Koordinovaný úder proti králi ransomwaru

Evropská unie oficiálně uvalila sankce na jednotlivce známého online jako „Stern“, který byl identifikován jako správce ransomware operace Trickbot. Podle společnosti Chainalysis, zabývající se blockchainovou analytikou, Sternova síť vybrala více než 300 milionů dolarů na výkupném, což z této akce činí jednu z nejvýznamnějších sankcí proti kyberzločincům v nedávné době. Krok byl učiněn souběžně s paralelními sankcemi ze strany Spojených států a Spojeného království v rámci širšího koordinovaného úsilí zaměřeného na infrastrukturu, která ransomwaru zajišťuje ziskovost.

Sternova role nebyla osamělého hackera pronikajícího do sítí. Zprávy naznačují, že spíše fungoval jako manažer – řídil zločinecký podnik, který vyvíjel a licencoval malware Trickbot používaný k napadání obětí po celém světě. Samotný Trickbot má dlouhou historii jako základní nástroj v ransomwarovém ekosystému, často sloužil jako počáteční přístupový bod, jenž později umožnil nasazení ničivějších ransomwarových útoků proti nemocnicím, firmám a vládním agenturám.

Proč na sankcích při potírání ransomwaru záleží

Sankce fungují jinak než zatčení nebo obvinění. Namísto snahy o vydání (často nemožné, když podezřelí operují ze zemí bez dohod o spolupráci v oblasti vymáhání práva) sankce zmrazí přístup k financím a kriminalizují jakoukoli transakci s určenou osobou nebo jejími přidruženými peněženkami. Pro někoho jako Stern, jehož impérium závisí na platbách v kryptoměnách proudících přes burzy a mixéry, to může významně narušit peněžní tok i bez soudního rozsudku.

Tento druh sankční akce proti ransomwaru také vysílá signál firmám, které usnadňují výplatu výkupného. Kybernetičtí pojistitelé, společnosti zabývající se reakcí na incidenty a vyjednavači, které si firmy během útoku najímají, nyní čelí právnímu riziku, pokud vědomě nasměrují prostředky na sankcionovaný subjekt. Tato realita již změnila způsob, jakým probíhají vyjednávání o výkupném v zákulisí, jak podrobně popisujeme v našem článku o vyjednavači ransomwaru BlackCat, který zradil své vlastní klienty, kde se pobídky kolem výkupného ukázaly být problematičtější, než oběti očekávaly.

Případ Trickbot také ukazuje, jak se ransomware vyvinul do vrstveného obchodního modelu. Skupiny jako Stormous, která nedávno převzala odpovědnost za únik 10 GB dat ze sítě nizozemské církve, se často spoléhají na přístupové zprostředkovatele a infrastrukturu typu malware-as-a-service, podobnou té, kterou poskytoval Trickbot. Sankcionování provozovatelů infrastruktury, nejen samotných značek ransomwaru, je pokusem přerušit dodavatelský řetězec, na němž jsou menší skupiny závislé.

Dopady na soukromí běžných uživatelů

Ačkoli sankce cílí na konkrétní osobu, dopady na soukromí se šíří na každého, jehož osobní údaje prošly sítí, kterou Trickbot pomohl kompromitovat. Ransomwarové operace často exfiltrují citlivé záznamy před zašifrováním systémů a ukradená data nezmizí, když jsou sankce oznámeny. Poskytovatelé zdravotní péče byli tímto modelem obzvláště těžce zasaženi, jak ukazuje případ, kdy irská HSE dostala pokutu 300 000 eur po ransomwarovém útoku na nemocnici Tullamore, při němž došlo k odhalení pacientských dat.

Provozovatelé ransomwaru se také často spoléhají na anonymizační nástroje vytvořené speciálně pro kriminální účely, odlišné od legitimních spotřebitelských VPN služeb. Orgány činné v trestním řízení začaly cílit přímo na tuto infrastrukturu, jak ukazuje zásah popsaný v naší zprávě o zabavení 33 serverů spojených s kriminální VPN službou Europolem. Tyto akce zdůrazňují důležitý rozdíl: nástroje na ochranu soukromí navržené pro běžné uživatele nejsou totéž co účelově vybudovaná kriminální infrastruktura a regulátoři tuto hranici stále jasněji vymezují.

Co to znamená pro vás

Pro většinu čtenářů sankce proti Sternovi přímo nezmění každodenní život, ale odrážejí širší pravdu: ransomware není vzdálenou abstraktní hrozbou. Je to ziskový průmysl s manažery, dodavatelskými řetězci a finančními pobídkami, podobně jako každý jiný byznys. Když tento byznys zasáhne nemocnici, školu nebo společnost, která spravuje vaše osobní údaje, důsledky dopadají na obyčejné lidi, nejen na IT oddělení.

Pokud jste v posledních několika letech obdrželi oznámení o narušení bezpečnosti, zejména od poskytovatele zdravotní péče, finanční instituce nebo veřejné agentury, existuje reálná šance, že příslušný útok má kořeny v infrastruktuře podobné té, kterou údajně vybudoval Stern. To je dobrý důvod zůstat ostražití ohledně toho, kde se vaše data nacházejí a jak jsou chráněna.

Praktické rady

  • Pečlivě sledujte oznámení o narušení bezpečnosti, zejména od poskytovatelů zdravotní péče a finančních institucí, a zaregistrujte se do nabízeného monitorování úvěrů.
  • Používejte jedinečná, silná hesla a všude, kde je to možné, zapněte vícefaktorové ověřování, protože krádež přihlašovacích údajů je často prvním krokem ransomwarových průniků.
  • Buďte obezřetní vůči nevyžádaným e-mailům a přílohám, protože Trickbot a podobné rodiny malwaru se historicky šířily prostřednictvím phishingových kampaní.
  • Při zkoumání VPN nebo bezpečnostních produktů rozlišujte mezi renomovanými nástroji na ochranu soukromí a službami kriminální úrovně anonymizace.

Sankce proti Sternovi ransomwarovou hrozbu přes noc neukončí, ale představují významnou eskalaci v tom, jak vlády přerušují finanční životodárné linie, které tyto operace vůbec činí ziskovými.