En ny ransomware-operation er kommet med et aggressivt tilbud til potentielle kriminelle. Ifølge rapportering fra eSecurity Planet tilbyder Dark Project affilierede 80 % af afpresningsbetalingerne og hævder at have 38 ofre indtil videre. Dark Projects affiliate-model er en påmindelse om, at økonomien i afpresning fortsat skifter til angribernes fordel, og at almindelige mennesker ofte mærker konsekvenserne, når en organisation, der opbevarer deres data, bliver ramt.

Dette indlæg dækker, hvad der er kendt fra rapporteringen, hvorfor udbetalingsstrukturen er vigtig, og hvad både organisationer og enkeltpersoner kan gøre. Kildematerialet er kort, så vi holder os til det, det bekræfter: affilieredes andel på 80 % og påstanden om 38 ofre.

Sådan fungerer Dark Projects udbetaling på 80 % til affilierede

Dark Project følger ransomware-as-a-service-modellen (RaaS). I en RaaS-ordning bygger og vedligeholder en kernegruppe malwaren og infrastrukturen omkring den. Affilierede, som er separate operatører, udfører de faktiske indtrængninger og afpresningsforsøg. Når et offer betaler, deles pengene mellem de to sider.

Her giver den rapporterede fordeling affilierede 80 % af hver afpresningsbetaling. Operatørerne beholder resten. Tallet på 38 ofre er en påstand fra gruppen, hvilket betyder, at det bør betragtes som ubekræftet, indtil det bekræftes af de involverede organisationer eller uafhængige forskere.

Arbejdsdelingen er selve pointen med modellen. Udviklerne fokuserer på værktøjer, læksider og forhandlingsinfrastruktur. Affilierede fokuserer på at komme ind. Hver side udfører mindre arbejde, end et fuldt uafhængigt hold ville gøre, hvilket er grunden til, at modellen har spredt sig så bredt. For et dybere indblik i, hvordan en etableret gruppe har opereret under denne tilgang, se vores BlackCat/ALPHV-ransomware-profil.

Hvorfor generøse RaaS-fordelinger sænker barrieren for afpresning

En høj affilieret procentdel er et rekrutteringsværktøj. Nyere grupper skal konkurrere med etablerede brands om dygtige indtrængere, og en større andel er en måde at tiltrække dem på. En andel på 80 % gør tilbuddet økonomisk attraktivt for enhver, der kan få adgang til et netværk.

Der er også en effekt på kompetencer. Fordi platformen leverer krypteringsværktøjerne og lækinfrastrukturen, behøver en affilieret ikke at skrive malware eller drive en forhandlingsoperation. Det sænker den tekniske tærskel og udvider puljen af personer, der kan forsøge et angreb.

Resultatet er flere forsøg, spredt over flere mål, herunder organisationer, der opbevarer følsomme oplysninger om mennesker, men har begrænsede sikkerhedsbudgetter. Mønstret er synligt i hændelser som ransomware-angrebet på en nonprofitorganisation, der hjælper overlevende efter menneskehandel, hvor betydningen i mindre grad kom fra teknisk sofistikering end fra, hvem der blev ramt.

Hvad organisationer bør overvåge og hærde

Fordi det er de affilierede, der bryder ind, bør forsvarere fokusere på de almindelige veje ind i et netværk snarere end på en enkelt gruppes branding. Praktiske prioriteter omfatter:

  • Fjerntliggende adgang: Gennemgå VPN, fjernskrivebord og andre eksternt eksponerede tjenester. Håndhæv multifaktorautentificering, og ret fejl hurtigt.
  • Legitimationsoplysninger: Hold øje med usædvanlige logins, genbrugte adgangskoder og konti med for mange privilegier.
  • Databevægelse: Overvåg for store eller uventede udgående overførsler, da moderne angreb typisk involverer tyveri af data, før noget krypteres.
  • Backups: Opbevar offline eller uforanderlige kopier, og test gendannelse regelmæssigt. Backups hjælper med gendannelse, men de annullerer ikke datatyveri. Vores forklaring om dobbelt afpresning forklarer hvorfor.
  • Overvågning af læksider: Følg med i, om din organisation eller leverandører optræder på afpresningssider, så du kan handle tidligt.

Hvad dette betyder for dig

De fleste mennesker vil aldrig være det direkte mål for en RaaS-affilieret. Eksponeringen kommer indirekte: en arbejdsgiver, et forsikringsselskab, en sundhedsudbyder eller et flyselskab opbevarer dine data, og den organisation bliver angrebet. Når afpresningsgrupper offentliggør stjålne filer, kan oplysningerne cirkulere bredt, som i lækken af 8,7 millioner britiske lufthavnsrejsendes registreringer.

Hvis en tjeneste, du bruger, bliver ramt, kan du overveje disse trin:

  1. Læs den officielle meddelelse omhyggeligt. Bemærk, hvilke kategorier af data der var involveret, og hvilken beskyttelse der tilbydes, såsom kreditovervågning.
  2. Skift din adgangskode til den tjeneste og til enhver anden konto, hvor du genbrugte den. Brug en adgangskodeadministrator til at oprette unikke adgangskoder.
  3. Slå multifaktorautentificering til, hvor det er tilgængeligt.
  4. Hold øje med phishing. Stjålne kontaktoplysninger bruges ofte til overbevisende opfølgende svindel, der henviser til bruddet. Klik ikke på links i uventede meddelelser; gå direkte til organisationens websted.
  5. Overvåg finansielle konti, og overvej en kreditspærring, hvis identifikatorer som personnumre blev eksponeret.
  6. Gem dokumentation for meddelelser og enhver mistænkelig aktivitet.

Det vigtigste at tage med

Dark Project-ransomware-affiliate-modellen illustrerer en holdbar tendens: når indtægtsfordelingen favoriserer den person, der udfører indtrængningen, er flere villige til at prøve. De 38 ofre, der hævdes indtil videre, er ubekræftede, men strukturen bag dem er det, der betyder noget. Organisationer bør hærde adgangspunkter og holde øje med datatyveri, og enkeltpersoner bør være klar til at handle hurtigt, når en virksomhed, de har tillid til, oplyser om et brud.

For at forstå, hvorfor gendannelse fra backups ikke stopper moderne afpresning, læs vores forklaring om dobbelt afpresning. For at se, hvad stjålne data kan betyde for rigtige mennesker, læs vores dækning af Beacon Mutual-ransomware-bruddet.