Нов обрат в стара изнудваческа тактика

Бандите за рансъмуер отдавна разчитат на страх и спешност, за да притискат жертвите да плащат. Сега, според репортаж за схема, наречена „Ransom Busters“, поне един affiliate на рансъмуер е открил нов ъгъл: да се представя за точно тези хора, които трябва да помагат на жертвите да се възстановят.

Вместо просто да изисква плащане и да изчезне след атаката, този актьор reportedly се свързва с жертвите с предложения за помощ, представяйки се за услуга за възстановяване след инцидент. Уловката е, че тази „помощ“ не е неутрална. Изглежда, че е проектирана да отклонява плащанията на откупа далеч от легитимните канали и обратно в джобовете на същата престъпна екосистема, която е причинила пробива на първо място.

Това е значителна промяна в тактиката. Традиционните операции с рансъмуер са изградени около проста, макар и брутална транзакция: криптиране на данни, искане на плащане, предоставяне на ключ за дешифриране (може би). Чрез вмъкване на фалшив слой за възстановяване в този процес, атакуващите могат да манипулират отчаяните жертви два пъти — веднъж по време на първоначалния пробив и отново, докато се опитват да намерят изход от него.

Защо жертвите са особено уязвими към този трик

Организациите, ударени от рансъмуер, често работят в режим на криза. Системите са спрени, изпълнителните директори са под напрежение, а вземащите решения се надпреварват да намерят някакъв надежден път за възстановяване на операциите. Тази среда е точно това, което прави фалшивата „услуга за възстановяване“ ефективна. Жертвите не проверяват непременно всяко предложение за помощ със скептично око; те търсят бързо решение.

Тази тактика също така играе върху по-широка тенденция на рансъмуер актьори, които размиват границата между атакуващ и помощник. Тя повтаря други скорошни случаи, в които заплахи са се представяли за доверени роли, за да получат достъп или влияние, като например Silent Ransom Group, която физически се представя за IT персонал в адвокатски кантори, за да манипулира служители отвътре. Независимо дали представянето става лично или чрез фалшива марка за възстановяване, целта е същата: да се експлоатира доверието в точния момент, когато организацията е най-малко подготвена да провери с кого всъщност си има работа.

Рансъмуер групите също така са показали, че са готови да се насочват към широк кръг от сектори, когато възможността се появи, както се видя, когато групата SpaceBears удари френския телеком оператор Stellar. Тактики като схемата „Ransom Busters“ предполагат, че дори след първоначална атака, жертвите в различни индустрии не могат да приемат, че опасността е отминала, след като преговорите започнат.

Поверителността след фалшиви услуги за възстановяване

Последиците за поверителността тук надхвърлят финансовия аспект. Когато жертва се ангажира с това, което смята за легитимна услуга за възстановяване, тя може да сподели чувствителни подробности за своята мрежа, излагането на данните си, вътрешните си решения и дори готовността си да плати. Ако тази „услуга“ всъщност се контролира от или е свързана с атакуващия, цялата тази информация се връща обратно при хората, отговорни за пробива.

Това създава обратна връзка, която облагодетелства атакуващия на всеки етап: те получават плащане, получават разузнаване за това как жертвата реагира и дори могат да получат втори шанс да изтръгнат пари под прикритието на легитимна помощ. За всяка организация, която вече се справя с компрометирани данни, този вид схема умножава излагането, вместо да го разрешава.

Какво означава това за вас

Ако вашата организация някога бъде ударена от рансъмуер, натискът да намерите бързо решение може да бъде интензивен, но тази схема е напомняне, че не всяко предложение за помощ по време на криза е искрено. Фирмите за възстановяване, преговарящите и консултантите по киберсигурност винаги трябва да бъдат проверявани независимо, за предпочитане чрез препоръки, установена репутация или вашия доставчик на киберзастраховка, вместо чрез контакти, които се появяват неподканени веднага след атака.

Също така си струва да се помни, че легитимните фирми за реагиране при инциденти обикновено не се появяват от нищото с непотърсени предложения веднага след пробив. Всяко неочаквано излизане на контакт, което твърди, че помага с преговори за откуп или възстановяване на данни, заслужава допълнителна проверка, преди каквато и да е информация или пари да сменят собственика си.

Практически изводи

  • Проверявайте всяка услуга за възстановяване след инцидент или преговори чрез доверени, независими канали, преди да се ангажирате, особено ако тя се свърже с вас първа.
  • Включете правоприлагащите органи и вашия доставчик на киберзастраховка рано; те могат да помогнат да се разграничат легитимните партньори за възстановяване от опортюнистични актьори.
  • Избягвайте да споделяте подробна информация за вашия пробив, системи или намерения за плащане с която и да е страна, чиито идентификационни данни не са потвърдени.
  • Отнасяйте се към непотърсените предложения за помощ след пробив със същия скептицизъм, който бихте приложили към оригиналното писмо с искане за откуп.

Схеми като „Ransom Busters“ показват, че изнудването с рансъмуер не винаги приключва, когато се появи писмото с искане за откуп. Да останете предпазливи относно това на кого вярвате впоследствие след атака е също толкова важно, колкото и защитата срещу първоначалния пробив.