Разследване на киберпрестъпление свърза администратора на рансъмуера Qilin с Алекsey Михайлович Яковцев, 36-годишен мъж, живеещ в Санкт Петербург, Русия. С идентифицирането на администратора на рансъмуера Qilin по име, възраст и град, историята е рядко разкриване в ъгъл на киберпрестъпността, където операторите обикновено се крият зад псевдоними. Това също повдига практичен въпрос: какво променя едно име за жертвите и какво могат да направят обикновените хора и малките организации срещу изнудването чрез кражба на данни?

Първо бележка за предпазливост. Репортажът досега е кратък и подробностите идват от констатациите на разследване, а не от съдебна присъда. Връзката трябва да се чете като приписване, а не като доказано правно заключение.

Администраторът на рансъмуера Qilin е идентифициран: към кого сочи разследването

Според статията разследването свързва администратора на Qilin с Алекsey Михайлович Яковцев, който е на 36 години и живее в Санкт Петербург, Русия. Това е пълният обхват на това, което източникът потвърждава. Той не описва как следователите са стигнали до това заключение, какви доказателства го подкрепят или дали някоя правоохранителна агенция е предприела действия.

Тази празнина е важна. Приписването в киберпрестъпността често се изгражда от смесица от изтекли чатове, следи от инфраструктура и оперативни грешки, а силата на всяка връзка варира. Докато не бъде публикувано повече или докато орган не потвърди констатацията, третирайте името като заявено твърдение. Струва си да следите за актуализации, но не е нещо, което да приемате за установено.

Как ransomware екипи като Qilin удрят жертвите

Изходната статия не описва подробно методите на Qilin, така че е полезно да се обясни как обикновено работи съвременното изнудване чрез ransomware. Много групи вече не разчитат само на заключване на файлове. Те първо копират чувствителни данни от мрежата на жертвата, след това криптират системите и след това оказват натиск върху жертвата с две заплахи: плащане за ключ за декриптиране и плащане, за да се спре публикуването на откраднатите данни на сайт за изтичане.

Този модел на двойно изнудване е причината резервните копия сами по себе си да не са пълна защита. Дори ако една организация възстанови всичко от чисто копие, откраднатите данни все още са в ръцете на престъпниците. Клиенти, пациенти, служители и партньори могат да се окажат изложени, въпреки че никога не са взаимодействали с нападателите.

Много ransomware операции също работят като услуга. Основен екип поддържа зловредния софтуер и инфраструктурата, докато афилиейти извършват проникванията. Ако искате да надникнете как изглежда това разделение на труда отвътре, нашият доклад за отворен сървър, свързан с афилиейти на INC и The Gentlemen ransomware предлага рядък поглед към това как престъпниците всъщност работят ежедневно.

Какво променя и какво не променя едно разкриване

Поставянето на име и град на администратор може да има значение, но рядко прекратява операция самостоятелно. Ето реалистичен поглед върху въздействието.

Какво може да промени:

  • Повишава личния риск за посоченото лице, включително ограничения за пътуване, санкции или внимание от страна на разследващите.
  • Може да направи афилиейтите и партньорите по-предпазливи относно доверието към операцията.
  • Дава на защитниците и следователите още една нишка за проследяване при картографиране на инфраструктурата и паричните потоци.

Какво обикновено не променя:

  • Съществуващите жертви не получават автоматично помощ. Откраднатите данни, които са изтекли, остават изтекли.
  • Зловредният софтуер и тактиките не изчезват. Афилиейти, инструменти и playbook-ове могат да се прехвърлят към други марки.
  • Лице, живеещо в Русия, може да е трудно достъпно за чуждестранните власти, така че арест не е гарантиран. Статията не съобщава за арест.

Накратко, идентификацията е точка на натиск, а не спиране. Вашите защити не трябва да зависят от изчезването на една група.

Какво означава това за вас

Повечето хора никога няма да бъдат пряка цел на преговорите на ransomware екип, но мнозина ще бъдат засегнати от такъв. Вашите данни се намират в болници, търговци на дребно, работодатели, училища и доставчици на услуги. Когато един от тях бъде ударен с изнудване чрез кражба на данни, вашата информация може да се окаже в изтичането.

Това означава две неща. Първо, не можете напълно да контролирате дали компания, която използвате, ще бъде компрометирана. Второ, можете да контролирате колко щета нанасят откраднатите данни върху вас. Уникални пароли, многофакторна автентикация и внимателно боравене с неочаквани съобщения ограничават какво може да направи нападател с изтекли данни. Ако управлявате малък бизнес или управлявате устройствата на домакинство, същите основни правила се прилагат за вашите собствени системи.

Практически стъпки за намаляване на излагането ви на ransomware

Нито една от тези стъпки не е екзотична и заедно те значително намаляват риска.

  1. Поддържайте офлайн или неизменяеми резервни копия. Съхранявайте поне едно копие изключено от вашата мрежа, така че ransomware да не може да го криптира. Тествайте възстановяването от него периодично.
  2. Включете многофакторна автентикация. Приоритизирайте имейл, банкиране, облачно съхранение и всички инструменти за отдалечен достъп. Предпочитайте приложения за автентикатор или хардуерни ключове пред SMS, където е възможно.
  3. Използвайте мениджър на пароли и уникални пароли. Ако една услуга изтече, повторно използваните идентификационни данни не трябва да отключват другите ви акаунти.
  4. Актуализирайте своевременно. Актуализирайте операционните системи, браузърите, рутерите и бизнес софтуера веднага щом има налични поправки.
  5. Бъдете скептични към нежелани съобщения. Фишингът остава често срещан начин за проникване в мрежа. Проверявайте неочаквани заявки чрез отделен канал.
  6. Ограничете какво съхранявате и споделяте. Данните, които вече не ви трябват, са данни, които не могат да бъдат откраднати. Изтривайте стари файлове и затваряйте неизползвани акаунти.
  7. Защитете чувствителните комуникации. Използвайте криптирани от край до край съобщения за лични разговори и надежден VPN в ненадеждни мрежи, като публичен Wi-Fi. VPN не спира ransomware, но намалява излагането на подслушване на връзката.

Изводът

Администраторът на рансъмуера Qilin, идентифициран в това разследване, е забележително развитие, но репортажът все още е оскъден и практическото въздействие върху жертвите е ограничено. Изнудването чрез ransomware зависи от откраднати данни, слаби контроли за достъп и неподготвени цели, и тези условия продължават независимо кой стои зад дадена марка.

Използвайте този момент, за да затегнете собствената си настройка: правете офлайн резервни копия, включете MFA на ключовите си акаунти и преместете личните разговори в криптирани канали. За друг рядък поглед отвътре как работят ransomware афилиейтите, прочетете нашето отразяване на откритието на SOCRadar за отворен сървър, свързан с атаките на INC и The Gentlemen, и се връщайте тук за актуализации, ако приписването на Qilin бъде потвърдено или оспорено.