Какво се случи: Преговарящият, който работеше и за двете страни

Когато компания стане жертва на рансъмуер, едно от първите обаждания, които прави, е към преговарящ: специалист, на когото се вярва да стои между паникьосаната жертва и престъпната група, работейки за намаляване на искането за откуп или за печелене на време за възстановяване. Тази връзка зависи изцяло от доверието. Според разследване на Malwarebytes, един такъв преговарящ наруши това доверие по възможно най-вредния начин. Вместо да помага на жертвите да се противопоставят на бандата за рансъмуер BlackCat, той тайно подавал на престъпниците информация от преговорите, които уж водел от името на жертвите.

Резултатът беше сценарий за вътрешна заплаха от преговарящ за рансъмуер, който струваше милиони на жертвите. Вместо да действа като защитна стена между компанията и нейния атакуващ, преговарящият на практика се превърна във втори атакуващ – такъв с привилегирован достъп до финансовите лимити, правната стратегия и готовността за плащане на жертвата. Това е почти най-лошият възможен провал при реакция на инцидент, защото превръща самата защита, за която организациите плащат, в заплаха.

Как групите за рансъмуер-като-услуга вербуват доверени посредници

BlackCat, известна още като ALPHV, оперира като група за рансъмуер-като-услуга (RaaS), което означава, че лицензира своя зловреден софтуер и инфраструктура на афилиати, които извършват атаките и си делят печалбата. Този бизнес модел винаги е разчитал на изграждане на мрежи от хора, готови да сътрудничат срещу дял от приходите – от брокери за първоначален достъп, които продават откраднати удостоверения, до афилиати, които реално пускат шифриращия товар. Компрометиран или съучастнически настроен преговарящ е просто следващото логично разширение на тази мрежа: някой, вграден в легитимната екосистема за реакция на инциденти, който може да споделя разузнавателна информация, която бандата никога не би могла да получи сама.

Точно затова случаят има значение отвъд самия BlackCat. Бандите за рансъмуер все повече разбират, че най-слабото звено в реакцията на пробив не винаги е защитната стена или некръпен сървър. То може да бъде човек, и по-специално човек, на когото жертвата е избрала да се довери в най-стресовия момент от инцидента със сигурността. Същият принцип на експлоатиране на доверие и достъп се среща из целия пейзаж на рансъмуер и изнудване с данни, включително в инциденти като пробива на ShinyHunters в HR системите на Съвета на Европа, където атакуващите отново демонстрираха колко ефективно престъпните групи могат да използват вътрешен достъп, щом веднъж намерят начин да влязат.

Защо това разширява повърхността за атака за жертвите на пробив

Повечето организации мислят за риска от рансъмуер от гледна точка на собствената си мрежа: крайни устройства, сървъри, резервни копия, обучение на служителите. Много по-малко от тях мислят за риска, който внасят доставчиците и консултантите, привлечени след като атаката вече е започнала. Но преговарящият, също като криминалистичния разследващ или коуч по пробиви, често има достъп до някои от най-чувствителните данни, които компанията притежава по време на криза: сумата на откупа, която жертвата е готова да плати, какви данни действително са били откраднати и колко отчаяна е организацията да избегне публично оповестяване.

Когато този достъп бъде злоупотребен, щетите се усложняват. Жертвите не просто губят пари заради самия откуп – те губят всякакви лостове, които са имали в преговорите, защото бандата вече знае тяхната крайна граница още преди разговорите изобщо да започнат. Този случай е напомняне, че веригата за доставки при реакция на инциденти заслужава същия контрол като всяка друга връзка с доставчик и че доверието в криза никога не трябва да се приема за даденост само защото някой носи правилната длъжност.

Как да проверявате реагиращи на инциденти и преговарящи преди да настъпи криза

Най-доброто време да проверите преговарящ за рансъмуер или фирма за реакция на инциденти е преди атаката да се случи, а не по време на нея, когато натискът от времето прави внимателната надлежна проверка почти невъзможна. Организациите могат да предприемат няколко конкретни стъпки:

  • Потвърдете досието на фирмата и поискайте препоръки от предишни клиенти, преживели подобни инциденти.
  • Попитайте как фирмата проверява собствения си персонал, включително проверки на миналото и вътрешни контроли за това кой има достъп до детайлите на преговорите.
  • Настоявайте за документирани, проверими комуникационни логове по време на всякакви преговори, вместо да разчитате единствено на едно-единствено лице за контакт.
  • Включете външен правен съветник или втори съветник по сигурността, който независимо да проверява основните решения, като размери на откупа или момент на плащане.
  • Изградете тези взаимоотношения с доставчици и договори предварително, като част от абонаментен договор за реакция при инциденти, вместо трескаво да търсите помощ по средата на пробива.

Какво означава това за вас

Ако вашата организация има план за реакция при рансъмуер, този случай е добър повод да преразгледате кой всъщност е включен в този план и колко добре ги познавате. Вътрешна заплаха от преговарящ за рансъмуер е рядка, но последствията са достатъчно тежки, че умерено количество предварителна проверка си струва усилието. Същата логика важи и за всяка трета страна с привилегирован достъп по време на пробив: криминалистични разследващи, правни съветници и PR агенции заслужават същото внимание, което бихте отделили на нов доставчик на софтуер.

Основни изводи

  • Проверявайте фирмите за реакция при инциденти и преговори преди криза, включително проверки на персонала и препоръки.
  • Изисквайте документирани, проверими логове на всички преговори за откуп, вместо да разчитате на едно доверено лице.
  • Третирайте реагиращите трети страни като част от вашата повърхност за атака, а не само като част от защитата ви.
  • Бъдете информирани как групите за рансъмуер и изнудване експлоатират доверието на всеки етап от пробива – от първоначалния достъп до финалните преговори.