„Ransom Busters”: Hamis helyreállító cégek mögött ransomware-átverés

Egy új csavar a régi zsarolási taktikában

A ransomware-bandák régóta támaszkodnak a félelemre és a sürgetésre, hogy nyomást gyakoroljanak az áldozatokra a fizetés érdekében. Most, a „Ransom Busters” névre keresztelt átverésről szóló beszámolók szerint, legalább egy ransomware-társult fél új szöget talált: azoknak adja ki magát, akiknek állítólag az áldozatok megsegítése lenne a dolguk.

Ahelyett, hogy egyszerűen fizetést követelne, majd eltűnne a támadás után, ez a szereplő állítólag segítségnyújtási ajánlatokkal keresi meg az áldozatokat, incidens-helyreállítási szolgáltatásként mutatva be magát. A bökkenő az, hogy ez a „segítség” nem semleges. Úgy tűnik, hogy a célja a váltságdíj-fizetések elterelése a legitim csatornáktól, és visszajuttatása ugyanabba a bűnözői ökoszisztémába, amely az adatsértést okozta.

Ez jelentős taktikai váltás. A hagyományos ransomware-műveletek egy egyszerű, bár kegyetlen tranzakcióra épülnek: adatok titkosítása, fizetés követelése, visszafejtési kulcs biztosítása (talán). Azzal, hogy egy hamis helyreállítási réteget illesztenek a folyamatba, a támadók kétszer is manipulálhatják a kétségbeesett áldozatokat: egyszer a kezdeti adatsértés során, majd újra, amikor kiutat próbálnak találni.

Miért különösen sebezhetők az áldozatok ezzel a fogással szemben

A ransomware által sújtott szervezetek gyakran válságmódban működnek. A rendszerek leállnak, a vezetők nyomás alatt vannak, a döntéshozók pedig minden hihető utat keresnek a működés helyreállításához. Ez a környezet pontosan az, ami hatékonnyá teszi a hamis „helyreállítási szolgáltatást”. Az áldozatok nem feltétlenül szűrik meg minden segítségajánlatot kétkedő szemmel; gyors megoldást keresnek.

Ez a taktika egyúttal a ransomware-szereplők azon szélesebb trendjére is épít, hogy elmossák a határt támadó és segítő között. Hasonlít más friss esetekhez, amikor a fenyegető szereplők megbízható szerepeket személyesítettek meg a hozzáférés vagy befolyás megszerzéséhez, mint például a Silent Ransom Group, amely fizikailag adta ki magát IT-munkatársaknak ügyvédi irodákban, hogy belülről manipulálja az alkalmazottakat. Akár személyesen, akár egy hamis helyreállítási márkán keresztül történik a személyazonosság-lopás, a cél ugyanaz: kihasználni a bizalmat pontosan abban a pillanatban, amikor egy szervezet a legkevésbé képes ellenőrizni, kivel is áll valójában szemben.

A ransomware-csoportok azt is megmutatták, hogy hajlandóak az ágazatok széles körét megcélozni, amikor adódik lehetőség, ahogyan az a SpaceBears csoport esetében is látható volt, amely a francia távközlési szolgáltatót, a Stellart támadta meg. Az olyan taktikák, mint a „Ransom Busters” átverés, arra utalnak, hogy még egy kezdeti támadás után sem feltételezhetik az áldozatok az iparágakban, hogy a veszély elmúlt, amint a tárgyalások megkezdődnek.

A hamis helyreállítási szolgáltatások adatvédelmi következményei

Az adatvédelmi vonatkozások itt túlmutatnak a pénzügyi szempontokon. Amikor egy áldozat kapcsolatba lép azzal, amiről azt hiszi, hogy legitim helyreállítási szolgáltatás, érzékeny részleteket oszthat meg a hálózatáról, az adatkitettségéről, a belső döntéshozatali folyamatairól, sőt akár a fizetési hajlandóságáról is. Ha ez a „szolgáltatás” valójában a támadó ellenőrzése alatt áll, vagy hozzá kapcsolódik, mindez az információ egyenesen azokhoz áramlik vissza, akik felelősek az adatsértésért.

Ez egy visszacsatolási hurkot hoz létre, amely minden szakaszban a támadónak kedvez: fizetést kapnak, információt szereznek arról, hogyan reagál az áldozat, és akár második esélyt is kaphatnak pénz kicsalására a legitim segítség leple alatt. Minden olyan szervezet számára, amely már amúgy is feltört adatokkal küszködik, ez a fajta átverés megsokszorozza a kitettséget ahelyett, hogy megoldaná azt.

Mit jelent ez az Ön számára

Ha az Ön szervezetét valaha is ransomware támadás éri, a gyors megoldás iránti nyomás intenzív lehet, de ez az átverés arra emlékeztet, hogy nem minden segítségajánlat őszinte egy válság idején. A helyreállítási cégeket, tárgyalókat és kiberbiztonsági tanácsadókat mindig függetlenül ellenőrizni kell, ideális esetben ajánlásokon, kialakult hírnéven vagy a kiberbiztosítási szolgáltatóján keresztül, nem pedig olyan kapcsolatokon át, amelyek felkérés nélkül bukkannak fel közvetlenül egy támadás után.

Azt is érdemes megjegyezni, hogy a legitim incidens-elhárító cégek általában nem a semmiből tűnnek fel kéretlen ajánlatokkal közvetlenül egy adatsértés után. Minden váratlan megkeresés, amely állítólagosan a váltságdíj-tárgyalásokban vagy az adathelyreállításban kíván segíteni, különös vizsgálatot érdemel, mielőtt bármilyen információ vagy pénz gazdát cserélne.

Gyakorlati tanulságok

• Ellenőrizze az incidens-helyreállítási vagy tárgyalási szolgáltatást megbízható, független csatornákon keresztül, mielőtt kapcsolatba lépne velük, különösen, ha ők keresik meg először.
• Vonja be korán a bűnüldöző szerveket és a kiberbiztosítási szolgáltatóját; ők segíthetnek megkülönböztetni a legitim helyreállítási partnereket az alkalmi szereplőktől.
• Kerülje a részletes információk megosztását az adatsértésről, a rendszereiről vagy a fizetési szándékairól olyan féllel, akinek a hitelesítő adatait nem erősítették meg.
• Kezelje az adatsértés utáni kéretlen segítségajánlatokat ugyanolyan kétkedéssel, mint amilyennel az eredeti váltságdíj-üzenetet kezelné.

Az olyan átverések, mint a „Ransom Busters”, megmutatják, hogy a ransomware-zsarolás nem mindig ér véget, amikor a váltságdíj-üzenet megjelenik. Az, hogy kiben bízik a támadás utáni időszakban, ugyanolyan fontos, mint a kezdeti adatsértés elleni védekezés.