Нова ransomware операция отправя агресивно предложение към потенциални престъпници. Според репортаж на eSecurity Planet, Dark Project предлага на партньорите си 80% от плащанията за изнудване и твърди, че досега има 38 жертви. Партньорският модел на Dark Project е напомняне, че икономиката на изнудването продължава да се измества в полза на атакуващите и че обикновените хора често усещат последствията, когато бъде ударена организация, съхраняваща техните данни.
Тази публикация разглежда какво е известно от репортажа, защо структурата на плащанията е важна и какво могат да направят както организациите, така и отделните хора. Изходният материал е кратък, затова се придържаме към това, което той потвърждава: 80-процентния дял за партньорите и твърдението за 38 жертви.
Как работи 80-процентното партньорско плащане на Dark Project
Dark Project следва модела ransomware-as-a-service (RaaS). При RaaS arrangement основна група изгражда и поддържа зловредния софтуер и инфраструктурата около него. Партньорите, които са отделни оператори, извършват самите прониквания и опити за изнудване. Когато жертвата плати, парите се разделят между двете страни.
Тук съобщеното разпределение дава на партньорите 80% от всяко плащане за изнудване. Операторите запазват остатъка. Числото от 38 жертви е твърдение, направено от групата, което означава, че трябва да се третира като непотвърдено, докато не бъде потвърдено от участващите организации или независими изследователи.
Разделението на труда е смисълът на модела. Разработчиците се фокусират върху инструментите, сайтовете за изтичане на данни и инфраструктурата за преговори. Партньорите се фокусират върху проникването. Всяка страна върши по-малко работа, отколкото би свършила напълно независима група, и именно затова моделът се е разпространил толкова широко. За по-задълбочен поглед върху това как една утвърдена група е работила по този подход вижте нашия профил на BlackCat/ALPHV ransomware.
Защо щедрите RaaS дялове понижават бариерата пред изнудването
Високият процент за партньорите е инструмент за набиране. По-новите групи трябва да се конкурират за опитни нападатели с утвърдени брандове и по-големият дял е един от начините да ги привлекат. Дял от 80% прави офертата финансово привлекателна за всеки, който може да получи достъп до мрежа.
Има и ефект върху уменията. Тъй като платформата предоставя инструментите за криптиране и инфраструктурата за изтичане на данни, партньорът не е нужно да пише зловреден софтуер или да води операция за преговори. Това понижава техническата бариера и разширява кръга от хора, които могат да опитат атака.
Резултатът е повече опити, разпръснати върху повече цели, включително организации, които съхраняват чувствителни записи за хора, но имат ограничени бюджети за сигурност. Моделът се вижда при инциденти като ransomware атаката срещу неправителствена организация, обслужваща оцелели от трафик, където значението идваше по-малко от техническата изтънченост и повече от това кой беше засегнат.
Какво трябва да наблюдават и укрепват организациите
Тъй като партньорите са тези, които проникват, защитниците трябва да се фокусират върху обичайните пътища за влизане в мрежа, а не върху брандирането на която и да е отделна група. Практическите приоритети включват:
- Отдалечен достъп: Прегледайте VPN, remote desktop и други услуги, изложени навън. Налагайте многофакторна автентикация и прилагайте пачове своевременно.
- Идентификационни данни: Следете за необичайни влизания, повторно използвани пароли и акаунти с прекомерни привилегии.
- Движение на данни: Наблюдавайте за големи или неочаквани изходящи трансфери, тъй като съвременните атаки обикновено включват кражба на данни преди криптирането на каквото и да е.
- Резервни копия: Пазете офлайн или неизменяеми копия и редовно тествайте възстановяването. Резервните копия помагат за възстановяване, но не отменят кражбата на данни. Нашето обяснение за двойното изнудване обяснява защо.
- Мониторинг на сайтове за изтичане: Следете дали вашата организация или доставчици се появяват на сайтове за изнудване, за да можете да действате рано.
Какво означава това за вас
Повечето хора никога няма да бъдат пряка цел на RaaS партньор. Излагането идва от втора ръка: работодател, застраховател, доставчик на здравни услуги или авиокомпания съхранява вашите данни и тази организация е атакувана. Когато групите за изнудване публикуват откраднати файлове, информацията може да се разпространи широко, както при изтичането на 8,7 милиона записа на пътници от летища във Великобритания.
Ако услуга, която използвате, бъде ударена, обмислете тези стъпки:
- Прочетете внимателно официалното уведомление. Отбележете какви категории данни са били засегнати и каква защита се предлага, например кредитен мониторинг.
- Сменете паролата си за тази услуга и за всеки друг акаунт, където сте я използвали повторно. Използвайте мениджър на пароли, за да създавате уникални пароли.
- Включете многофакторна автентикация навсякъде, където е налична.
- Внимавайте за фишинг. Откраднатите данни за контакт често се използват за убедителни последващи измами, които се позовават на пробива. Не кликвайте върху връзки в неочаквани съобщения; отидете директно на сайта на организацията.
- Наблюдавайте финансовите си сметки и обмислете замразяване на кредита, ако са били изложени идентификатори като номера за социално осигуряване.
- Пазете записи за уведомленията и всяка подозрителна активност.
Изводът
Партньорският модел на Dark Project ransomware илюстрира устойчива тенденция: когато разделението на приходите облагодетелства човека, извършващ проникването, повече хора са склонни да опитат. Твърдените досега 38 жертви са непотвърдени, но структурата зад тях е това, което има значение. Организациите трябва да укрепват точките за достъп и да следят за кражба на данни, а отделните хора трябва да са готови да действат бързо, когато компания, на която вярват, разкрие пробив.
За да разберете защо възстановяването от резервни копия не спира съвременното изнудване, прочетете нашето обяснение за двойното изнудване чрез ransomware. За да видите какво може да означават откраднатите данни за реални хора, прочетете нашето отразяване на пробива чрез ransomware в Beacon Mutual.
