Booba Project-ransomwaregruppen er en økonomisk motiveret afpresningsoperation, der oplister ofre på et læksite og truer med at offentliggøre stjålne oplysninger, medmindre der betales en løsesum. Offentlig information om gruppen er begrænset, men omridset er klart nok til at være nyttigt: dens rapporterede mål er koncentreret i USA, med yderligere ofre identificeret andre steder, herunder en virksomhed i Schweiz.

Dette indlæg forklarer, hvad der vides, hvordan afpresningsmodellen fungerer, og hvad almindelige mennesker og små virksomheder kan gøre for at reducere skaden, hvis deres data ender i de forkerte hænder.

Hvem Booba Project retter sig mod

Ifølge gruppens profil, som threat intelligence-platformen Mallory har offentliggjort, er Booba Projects rapporterede ofre koncentreret i USA. Andre ofre er blevet identificeret uden for landet, hvilket viser, at gruppen ikke er strengt begrænset til ét marked.

Kildematerialet giver ikke en detaljeret opdeling af brancher, antal ofre eller de tekniske metoder, gruppen bruger til at trænge ind, og det ville være en fejl at udfylde disse huller med gætværk. Det, man kan sige, er, at gruppen passer til et velkendt mønster: den er motiveret af penge, ikke politik, og den vælger organisationer, der besidder data, som er værdifulde nok til at presse dem til at betale.

For læsere er den praktiske pointe, at placering ikke gør en organisation sikker. En gruppe med et primært amerikansk fokus kan stadig nå en virksomhed i Europa, som den schweiziske sag nedenfor viser.

Hvordan læksite-afpresningsmodellen fungerer

Booba Project følger det, der almindeligvis kaldes dobbelt afpresning. I stedet for kun at låse systemer stjæler operatørerne også data og udøver derefter pres på to måder:

  • Operationelt pres: hvis systemer krypteres, kan offeret muligvis ikke arbejde normalt.
  • Eksponeringspres: gruppen offentliggør offerets navn på et læksite og truer med at frigive de stjålne filer, medmindre der betales en løsesum.

Læksitet er det centrale værktøj. En offentlig oplistning fungerer både som en trussel og en deadline. Den fortæller offeret, dets kunder og pressen, at en hændelse er sket, endda før nogen filer frigives. Det er derfor, at gendannelse fra backup, selvom det er essentielt, ikke løser problemet fuldt ud. Backup kan bringe systemer online igen, men de kan ikke gøre stjålne data ustjålne.

Oplistningen i sig selv er også kun en påstand. Læksite-poster laves af kriminelle, og mængderne af data, de hævder at besidde, verificeres ikke uafhængigt som standard. Behandl dem som signaler til at undersøge, ikke som bevis.

Hvad Zynex-påstanden viser om gruppens aktivitet

Gruppens rækkevidde ud over USA illustreres af dens påstand mod Zynex, en schweiziskbaseret virksomhed. Som dækket i vores rapport om Booba-ransomwaregruppens påstand mod den schweiziske virksomhed Zynex, siger gruppen, at den stjal cirka 1,4 GB data.

Det tal er gruppens egen påstand. Det er et nyttigt eksempel på, hvordan disse påstande typisk fremstår: et navngivet offer, en angivet mængde stjålne data og en trussel om at offentliggøre dem.

Sagen rejser også juridiske spørgsmål for virksomheder, der opererer i Schweiz. Siden 1. september 2023 har virksomheder der arbejdet under den reviderede føderale databeskyttelseslov. Vores forklaring om overholdelse af den schweiziske databeskyttelseslov siden 2023 dækker rammerne og er et godt udgangspunkt for at forstå, hvilke forpligtelser der kan følge efter et datatyveri.

Hvad det betyder for dig

De fleste vil aldrig forholde sig direkte til en ransomwaregruppe. Det mere sandsynlige scenario er, at en virksomhed, du handler med, såsom en tjenesteudbyder, en leverandør eller en arbejdsgiver, er oplistet på et læksite, og dine oplysninger er blandt de stjålne filer.

Det betyder, at din eksponering ofte afhænger af beslutninger truffet af andre. Du kan ikke stoppe bruddet, men du kan begrænse, hvad en stjålet fil kan bruges til.

Trin, forbrugere og små virksomheder kan tage for at begrænse eksponering

For enkeltpersoner:

  • Brug en unik adgangskode til hver konto, opbevaret i en adgangskodeadministrator, så en lækket legitimationsoplysning ikke låser op for andre.
  • Slå multifaktorautentificering til, hvor det tilbydes, helst med en autentificeringsapp eller sikkerhedsnøgle.
  • Vær opmærksom på phishing, der refererer til et rigtigt brud. Kriminelle bruger ofte nyheden om en hændelse til at få svindelbeskeder til at virke troværdige.
  • Overvej en kreditfrys, hvis følsomme identifikatorer som nationale ID-numre var involveret, og hold øje med kontoudtog for usædvanlig aktivitet.

For små virksomheder:

  • Hold offline- eller uforanderlige backups og test gendannelse af dem, så kryptering alene ikke kan standse driften.
  • Indsaml og opbevar kun de data, du har brug for. Data, du ikke længere besidder, kan ikke stjæles.
  • Begræns, hvem der kan få adgang til følsomme filer, og anvend softwareopdateringer hurtigt.
  • Forbered en plan for håndtering af hændelser, før du har brug for den, herunder hvem der skal kontaktes, hvordan kunder skal underrettes, og hvilke juridiske indberetningspligter der gælder i din jurisdiktion.
  • Segmentér netværk, så én kompromitteret enhed ikke blotlægger alt.

Hvis du er oplistet på et læksite, skal du hurtigt inddrage juridisk rådgivning og incident responders. Betaling garanterer ikke, at data slettes, og den kan finansiere yderligere angreb.

Centrale pointer

Booba Project-ransomwaregruppen er en påmindelse om, at moderne afpresning handler lige så meget om stjålne data som om låste systemer. Dens rapporterede fokus på amerikanske organisationer plus mindst ét schweizisk offer viser, at geografi giver ringe beskyttelse.

Stærke, unikke adgangskoder, multifaktorautentificering, minimal dataopbevaring og testede backups forbliver de mest effektive forsvar. For at se, hvordan en Booba Project-påstand ser ud i praksis, læs vores dækning af Zynex-påstanden, og for den juridiske side af et brud, se vores guide til schweizisk databeskyttelsesoverholdelse.