Групата с рансъмуер Helix се насочва към Uber Freight

Група за рансъмуер, наричаща себе си Helix, пое отговорност за кибератака срещу Uber Freight, логистичното подразделение на гиганта за споделени пътувания, като публикува подробности за предполагаемото нарушение в началото на август. Според докладите за разузнаване на заплахи за инцидента, групата твърди, че е получила достъп до вътрешни SharePoint системи и е изтеглила голям обем файлове, като някои доклади сочат цифри, приближаващи се до един милион документа. Uber Freight потвърди, че разследва инцидента, но компанията не е потвърдила мащаба или автентичността на всичко, което нападателите твърдят, че притежават.

Заслужава да се отбележи, че в момента в разговорите за сигурност има и друга, несвързана "Helix": система за наблюдение на Secret Service на САЩ, която комбинира разпознаване на лица и данни от регистрационни номера, и която е привлякла собствен контрол върху поверителността. Съвпадението на имената е случайно, но е добро напомняне да проверяваме за коя точно "Helix" става дума в заглавието, преди да правим заключения.

Тактики с двойно изнудване и бизнес моделът RaaS

Това, което прави този инцидент забележителен, не е само целта, а тактиките. Разузнаването на заплахи за групата Helix описва модел, съответстващ на съвременните операции с рансъмуер като услуга (RaaS): криптиране на оперативните системи, искане на откуп и заплаха за публикуване на откраднати данни, ако жертвата не плати. Този модел на "двойно изнудване" се превърна в стандартния сценарий за рансъмуер групите през последните няколко години, тъй като дава на нападателите лостове дори когато жертвата има надеждни резервни копия и може да възстанови операциите, без да плаща.

RaaS групите също са склонни да действат бързо, след като установят достъп. Изследователите на заплахи, проследяващи по-широката активност на Helix, отбелязват, че когато станат достъпни експлоатируеми технически подробности или proof-of-concept код, въоръжени атаки могат да последват в рамките на дни, понякога само от 24 до 72 часа. Този компресиран график е част от причината, поради която рансъмуерът остава толкова упорит проблем за големите предприятия: екипите за сигурност често разполагат с много тесен прозорец между оповестяването на уязвимост и активната експлоатация, за да приложат кръпки, да изолират или по друг начин да намалят излагането си.

Какви данни може да са изложени на риск

Тъй като се твърди, че натрапването е засегнало вътрешни инструменти за сътрудничество като SharePoint, рискът от излагане тук се насочва по-скоро към корпоративни и оперативни документи, отколкото към потвърдени данни на потребителски акаунти. Трябва да се има предвид, че логистични платформи като Uber Freight редовно обработват чувствителни бизнес записи: товарителници, договори с превозвачи, данни за фактуриране и вътрешна комуникация, като някои от тях могат да включват лична или финансова информация, принадлежаща на служители, шофьори и бизнес партньори. Докато разследването на Uber Freight не приключи, пълният обхват на достъпа и дали той се разпростира върху системи, обърнати към клиентите, остава непотвърден.

Тази несигурност сама по себе си е урок. При случаи с двойно изнудване жертвите често не знаят истинския обхват на изтичането, докато откраднатите данни действително не се появят във форум в тъмната мрежа или сайт за изтичане, което може да се случи седмици или месеци след първоначалното твърдение.

Какво означава това за вас

Ако използвате услугите на Uber или Uber Freight в каквото и да е качество – като пътник, шофьор или бизнес партньор – практичният отговор е същият, който важи за повечето твърдения за корпоративни нарушения: приемете, че е възможно известно излагане, докато не се докаже противното, и вземете няколко прости предпазни мерки, вместо да чакате официално потвърждение.

Започнете, като прегледате активността на акаунта си за нещо необичайно и сменете паролата си, ако не сте я актуализирали наскоро, особено ако я използвате и на друго място. Активирайте многофакторна автентикация, ако все още не сте го направили. Ако сте бизнес партньор или шофьор, чиято финансова или данъчна информация може да се съхранява в засегнатите системи, следете банковите и кредитните си извлечения за необичайна активност през следващите седмици.

От техническа страна този инцидент е полезно напомняне защо многопластовата защита има значение за организации от всякакъв размер. Инструментите за откриване на крайни точки могат да уловят поведението на рансъмуера, преди криптирането да се разпространи; мрежовата сегментация ограничава доколко натрапникът може да се придвижи, след като влезе; а VPN мрежите със силни контроли за автентикация намаляват вероятността достъпът чрез идентификационни данни да бъде първоначалната входна точка. Нито една от тези мерки не прави организацията имунизирана срещу рансъмуер, но заедно намаляват повърхността за атака и печелят на защитниците повече време за реакция.

Приложими изводи

  • Сменете паролите, свързани с всеки акаунт в Uber или Uber Freight, и избягвайте повторното им използване в различни услуги.
  • Включете многофакторна автентикация навсякъде, където се предлага.
  • Наблюдавайте банковите извлечения и кредитните доклади, ако сте шофьор, служител или бизнес партньор, чиито финансови данни може да се съхраняват в засегнатите системи.
  • Отнасяйте се с повишено внимание към непроверените твърдения от сайтове за изтичане на рансъмуер, но не ги отхвърляйте; потвърждавайте директно актуализациите от Uber Freight с напредването на разследването му.
  • За организациите, дайте приоритет на бързото прилагане на кръпки за известни уязвимости, тъй като RaaS групи като Helix могат да въоръжат разкрити пропуски в рамките на дни.

Твърдението на групата с рансъмуер Helix срещу Uber Freight все още се развива и ключови подробности, включително дали е бил платен откуп или какви данни в действителност са изтеглени, остават непотвърдени. Както при повечето истории с рансъмуер, разумният подход е да бъдете информирани, да затегнете сигурността на собствения си акаунт сега и да следите за официални актуализации, вместо да реагирате само на непроверени твърдения.