Hvad der skete, da ShinyHunters brød ind på Clops lækageside

Ifølge en rapport af Lawrence Abrams for DataBreaches.Net har afpresningsgruppen ShinyHunters brudt ind på den lækageside, der drives af Clop-ransomwarebanden (også skrevet Cl0p). ShinyHunters overmalede Clops Tor-baserede lækageportal og truer efter sigende med at afpresse ransomware-operationen selv. I praksis har en gruppe, der er bedst kendt for at stjæle og sælge virksomhedsdata, vendt samme fremgangsmåde mod en af de mest produktive ransomware-operatører, der er aktive i dag.

Clop har været ansvarlig for nogle af de største masse-afpresningskampagner i de seneste år og har ofte udnyttet sårbarheder i filoverførselssoftware til at stjæle data fra hundredvis af organisationer på én gang i stedet for at kryptere deres systemer. Deres lækageside har fungeret som det offentlige pressionspunkt, hvor Clop navngiver ofre og truer med at offentliggøre stjålne filer, hvis løsesummer ikke betales. At få selve denne infrastruktur kompromitteret og overmalet af en anden kriminel gruppe er en usædvanlig drejning, og det understreger en bredere tendens: ransomwarebander, der hacker hinanden, er ved at blive et genkendeligt mønster i underverdenen, ikke blot en sjælden kuriositet.

Hvorfor rivaliserende afpresningsgrupper vender sig mod hinanden

Ransomware- og dataafpresningsoperationer fungerer som uformelle virksomheder. De konkurrerer om affiliater, adgangsmæglere og omdømme på kriminelle fora, og de vogter deres lækagesider og forhandlingsportaler som kerneaktiver. Når en bande bryder ind i en andens infrastruktur, kan det tjene flere formål på én gang: at ydmyge en rival, forstyrre dennes operationer, stjæle dennes offerdata til videresalg eller blot demonstrere teknisk dominans for at opbygge gadecredibilitet blandt andre kriminelle.

ShinyHunters har selv en historik med storskala datatyveri og aktivitet på lækagesider, så indbruddet i Clops side passer ind i et mønster, hvor ét afpresningsbrand hævder sig over et andet. For forsvarere og forskere kan disse sammenstød lejlighedsvis give en lys side, ved at afsløre interne bandedetaljer eller destabilisere en aktiv trusselaktør. Men for de mennesker, hvis personlige og virksomhedsrelaterede data allerede er blevet stjålet af Clop, skærer situationen den anden vej.

Hvad dette betyder for ofre, hvis data allerede er blevet stjålet

Hvis din organisation, eller dine personlige oplysninger, tidligere har været involveret i en Clop-datatyverikampagne, er denne hændelse en påmindelse om, at stjålne data ikke forbliver inddæmmede, når de først har forladt et offers netværk. De kan kopieres, videresælges eller redistribueres af andre trusselaktører længe efter det oprindelige brud. Når en kriminel gruppe kompromitterer en andens lækageside, er der ingen måde at verificere, hvem der nu har kopier af disse data, hvordan de kan blive genpakket, eller om de vil dukke op på helt nye platforme, der er adskilt fra det oprindelige afpresningsforsøg.

Det er den praktiske risiko bag den redaktionelle vinkel her: data, som en ransomwarebande stjal og truede med at lække, kan ende med at cirkulere langt bredere og mere uforudsigeligt, end den oprindelige trussel antydede. Ofre, der forhandlede, betalte eller blot ventede på, at en oprindelig Clop-trussel gik over, kan ikke antage, at sagen er afsluttet, blot fordi den første lækageside blev stille eller blev taget ned. En rivaliserende gruppe, der får adgang til samme infrastruktur, selv kortvarigt, tilføjer endnu et lag af usikkerhed om, hvor dataene har bevæget sig hen.

Sådan tjekker du, om dine data er eksponeret, uanset hvem der har dem

Fordi stjålne data kan skifte hænder mellem kriminelle grupper, er det mest pålidelige forsvar ikke at forsøge at spore, hvilken bande der aktuelt kontrollerer en given lækageside. Fokuser i stedet på at overvåge din egen eksponering direkte. Brug velrenommerede brudnotifikationstjenester til at tjekke, om dine e-mailadresser eller konti er dukket op i kendte lækager, aktivér to-faktor-godkendelse overalt, hvor det tilbydes, og behandl enhver uventet anmodning om nulstilling af adgangskode eller loginadvarsel som et signal, der er værd at undersøge med det samme.

Hvis en password manager, browser eller enhed nogensinde flagger, at en af dine legitimationsoplysninger er dukket op i en lækage, er det værd at forstå præcis, hvad den advarsel betyder, og hvordan du skal reagere. Vores guide om hvad en advarsel om, at en adgangskode er dukket op i en lækage, betyder gennemgår de trin, du skal tage, fra at ændre den berørte adgangskode til at tjekke for genbrugte legitimationsoplysninger på tværs af andre konti. Det råd gælder i lige så høj grad, når data dukker op igen gennem et sekundært brud, som dette med ShinyHunters og Clop, som ved den oprindelige hændelse.

Vigtige pointer

ShinyHunters' brud på Clops lækageside er et tydeligt eksempel på ransomwarebander, der hacker hinanden, og det illustrerer, hvor ustabilt og uforudsigeligt det kriminelle økosystem omkring stjålne data i virkeligheden er. Ofre kan ikke kontrollere, hvad der sker med deres oplysninger, når de først har forladt en virksomheds netværk, men de kan kontrollere, hvor hurtigt de reagerer på tegn på eksponering. Tjek regelmæssigt, om dine legitimationsoplysninger er dukket op i kendte lækager, opdater og variér dine adgangskoder, og handl hurtigt på enhver lækageadvarsel, du modtager, uanset hvilken kriminel gruppe der aktuelt tager æren for bruddet.