Μια νέα επιχείρηση ransomware κάνει μια επιθετική προσφορά σε επίδοξους εγκληματίες. Σύμφωνα με ρεπορτάζ του eSecurity Planet, το Dark Project προσφέρει στους συνεργάτες του το 80% των πληρωμών εκβιασμού και ισχυρίζεται ότι έχει 38 θύματα μέχρι στιγμής. Το μοντέλο συνεργατών του Dark Project ransomware είναι μια υπενθύμιση ότι τα οικονομικά του εκβιασμού συνεχίζουν να μετατοπίζονται υπέρ των επιτιθέμενων, και ότι οι απλοί άνθρωποι συχνά βιώνουν τις συνέπειες όταν ένας οργανισμός που κατέχει τα δεδομένα τους δέχεται επίθεση.

Αυτή η ανάρτηση καλύπτει τι είναι γνωστό από το ρεπορτάζ, γιατί η δομή των πληρωμών έχει σημασία, και τι μπορούν να κάνουν τόσο οι οργανισμοί όσο και τα άτομα. Το υλικό πηγής είναι σύντομο, οπότε περιοριζόμαστε σε αυτό που επιβεβαιώνει: το μερίδιο 80% για τους συνεργάτες και τον ισχυρισμό για 38 θύματα.

Πώς λειτουργεί η πληρωμή 80% στους συνεργάτες του Dark Project

Το Dark Project ακολουθεί το μοντέλο ransomware-as-a-service (RaaS). Σε μια συμφωνία RaaS, μια κεντρική ομάδα δημιουργεί και συντηρεί το κακόβουλο λογισμικό και την υποδομή γύρω από αυτό. Οι συνεργάτες, που είναι ξεχωριστοί χειριστές, εκτελούν τις πραγματικές εισβολές και τις απόπειρες εκβιασμού. Όταν ένα θύμα πληρώνει, τα χρήματα μοιράζονται μεταξύ των δύο πλευρών.

Εδώ, η αναφερόμενη κατανομή δίνει στους συνεργάτες το 80% κάθε πληρωμής εκβιασμού. Οι χειριστές κρατούν το υπόλοιπο. Το νούμερο των 38 θυμάτων είναι ένας ισχυρισμός που κάνει η ομάδα, πράγμα που σημαίνει ότι θα πρέπει να αντιμετωπίζεται ως μη επαληθευμένος μέχρι να επιβεβαιωθεί από τους εμπλεκόμενους οργανισμούς ή ανεξάρτητους ερευνητές.

Η κατανομή εργασιών είναι το νόημα του μοντέλου. Οι προγραμματιστές επικεντρώνονται στα εργαλεία, τους ιστότοπους διαρροής και την υποδομή διαπραγμάτευσης. Οι συνεργάτες επικεντρώνονται στο να μπουν μέσα. Κάθε πλευρά κάνει λιγότερη δουλειά από ό,τι θα έκανε ένα πλήρως ανεξάρτητο συνεργείο, γι' αυτό το μοντέλο έχει εξαπλωθεί τόσο ευρέως. Για μια βαθύτερη ματιά στο πώς έχει λειτουργήσει μια καθιερωμένη ομάδα με αυτή την προσέγγιση, δείτε το προφίλ ransomware BlackCat/ALPHV.

Γιατί τα γενναιόδωρα μερίδια RaaS μειώνουν το εμπόδιο για εκβιασμό

Ένα υψηλό ποσοστό για τους συνεργάτες είναι εργαλείο προσέλκυσης. Οι νεότερες ομάδες πρέπει να ανταγωνιστούν για έμπειρους εισβολείς απέναντι σε καθιερωμένες επωνυμίες, και ένα μεγαλύτερο μερίδιο είναι ένας τρόπος να τους προσελκύσουν. Ένα μερίδιο 80% κάνει την προσφορά οικονομικά ελκυστική σε οποιονδήποτε μπορεί να αποκτήσει πρόσβαση σε ένα δίκτυο.

Υπάρχει επίσης ένα αποτέλεσμα δεξιοτήτων. Επειδή η πλατφόρμα παρέχει τα εργαλεία κρυπτογράφησης και την υποδομή διαρροής, ένας συνεργάτης δεν χρειάζεται να γράψει κακόβουλο λογισμικό ή να διευθύνει μια επιχείρηση διαπραγμάτευσης. Αυτό μειώνει τον τεχνικό πήχη και διευρύνει την 풀 των ανθρώπων που μπορούν να επιχειρήσουν μια επίθεση.

Το αποτέλεσμα είναι περισσότερες απόπειρες, κατανεμημένες σε περισσότερους στόχους, συμπεριλαμβανομένων οργανισμών που κατέχουν ευαίσθητα αρχεία για ανθρώπους αλλά έχουν περιορισμένους προϋπολογισμούς ασφαλείας. Το μοτίβο είναι ορατό σε περιστατικά όπως η επίθεση ransomware σε μια μη κερδοσκοπική οργάνωση που εξυπηρετεί επιζώντες εμπορίας ανθρώπων, όπου η σημασία προήλθε λιγότερο από την τεχνική πολυπλοκότητα και περισσότερο από το ποιοι επηρεάστηκαν.

Τι πρέπει να παρακολουθούν και να θωρακίζουν οι οργανισμοί

Επειδή οι συνεργάτες είναι αυτοί που εισβάλλουν, οι αμυνόμενοι θα πρέπει να επικεντρώνονται στις κοινές διαδρομές εισόδου σε ένα δίκτυο παρά στην επωνυμία οποιασδήποτε μεμονωμένης ομάδας. Πρακτικές προτεραιότητες περιλαμβάνουν:

  • Απομακρυσμένη πρόσβαση: Ελέγξτε VPN, απομακρυσμένη επιφάνεια εργασίας και άλλες εξωτερικά εκτεθειμένες υπηρεσίες. Επιβάλετε έλεγχο ταυτότητας πολλαπλών παραγόντων και εφαρμόστε ενημερώσεις άμεσα.
  • Διαπιστευτήρια: Προσέξτε για ασυνήθιστες συνδέσεις, επαναχρησιμοποιημένους κωδικούς πρόσβασης και λογαριασμούς με υπερβολικά προνόμια.
  • Μετακίνηση δεδομένων: Παρακολουθήστε για μεγάλες ή απροσδόκητες εξερχόμενες μεταφορές, καθώς οι σύγχρονες επιθέσεις συνήθως περιλαμβάνουν κλοπή δεδομένων πριν από οποιαδήποτε κρυπτογράφηση.
  • Αντίγραφα ασφαλείας: Διατηρήστε offline ή αμετάβλητα αντίγραφα και δοκιμάστε τακτικά την επαναφορά. Τα αντίγραφα ασφαλείας βοηθούν στην ανάκαμψη, αλλά δεν αναιρούν την κλοπή δεδομένων. Η εξήγηση του διπλού εκβιασμού εξηγεί γιατί.
  • Παρακολούθηση ιστότοπων διαρροής: Παρακολουθήστε αν ο οργανισμός σας ή οι προμηθευτές σας εμφανίζονται σε ιστότοπους εκβιασμού, ώστε να μπορείτε να δράσετε έγκαιρα.

Τι σημαίνει αυτό για εσάς

Οι περισσότεροι άνθρωποι δεν θα γίνουν ποτέ ο άμεσος στόχος ενός συνεργάτη RaaS. Η έκθεση έρχεται έμμεσα: ένας εργοδότης, ασφαλιστής, πάροχος υγειονομικής περίθαλψης ή αεροπορική εταιρεία κατέχει τα δεδομένα σας, και αυτός ο οργανισμός δέχεται επίθεση. Όταν οι ομάδες εκβιασμού δημοσιεύουν κλεμμένα αρχεία, οι πληροφορίες μπορούν να κυκλοφορήσουν ευρέως, όπως στη διαρροή 8,7 εκατομμυρίων αρχείων ταξιδιωτών αεροδρομίων του Ηνωμένου Βασιλείου.

Αν μια υπηρεσία που χρησιμοποιείτε δεχτεί επίθεση, εξετάστε τα εξής βήματα:

  1. Διαβάστε προσεκτικά την επίσημη ειδοποίηση. Σημειώστε ποιες κατηγορίες δεδομένων αφορούσε και τυχόν προστασία που προσφέρεται, όπως παρακολούθηση πίστωσης.
  2. Αλλάξτε τον κωδικό πρόσβασής σας για αυτή την υπηρεσία, και για οποιονδήποτε άλλο λογαριασμό όπου τον επαναχρησιμοποιήσατε. Χρησιμοποιήστε έναν διαχειριστή κωδικών πρόσβασης για να δημιουργήσετε μοναδικούς.
  3. Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου είναι διαθέσιμος.
  4. Προσέξτε για phishing. Τα κλεμμένα στοιχεία επικοινωνίας χρησιμοποιούνται συχνά για πειστικές απάτες παρακολούθησης που αναφέρονται στην παραβίαση. Μην κάνετε κλικ σε συνδέσμους σε απροσδόκητα μηνύματα· μεταβείτε απευθείας στον ιστότοπο του οργανισμού.
  5. Παρακολουθήστε τους οικονομικούς λογαριασμούς και εξετάστε ένα πάγωμα πίστωσης αν εκτέθηκαν αναγνωριστικά όπως αριθμοί κοινωνικής ασφάλισης.
  6. Κρατήστε αρχεία των ειδοποιήσεων και τυχόν ύποπτης δραστηριότητας.

Το συμπέρασμα

Το μοντέλο συνεργατών του Dark Project ransomware καταδεικνύει μια διαρκή τάση: όταν η κατανομή των εσόδων ευνοεί το άτομο που κάνει την εισβολή, περισσότεροι άνθρωποι είναι πρόθυμοι να δοκιμάσουν. Τα 38 θύματα που ισχυρίζεται μέχρι στιγμής είναι ανεπιβεβαίωτα, αλλά η δομή πίσω από αυτά είναι αυτό που έχει σημασία. Οι οργανισμοί θα πρέπει να θωρακίσουν τα σημεία πρόσβασης και να παρακολουθούν για κλοπή δεδομένων, και τα άτομα θα πρέπει να είναι έτοιμα να δράσουν γρήγορα όταν μια εταιρεία που εμπιστεύονται αποκαλύψει μια παραβίαση.

Για να κατανοήσετε γιατί η επαναφορά από αντίγραφα ασφαλείας δεν σταματά τον σύγχρονο εκβιασμό, διαβάστε την εξήγηση του διπλού εκβιασμού ransomware. Για να δείτε τι μπορούν να σημαίνουν τα κλεμμένα δεδομένα για πραγματικούς ανθρώπους, διαβάστε την κάλυψή μας για την παραβίαση ransomware της Beacon Mutual.