Europolin johtama yhdeksän maan operaatio on iskenyt kovaa KillSec-kiristysjengiin. Viranomaiset raportoivat kolmesta pidätyksestä ja 110 TB:n takavarikoinnista, ja Yhdysvaltain oikeusministeriö on nostanut syytteen alankomaalaista...

Europolin johtama yhdeksän maan operaatio on iskenyt kovaa KillSec-kiristysjengiin. Viranomaiset raportoivat kolmesta pidätyksestä ja 110 TB:n takavarikoinnista, ja Yhdysvaltain oikeusministeriö on nostanut syytteen alankomaalaista epäiltyä vastaan, joka tunnetaan nimellä "Archduke". Tämä KillSec-kiristysjengin alasajoa selittävä opas kattaa sen, mitä takavarikoitiin, mitä syytteestä tiedetään ja mitä se muuttaa – ja mitä ei – uhreille ja tavallisille puolustajille.

Mitä operaatio KillSwitch todella takavarikoi

Raporttien mukaan operaatio KillSwitch tuotti kolme pidätystä ja 110 TB:n takavarikoinnin KillSec-ryhmältä. Yhdeksän maata osallistui toimeen. Erilliset lainvalvontaviranomaisten julkiset tiedotteet kuvailevat sitä yhteiseksi, vaiheittaiseksi operaatioksi, jota johti FBI San Juan ja joka kohdistui ryhmään, jota FBI kutsuu nimellä Kill Security Ransomware Group.

Europolin oma tiedote, sellaisena kuin se näkyy hakutuloksissa, lisää mittakaavaa. Siinä kuvataan kolme pidätystä ja kahdeksan kotietsintää neljässä Euroopan maassa operaatiossa, joka kohdistui ryhmään, joka on yhdistetty noin 1 000 hyökkäykseen maailmanlaajuisesti. Sveitsin hallituksen tiedotteessa KillSecin käyttämän IT-infrastruktuurin purkaminen ajoitetaan 30. syyskuulle. Europolin otsikko viittaa myös palvelimien ja vuotosivuston takavarikointiin.

110 TB:n luku on merkityksellinen käytännön syystä. Kiristysjengit, jotka varastavat dataa ennen sen salaamista, säilyttävät sitä hallitsemallaan infrastruktuurilla, ja sen takavarikoiminen voi antaa tutkijoille todisteita, uhreiluetteloita ja joissakin tapauksissa tavan varoittaa asianomaisia organisaatioita. Tarkastelemamme yhteenveto ei kerro, kuinka suuri osa 110 TB:stä on varastettua uhridataa ja kuinka suuri osa muuta aineistoa, joten suhtaudu varoen kaikkiin väitteisiin sen sisällöstä, kunnes viranomaiset kertovat lisää.

Kuka "Archduke" on ja mitä DOJ väittää

DOJ on nostanut syytteen alankomaalaista epäiltyä vastaan, joka käyttää nimimerkkiä "Archduke". Lähdeyhteenveto ei erittele yksittäisiä syytteitä, epäillyn roolia ryhmässä tai sitä, missä vaiheessa tapaus on menettelyllisesti. Emme arvaile näitä yksityiskohtia.

Yksi varoituksen aihe: Europolin tiedotteen otsikko viittaa teini-ikäiseen, jonka epäillään johtaneen KillSeciä, ja jotkut tietoturvayritykset ovat julkaisseet artikkeleita nuoren väitetyn johtajan pidätyksestä. Käytettävissämme oleva aineisto ei vahvista, että tämä henkilö ja syytetty "Archduke" olisivat sama yksilö, joten emme yhdistä heitä. Syyte on myös väite, ei tuomio. Oikeuden asiakirjat ja DOJ:n viralliset lausunnot ovat luotettava paikka tarkistaa syytteet niiden kehittyessä.

Mitä alasajo merkitsee KillSecin uhreille

Jo KillSecin kohteeksi joutuneille organisaatioille uutinen on rohkaiseva mutta puutteellinen. Tietoturvatutkijat ovat sanoneet ryhmän hyödyntäneen ohjelmistohaavoittuvuuksia ja pilvitallennuksen väärinkonfiguraatioita noin 1 000 organisaation tunkeutumiseen. Takavarikoidut palvelimet ja takavarikoitu vuotosivusto voivat rajoittaa ryhmän kykyä painostaa uhreja julkaisemalla varastettuja tiedostoja.

Mutta alasajo ei ole siivous. Useita asioita kannattaa pitää mielessä:

• Jo varastettu data on saatettu kopioida muualle. Palvelimien takavarikointi ei takaa, että jokainen kopio on poissa.
• Salatut järjestelmät pysyvät salattuina. Elleivät tutkijat julkaise salauksenpurkua helpottavia työkaluja, palautuminen riippuu edelleen omista varmuuskopioistasi.
• Kiristysjengit usein pirstoutuvat tai vaihtavat brändiä. Joidenkin jäsenten pidätykset eivät välttämättä lopeta ryhmän käyttämiä taktiikoita.
• Uhreihin saatetaan ottaa yhteyttä. Jos epäilet joutuneesi kohteeksi, seuraa lainvalvontaviranomaisten yhteydenottoja ja ilmoita tapauksesta maasi asianmukaisten kanavien kautta.

Jos organisaatiosi oli KillSecin kohde, oleta, että varastettu data voi edelleen nousta esiin, ja jatka tunnusten vaihtamista, tietomurtoilmoitusvelvollisuuksien hoitamista ja seurantaa kuten muutenkin tekisit.

Kiristysjengipuolustukset, joilla on edelleen merkitystä: varmuuskopiot, segmentointi ja VPN:n rajat

KillSeciin yhdistetyt menetelmät – ohjelmistovirheiden hyödyntäminen ja väärin konfiguroitu pilvitallennus – ovat yleisiä kiristysjengien keskuudessa. Siksi perusasiat painavat edelleen eniten, riippumatta siitä, ketkä ovat tässä kuussa pidätettyinä.

Varmuuskopiot. Pidä useita kopioita, mukaan lukien vähintään yksi offline- tai muuttumaton kopio, johon hyökkääjät eivät pääse käsiksi varastetuilla tunnuksilla. Testaa palautuksia säännöllisesti, sillä varmuuskopio, jota et ole koskaan palauttanut, on oletus, ei suunnitelma.

Verkon segmentointi. Järjestelmien erottaminen rajoittaa sitä, kuinka pitkälle tunkeilija voi liikkua. Jos yksi kone tai pilvitili vaarantuu, segmentointi voi estää sitä muuttumasta koko yrityksen laajuiseksi salausincidentiksi.

Paikkaukset ja konfigurointi. Koska haavoittuvuudet ja tallennuksen väärinkonfiguraatiot olivat osa raportoitua toimintamallia, tarkista julkisesti näkyvät ohjelmistot päivitysten varalta ja varmista, että pilvitallennus ei ole laajemmin esillä kuin on tarkoitus.

Mihin VPN sopii. VPN salaa liikenteen laitteesi ja VPN-palvelimen välillä ja voi piilottaa IP-osoitteesi vierailemiltasi sivustoilta. Se ei paikkaa haavoittuvaa ohjelmistoa, korjaa väärin konfiguroitua tallennussäiliötä tai suojaa varmuuskopioita. Kohtele sitä yhtenä rajattuna yksityisyyskerroksena, ei kiristysjengipuolustuksena.

CISA:n StopRansomware-opas on laajalti viitattu resurssi kattavamman vastaussuunnitelman rakentamiseen.

Mitä tämä merkitsee sinulle

Jos olet yksityishenkilö, tämä operaatio ei ole syy muuttaa tapojasi yhdessä yössä, mutta se on hyvä muistutus tarkistaa, että tärkeät tiedostosi on varmuuskopioitu jonnekin, mihin kiristysjengi ei pääse käsiksi. Jos hallinnoit pientä yritystä tai tiimiä, alasajo ei poista riskiä vastaavilta ryhmiltä, jotka käyttävät samankaltaisia menetelmiä.

Laajempi viesti on, että kansainvälinen yhteistyö voi tavoittaa kiristysjengien infrastruktuurin ja niiden taustalla olevat henkilöt. Se on hyödyllistä, mutta se toimii oman valmistautumisesi rinnalla, ei sitä korvaten.

Keskeiset huomiot

• Operaatio KillSwitchiin osallistui yhdeksän maata, kolme pidätystä ja 110 TB takavarikoitiin, ja DOJ nosti syytteen alankomaalaista epäiltyä "Archdukea" vastaan.
• Syyte on väite; syytteiden yksityiskohdat eivät olleet tarkastelemassamme yhteenvedossa.
• Alasajo ei pura tiedostojen salausta tai takaa, että varastettu data on poissa.
• Tarkista oma varmuuskopiointi- ja verkkosegmentointiasetuksesi tällä viikolla, mukaan lukien se, onko sinulla offline-kopio ja oletko testannut palautuksen.
• Käytä VPN:ää yksityisyyteen halutessasi, mutta älä laske sen varaan kiristysjengisuojaaa.

FAQ: Q1: Kuinka monta pidätystä KillSec-kiristysjengin alasajossa tehtiin? A1: Operaation KillSwitch yhteydessä tehtiin kolme pidätystä; kyseessä oli Europolin johtama operaatio, joka kohdistui KillSec-kiristysjengiin. Q2: Mikä viranomainen nosti syytteen 'Archduke'-nimellä tunnettua epäiltyä vastaan? A2: Yhdysvaltain oikeusministeriö nosti syytteen alankomaalaista epäiltyä vastaan, joka tunnetaan nimellä 'Archduke'. Q3: Kuinka paljon dataa KillSec-alasajossa takavarikoitiin? A3: Viranomaiset takavarikoivat 110 TB dataa KillSec-ryhmältä operaation aikana. Q4: Tarkoittaako alasajo, että uhrien varastettu data on turvassa? A4: Ei, artikkelissa todetaan, että jo varastettu data on saatettu kopioida muualle, joten palvelimien takavarikointi ei takaa siivousta. Q5: Onko vahvistettu, että syytetty 'Archduke' on sama teini-ikäinen, jonka väitetään johtaneen KillSeciä? A5: Ei, käytettävissä oleva aineisto ei vahvista, että syytetty 'Archduke' ja Europolin otsikossa mainittu teini-ikäinen olisivat sama yksilö. ---END---