Everest ransomware gør krav mod indisk teknologivirksomhed Greenbotz

Everest-ransomwaregruppen har føjet den indiske teknologivirksomhed Greenbotz til sin liste over ofre og truer med at lække stjålne data, hvis virksomheden ikke reagerer på deres krav. Påstanden, som først blev dokumenteret i en hændelsesrapport fra DeXpose, følger et mønster, som gruppen gentagne gange har brugt mod organisationer verden over: infiltrer et netværk, eksfiltrer følsomme data, og brug derefter truslen om offentlig eksponering som løftestang for betaling.

Som med de fleste ransomware-offentliggørelser af denne art er det fulde omfang af, hvad der blev tilgået, hvor mange poster der blev berørt, og om kunde- eller medarbejderdata var involveret, ikke blevet uafhængigt verificeret ud over de påstande, gruppen selv er kommet med. Ransomwarebander overdriver ofte omfanget eller følsomheden af stjålne data for at presse ofre til at betale hurtigt, så detaljerne om Greenbotz-hændelsen bør behandles som en ubekræftet påstand, indtil flere detaljer kommer frem.

Hvem er Everest, og hvorfor er det vigtigt

Everest har opbygget et ry som en af de mere vedholdende afpresningsfokuserede ransomware-operationer, der er aktive i dag. Gruppens drejebog centrerer sig typisk om datatyveri snarere end ren kryptering, hvilket betyder, at ofre presses mindre af låste systemer og mere af truslen om, at følsomme oplysninger dukker op offentligt eller bliver solgt. Denne tilgang har gjort Everest til et tilbagevendende navn i brudrapportering på tværs af adskillige industrier og lande.

Gruppens taktik er ikke begrænset til mindre firmaer. Tidligere i år blev Everest sat i forbindelse med en højtprofileret sag, der involverede Stadler Rails afvisning af at betale en løsesum på 12,3 millioner dollars, efter at angribere havde stjålet tekniske data gennem en tredjepartsleverandør. Denne sag illustrerede, hvordan Everest ofte opnår første adgang ikke direkte gennem målvirksomheden, men gennem svagere led i en forsyningskæde, en detalje, der er værd at huske på for enhver virksomhed, i Indien eller andre steder, der er afhængig af eksterne leverandører eller kontraktører til it-services.

For en teknologivirksomhed som Greenbotz rækker indsatsen ud over virksomheden selv. Teknologileverandører har ofte adgang til klientsystemer, kildekode, legitimationsoplysninger eller kundedata som en del af normal forretningsdrift. Hvis nogen af disse oplysninger var en del af det, der blev tilgået, kunne ringvirkningerne nå langt ud over Greenbotz' egne medarbejdere og infrastruktur.

Konsekvenser for privatlivets fred for medarbejdere og kunder

Når en teknologivirksomhed bliver angrebet, er bekymringerne om privatlivets fred sjældent begrænset til virksomhedens interne registre. Afhængigt af hvad Greenbotz opbevarede eller behandlede, kunne et brud potentielt eksponere:

  • Personlige medarbejderoplysninger, herunder kontaktoplysninger eller finansielle data brugt til løn
  • Klient- eller partnerdata delt som en del af serviceaftaler
  • Proprietær kildekode eller teknisk dokumentation
  • Legitimationsoplysninger eller adgangstokens knyttet til forbundne systemer

Indtil Greenbotz eller uafhængige forskere bekræfter præcis, hvilke data der var involveret, er det ikke muligt at sige endegyldigt, hvem der er berørt. Men den generelle risikoprofil for et brud hos en teknologivirksomhed, givet hvor dybt integrerede disse virksomheder ofte er med klientinfrastruktur, har en tendens til at være bredere end en hændelse hos en enkelt virksomhed.

Hvad dette betyder for dig

Hvis du er kunde, partner eller medarbejder med tilknytning til Greenbotz, eller blot en person, der ønsker at forstå, hvordan disse hændelser spreder sig, er der et par praktiske punkter, der er værd at huske på. Ransomwaregrupper som Everest er afhængige af hastværk og frygt for at afpresse betaling, og offentlige lækketrusler er en del af denne preskampagne. Det betyder ikke, at truslen skal ignoreres, men det betyder heller ikke, at enhver påstand på et lækkested er fuldt ud nøjagtig eller fuldstændig.

For almindelige brugere er den større lære af hændelser som denne om eksponering gennem tredjeparter. De fleste mennesker vælger ikke direkte, hvilke leverandører en virksomhed, de interagerer med, er afhængig af, hvilket gør det svært helt at isolere sig fra downstream-brud. Hvad du kan kontrollere, er, hvordan du reagerer, når et brud, der involverer dine data, bliver offentligt: ændre genbrugte adgangskoder, aktivere multi-faktor autentificering, hvor det er tilgængeligt, og overvåge for usædvanlig kontoaktivitet.

Praktiske råd

Hvis du har nogen relation til Greenbotz, uanset om det er som kunde, partner eller medarbejder, skal du holde øje med officiel kommunikation fra virksomheden, der bekræfter, hvilke data der eventuelt er blevet berørt. I mellemtiden skal du gennemgå og opdatere adgangskoder knyttet til eventuelle delte systemer, aktivere multi-faktor autentificering, hvor det tilbydes, og undgå at genbruge legitimationsoplysninger på tværs af flere platforme. Virksomheder, der er afhængige af tredjeparts teknologileverandører, bør også bruge dette som en anledning til at gennemgå leverandøradgangskontroller og bekræfte, at følsomme data, der deles eksternt, er begrænset til det strengt nødvendige.

Ransomwaregrupper som Everest fortsætter med at angribe organisationer af alle størrelser i alle regioner, og Greenbotz er blot det seneste navn tilføjet til en lang liste. At holde sig informeret om, hvordan disse angreb udfolder sig, og tage grundlæggende forholdsregler før og efter et brud er bekræftet, forbliver den mest pålidelige måde at begrænse personlige og organisatoriske følgevirkninger på.