv für ein BAS-Tool ist,
      # rufen wir einen Befehl auf, den der Sysmon-Treiber als Versuch der Thread-Erstellung erkennt.
      # In einer realen Umgebung würden wir ein kompiliertes Tool oder eine reflektive DLL-Injektion verwenden.
      Write-Host "[!] Manueller Schritt: Verwenden Sie ein Tool wie 'Process Hacker' oder einen benutzerdefinierten Injector, um lsass.exe zu zielzielen, um sicherzustellen, dass die Ereignis-ID 8 erzeugt wird."
  } else {
      Write-Error "[-] Konnte lsass.exe nicht finden"
  }

• Befehle zur Säuberung:

  # Bereinigung: Stellen Sie sicher, dass keine verwaisten Prozesse laufen.
  Stop-Process -Name "calc" -ErrorAction SilentlyContinue
  Write-Host "[+] Bereinigung abgeschlossen."