Μια έρευνα για το κυβερνοέγκλημα συνέδεσε τον διαχειριστή του Qilin ransomware με τον Aleksey Mikhailovich Yakovtsev, έναν άνδρα 36 ετών που ζει στην Αγία Πετρούπολη της Ρωσίας. Με τον διαχειριστή του Qilin ransomware να ταυτοποιείται με όνομα, ηλικία και πόλη, η ιστορία αποτελεί μια σπάνια αποκάλυψη σε μια γωνιά του κυβερνοεγκλήματος όπου οι επιχειρησιακοί συνήθως κρύβονται πίσω από ψευδώνυμα. Εγείρει επίσης ένα πρακτικό ερώτημα: τι αλλάζει ένα όνομα για τα θύματα, και τι μπορούν να κάνουν οι απλοί άνθρωποι και οι μικροί οργανισμοί σχετικά με τον εκβιασμό μέσω κλοπής δεδομένων;

Πρώτα μια σημείωση προσοχής. Η μέχρι τώρα κάλυψη είναι σύντομη, και οι λεπτομέρειες προέρχονται από τα ευρήματα μιας έρευνας και όχι από δικαστική απόφαση. Η σύνδεση θα πρέπει να διαβαστεί ως καταλογισμός, όχι ως αποδεδειγμένο νομικό συμπέρασμα.

Ο διαχειριστής του Qilin Ransomware ταυτοποιήθηκε: Σε ποιον στοιχειοθετεί η έρευνα

Σύμφωνα με το άρθρο, η έρευνα συνδέει τον διαχειριστή του Qilin με τον Aleksey Mikhailovich Yakovtsev, ο οποίος είναι 36 ετών και ζει στην Αγία Πετρούπολη της Ρωσίας. Αυτή είναι η πλήρης έκταση όσων επιβεβαιώνει η πηγή. Δεν περιγράφει πώς οι ερευνητές κατέληξαν σε αυτό το συμπέρασμα, ποια στοιχεία το υποστηρίζουν ή αν κάποια υπηρεσία επιβολής του νόμου έχει προβεί σε ενέργειες.

Αυτό το κενό έχει σημασία. Ο καταλογισμός στο κυβερνοέγκλημα συχνά οικοδομείται από ένα μείγμα διαρρεουσών συνομιλιών, ιχνών υποδομής και επιχειρησιακών λαθών, και η ισχύς κάθε κρίκου ποικίλλει. Μέχρι να δημοσιευτούν περισσότερα ή να επιβεβαιώσει το εύρημα κάποια αρχή, αντιμετωπίστε το όνομα ως αναφερόμενο ισχυρισμό. Αξίζει να παρακολουθείτε για ενημερώσεις, αλλά δεν είναι κάτι που πρέπει να θεωρείτε τετελεσμένο.

Πώς ομάδες ransomware όπως το Qilin πλήττουν τα θύματα

Το άρθρο πηγής δεν περιγράφει λεπτομερώς τις μεθόδους του Qilin, επομένως είναι χρήσιμο να εξηγήσουμε πώς λειτουργεί γενικά ο σύγχρονος εκβιασμός ransomware. Πολλές ομάδες δεν βασίζονται πλέον μόνο στο κλείδωμα αρχείων. Πρώτα αντιγράφουν ευαίσθητα δεδομένα έξω από το δίκτυο του θύματος, στη συνέχεια κρυπτογραφούν συστήματα και έπειτα πιέζουν το θύμα με δύο απειλές: πληρωμή για ένα κλειδί αποκρυπτογράφησης, και πληρωμή για να σταματήσουν τα κλεμμένα δεδομένα να δημοσιευτούν σε ιστότοπο διαρροής.

Αυτό το μοντέλο διπλού εκβιασμού είναι ο λόγος για τον οποίο τα αντίγραφα ασφαλείας από μόνα τους δεν αποτελούν πλήρη άμυνα. Ακόμη και αν ένας οργανισμός επαναφέρει τα πάντα από ένα καθαρό αντίγραφο, τα κλεμμένα δεδομένα βρίσκονται ακόμα στα χέρια των εγκληματιών. Πελάτες, ασθενείς, εργαζόμενοι και συνεργάτες μπορεί να εκτεθούν παρόλο που δεν αλληλεπίδρασαν ποτέ με τους επιτιθέμενους.

Πολλές επιχειρήσεις ransomware λειτουργούν επίσης ως υπηρεσία. Μια βασική ομάδα συντηρεί το κακόβουλο λογισμικό και την υποδομή, ενώ οι συνεργάτες (affiliates) εκτελούν τις εισβολές. Αν θέλετε μια ματιά στο πώς φαίνεται αυτή η κατανομή εργασίας από μέσα, η αναφορά μας για έναν ανοιχτό διακομιστή που συνδέεται με συνεργάτες των INC και The Gentlemen ransomware προσφέρει μια σπάνια ματιά στο πώς οι εγκληματίες εργάζονται στην πραγματικότητα καθημερινά.

Τι αλλάζει και τι δεν αλλάζει μια αποκάλυψη ταυτότητας

Το να δώσεις όνομα και πόλη σε έναν διαχειριστή μπορεί να έχει σημασία, αλλά σπάνια τερματίζει μια επιχείρηση από μόνο του. Ακολουθεί μια ρεαλιστική άποψη του αντίκτυπου.

Τι μπορεί να αλλάξει:

  • Αυξάνει τον προσωπικό κίνδυνο για το άτομο που κατονομάζεται, συμπεριλαμβανομένων ταξιδιωτικών περιορισμών, κυρώσεων ή ερευνητικής προσοχής.
  • Μπορεί να κάνει τους συνεργάτες και εταίρους πιο επιφυλακτικούς ως προς την εμπιστοσύνη στην επιχείρηση.
  • Δίνει στους αμυνόμενους και τους ερευνητές ένα ακόμη νήμα να τραβήξουν κατά τη χαρτογράφηση υποδομών και ροών χρημάτων.

Τι συνήθως δεν αλλάζει:

  • Τα υπάρχοντα θύματα δεν βοηθούνται αυτόματα. Τα κλεμμένα δεδομένα που έχουν διαρρεύσει παραμένουν διερρηγμένα.
  • Το κακόβουλο λογισμικό και οι τακτικές δεν εξαφανίζονται. Οι συνεργάτες, τα εργαλεία και τα playbooks μπορούν να μετακινηθούν σε άλλα brands.
  • Ένα άτομο που ζει στη Ρωσία μπορεί να είναι δύσκολο για τις ξένες αρχές να προσεγγίσουν, επομένως μια σύλληψη δεν είναι εγγυημένη. Το άρθρο δεν αναφέρει καμία σύλληψη.

Εν ολίγοις, μια ταυτοποίηση είναι ένα σημείο πίεσης, όχι ένα κλείσιμο. Οι άμυνές σας δεν πρέπει να εξαρτώνται από την εξαφάνιση μιας ομάδας.

Τι σημαίνει αυτό για εσάς

Οι περισσότεροι άνθρωποι δεν θα είναι ποτέ ο άμεσος στόχος της διαπραγμάτευσης μιας ομάδας ransomware, αλλά πολλοί θα επηρεαστούν από μία. Τα δεδομένα σας βρίσκονται σε νοσοκομεία, καταστήματα λιανικής, εργοδότες, σχολεία και παρόχους υπηρεσιών. Όταν ένας από αυτούς πληγεί από εκβιασμό μέσω κλοπής δεδομένων, οι πληροφορίες σας μπορεί να καταλήξουν στη διαρροή.

Αυτό σημαίνει δύο πράγματα. Πρώτον, δεν μπορείτε να ελέγξετε πλήρως αν μια εταιρεία που χρησιμοποιείτε θα παραβιαστεί. Δεύτερον, μπορείτε να ελέγξετε πόση ζημιά προκαλούν τα κλεμμένα δεδομένα σε εσάς. Μοναδικοί κωδικοί πρόσβασης, έλεγχος ταυτότητας πολλαπλών παραγόντων και προσεκτική διαχείριση απροσδόκητων μηνυμάτων περιορίζουν όσα μπορεί να κάνει ένας επιτιθέμενος με διαρρεύσαντα στοιχεία. Αν διευθύνετε μια μικρή επιχείρηση ή διαχειρίζεστε τις συσκευές ενός νοικοκυριού, τα ίδια βασικά ισχύουν και για τα δικά σας συστήματα.

Πρακτικά βήματα για να μειώσετε την έκθεσή σας σε ransomware

Κανένα από αυτά τα βήματα δεν είναι εξωτικό, και μαζί μειώνουν τον κίνδυνο ουσιαστικά.

  1. Διατηρήστε αντίγραφα ασφαλείας εκτός σύνδεσης ή αμετάβλητα. Αποθηκεύστε τουλάχιστον ένα αντίγραφο αποσυνδεδεμένο από το δίκτυό σας ώστε το ransomware να μην μπορεί να το κρυπτογραφήσει. Δοκιμάζετε περιοδικά την επαναφορά από αυτό.
  2. Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων. Δώστε προτεραιότητα στο email, τις τραπεζικές υπηρεσίες, την αποθήκευση στο cloud και οποιαδήποτε εργαλεία απομακρυσμένης πρόσβασης. Προτιμήστε εφαρμογές authenticator ή κλειδιά υλικού αντί για SMS όπου είναι δυνατόν.
  3. Χρησιμοποιήστε έναν διαχειριστή κωδικών πρόσβασης και μοναδικούς κωδικούς. Αν μια υπηρεσία διαρρεύσει, τα επαναχρησιμοποιημένα διαπιστευτήρια δεν πρέπει να ξεκλειδώνουν τους άλλους λογαριασμούς σας.
  4. Ενημερώνετε άμεσα. Ενημερώστε λειτουργικά συστήματα, προγράμματα περιήγησης, δρομολογητές και επαγγελματικό λογισμικό μόλις είναι διαθέσιμες διορθώσεις.
  5. Να είστε δύσπιστοι απέναντι σε ανεπιθύμητα μηνύματα. Το phishing παραμένει ένας κοινός τρόπος εισόδου σε ένα δίκτυο. Επαληθεύστε απροσδόκητα αιτήματα μέσω ξεχωριστού καναλιού.
  6. Περιορίστε τι αποθηκεύετε και μοιράζεστε. Δεδομένα που δεν χρειάζεστε πλέον είναι δεδομένα που δεν μπορούν να κλαπούν. Διαγράψτε παλιά αρχεία και κλείστε ανενεργούς λογαριασμούς.
  7. Προστατεύστε τις ευαίσθητες επικοινωνίες. Χρησιμοποιήστε κρυπτογραφημένη ανταλλαγή μηνυμάτων από άκρο σε άκρο για ιδιωτικές συνομιλίες και ένα αξιόπιστο VPN σε μη αξιόπιστα δίκτυα όπως το δημόσιο Wi-Fi. Ένα VPN δεν σταματά το ransomware, αλλά μειώνει την έκθεση σε παρακολούθηση της σύνδεσης.

Το συμπέρασμα

Ο διαχειριστής του Qilin ransomware που ταυτοποιήθηκε σε αυτή την έρευνα είναι μια αξιοσημείωτη εξέλιξη, αλλά η κάλυψη είναι ακόμη ισχνή και το πρακτικό αποτέλεσμα για τα θύματα είναι περιορισμένο. Ο εκβιασμός ransomware εξαρτάται από κλεμμένα δεδομένα, αδύναμους ελέγχους πρόσβασης και απροετοίμαστους στόχους, και αυτές οι συνθήκες παραμένουν ανεξάρτητα από το ποιος βρίσκεται πίσω από ένα δεδομένο brand.

Χρησιμοποιήστε αυτή τη στιγμή για να ενισχύσετε τη δική σας ρύθμιση: κάντε αντίγραφα ασφαλείας εκτός σύνδεσης, ενεργοποιήστε MFA στους βασικούς λογαριασμούς σας και μεταφέρετε τις ιδιωτικές συνομιλίες σε κρυπτογραφημένα κανάλια. Για μια ακόμη σπάνια ματιά στο πώς λειτουργούν οι συνεργάτες ransomware, διαβάστε την κάλυψή μας για την ανακάλυψη του SOCRadar ενός ανοιχτού διακομιστή που συνδέεται με επιθέσεις των INC και The Gentlemen, και επιστρέψτε εδώ για ενημερώσεις αν ο καταλογισμός του Qilin επιβεβαιωθεί ή αμφισβητηθεί.