Διαπραγματευτής του Ransomware BlackCat Πρόδωσε τους Ίδιους του τους Πελάτες

Τι Συνέβη: Ο Διαπραγματευτής που Δούλευε και για τις Δύο Πλευρές

Όταν μια εταιρεία πέφτει θύμα ransomware, μία από τις πρώτες κλήσεις που κάνει είναι σε έναν διαπραγματευτή: έναν ειδικό που εμπιστεύεται για να σταθεί ανάμεσα σε ένα πανικόβλητο θύμα και μια εγκληματική συμμορία, με στόχο να μειώσει την απαίτηση λύτρων ή να κερδίσει χρόνο για αποκατάσταση. Αυτή η σχέση βασίζεται αποκλειστικά στην εμπιστοσύνη. Σύμφωνα με ρεπορτάζ της Malwarebytes, ένας τέτοιος διαπραγματευτής παραβίασε αυτή την εμπιστοσύνη με τον πιο καταστροφικό τρόπο. Αντί να βοηθά τα θύματα να αντισταθούν στη συμμορία ransomware BlackCat, τροφοδοτούσε κρυφά τους εγκληματίες με πληροφορίες εκ των έσω, από τις διαπραγματεύσεις που υποτίθεται ότι διεξήγαγε για λογαριασμό των θυμάτων.

Το αποτέλεσμα ήταν ένα σενάριο εσωτερικής απειλής από διαπραγματευτή ransomware που κόστισε εκατομμύρια στα θύματα. Αντί να λειτουργεί ως τείχος προστασίας ανάμεσα σε μια εταιρεία και τον επιτιθέμενό της, ο διαπραγματευτής έγινε ουσιαστικά ένας δεύτερος επιτιθέμενος, με προνομιακή πρόσβαση στα οικονομικά όρια του θύματος, τη νομική στρατηγική και την προθυμία πληρωμής. Αυτό είναι ό,τι χειρότερο μπορεί να συμβεί σε μια αποτυχία απόκρισης σε συμβάν, διότι μετατρέπει την ίδια την ασπίδα που πληρώνουν οι οργανισμοί σε ευθύνη.

Πώς οι Συμμορίες Ransomware-as-a-Service Στρατολογούν Έμπιστους Μεσάζοντες

Η BlackCat, γνωστή και ως ALPHV, λειτουργεί ως ομάδα ransomware-as-a-service (RaaS), δηλαδή παραχωρεί το κακόβουλο λογισμικό και την υποδομή της σε θυγατρικούς συνεργάτες που εκτελούν τις επιθέσεις και μοιράζονται τα κέρδη. Αυτό το επιχειρηματικό μοντέλο βασιζόταν πάντα στη δημιουργία δικτύων ανθρώπων πρόθυμων να συνεργαστούν για ένα μερίδιο των εσόδων – από μεσίτες αρχικής πρόσβασης που πουλάνε κλεμμένα διαπιστευτήρια, μέχρι θυγατρικούς που αναπτύσσουν το πραγματικό ωφέλιμο φορτίο κρυπτογράφησης. Ένας συμβιβασμένος ή συνένοχος διαπραγματευτής αποτελεί απλώς την επόμενη λογική επέκταση αυτού του δικτύου: κάποιος ενσωματωμένος στο νόμιμο οικοσύστημα απόκρισης σε συμβάντα, που μπορεί να μοιράζεται πληροφορίες τις οποίες η συμμορία δεν θα μπορούσε ποτέ να αποκτήσει μόνη της.

Αυτός ακριβώς είναι ο λόγος που η υπόθεση έχει σημασία πέρα από την ίδια την BlackCat. Οι συμμορίες ransomware κατανοούν όλο και περισσότερο ότι ο πιο αδύναμος κρίκος στην απόκριση μιας παραβίασης δεν είναι πάντα ένα τείχος προστασίας ή ένας μη ενημερωμένος διακομιστής. Μπορεί να είναι ένα πρόσωπο, και συγκεκριμένα ένα πρόσωπο που το θύμα επέλεξε να εμπιστευτεί κατά την πιο αγχωτική στιγμή ενός συμβάντος ασφάλειας. Η ίδια αρχή της εκμετάλλευσης της εμπιστοσύνης και της πρόσβασης εμφανίζεται σε όλο το τοπίο του ransomware και του εκβιασμού δεδομένων, συμπεριλαμβανομένων περιστατικών όπως η παραβίαση των συστημάτων HR του Συμβουλίου της Ευρώπης από τους ShinyHunters, όπου οι επιτιθέμενοι απέδειξαν ξανά πόσο αποτελεσματικά μπορούν οι εγκληματικές ομάδες να αξιοποιήσουν την εσωτερική πρόσβαση μόλις βρουν έναν τρόπο εισόδου.

Γιατί Αυτό Διευρύνει την Επιφάνεια Επίθεσης για τα Θύματα Παραβίασης

Οι περισσότεροι οργανισμοί σκέφτονται τον κίνδυνο ransomware με όρους του δικού τους δικτύου: τερματικά, διακομιστές, αντίγραφα ασφαλείας, εκπαίδευση εργαζομένων. Πολύ λιγότεροι σκέφτονται τον κίνδυνο που εισάγουν οι προμηθευτές και οι σύμβουλοι που καλούν αφού έχει ήδη ξεκινήσει μια επίθεση. Ωστόσο, ένας διαπραγματευτής, όπως ένας ερευνητής ψηφιακών πειστηρίων ή ένας σύμβουλος διαχείρισης παραβίασης, έχει συχνά πρόσβαση σε μερικές από τις πιο ευαίσθητες πληροφορίες που διαθέτει μια εταιρεία κατά τη διάρκεια μιας κρίσης: το ποσό των λύτρων που το θύμα είναι διατεθειμένο να πληρώσει, ποια δεδομένα πράγματι εκλάπησαν και πόσο απελπισμένος είναι ο οργανισμός να αποφύγει τη δημόσια αποκάλυψη.

Όταν αυτή η πρόσβαση γίνεται αντικείμενο κατάχρησης, η ζημιά πολλαπλασιάζεται. Τα θύματα δεν χάνουν απλώς χρήματα από τα ίδια τα λύτρα, αλλά χάνουν όποια διαπραγματευτική ισχύ είχαν, επειδή η συμμορία γνωρίζει ήδη το κατώτατο όριό τους πριν καν ξεκινήσουν οι συνομιλίες. Αυτή η υπόθεση είναι μια υπενθύμιση ότι η εφοδιαστική αλυσίδα απόκρισης σε συμβάντα αξίζει τον ίδιο έλεγχο με οποιαδήποτε άλλη σχέση προμηθευτή και ότι η εμπιστοσύνη σε μια κρίση δεν πρέπει ποτέ να θεωρείται δεδομένη μόνο και μόνο επειδή κάποιος φέρει τον κατάλληλο τίτλο εργασίας.

Πώς να Αξιολογείτε τους Ανταποκριτές Συμβάντων και τους Διαπραγματευτές Πριν Ξεσπάσει μια Κρίση

Ο καλύτερος χρόνος για να αξιολογήσετε έναν διαπραγματευτή ransomware ή μια εταιρεία απόκρισης σε συμβάντα είναι πριν συμβεί μια επίθεση, όχι κατά τη διάρκειά της, όταν η πίεση του χρόνου καθιστά σχεδόν αδύνατη την προσεκτική δέουσα επιμέλεια. Οι οργανισμοί μπορούν να λάβουν αρκετά συγκεκριμένα μέτρα:

• Επιβεβαιώστε το ιστορικό της εταιρείας και ζητήστε συστάσεις από προηγούμενους πελάτες που αντιμετώπισαν παρόμοια περιστατικά.
• Ρωτήστε πώς η εταιρεία ελέγχει το δικό της προσωπικό, συμπεριλαμβανομένων των ελέγχων ιστορικού και των εσωτερικών δικλίδων για το ποιος μπορεί να έχει πρόσβαση στις λεπτομέρειες των διαπραγματεύσεων.
• Επιμείνετε σε τεκμηριωμένα, ελέγξιμα αρχεία επικοινωνίας κατά τη διάρκεια οποιασδήποτε διαπραγμάτευσης, αντί να βασίζεστε αποκλειστικά σε ένα μοναδικό σημείο επαφής.
• Εμπλέξτε εξωτερικό νομικό σύμβουλο ή έναν δεύτερο σύμβουλο ασφάλειας για την ανεξάρτητη επαλήθευση σημαντικών αποφάσεων, όπως τα ποσά των λύτρων ή ο χρόνος πληρωμής.
• Δημιουργήστε αυτές τις σχέσεις και τις συμβάσεις με τους προμηθευτές εκ των προτέρων, στο πλαίσιο μιας σύμβασης διαρκείας απόκρισης σε συμβάντα, αντί να προσπαθείτε να βρείτε βοήθεια εν μέσω μιας παραβίασης.

Τι Σημαίνει Αυτό για Εσάς

Εάν ο οργανισμός σας διαθέτει σχέδιο απόκρισης σε ransomware, αυτή η υπόθεση αποτελεί μια καλή αφορμή για να επανεξετάσετε ποιος περιλαμβάνεται πραγματικά σε αυτό το σχέδιο και πόσο καλά τον γνωρίζετε. Μια εσωτερική απειλή από διαπραγματευτή ransomware είναι σπάνια, αλλά οι συνέπειες είναι τόσο σοβαρές που μια μέτρια δόση εκ των προτέρων ελέγχου αξίζει τον κόπο. Η ίδια λογική ισχύει για κάθε τρίτο μέρος που έχει προνομιακή πρόσβαση κατά τη διάρκεια μιας παραβίασης: ερευνητές ψηφιακών πειστηρίων, νομικοί σύμβουλοι και εταιρείες δημοσίων σχέσεων αξίζουν τον ίδιο έλεγχο που θα εφαρμόζατε σε έναν νέο προμηθευτή λογισμικού.

Κύρια Σημεία

• Ελέγξτε προκαταβολικά τις εταιρείες απόκρισης σε συμβάντα και διαπραγμάτευσης, συμπεριλαμβανομένων των ελέγχων ιστορικού του προσωπικού και των συστάσεων.
• Απαιτήστε τεκμηριωμένα, ελέγξιμα αρχεία όλων των διαπραγματεύσεων λύτρων, αντί να βασίζεστε σε ένα μόνο έμπιστο άτομο.
• Αντιμετωπίστε τους τρίτους ανταποκριτές ως μέρος της επιφάνειας επίθεσής σας, όχι μόνο της άμυνάς σας.
• Μείνετε ενημερωμένοι για το πώς οι ομάδες ransomware και εκβιασμού εκμεταλλεύονται την εμπιστοσύνη σε κάθε στάδιο μιας παραβίασης, από την αρχική πρόσβαση έως την τελική διαπραγμάτευση.