Egy csoport, amely Ransom Busters néven fut, olyan közönséget céloz meg, akiknek már így is borzalmas hetük volt: zsarolóvírus-áldozatokat. A csoport tevékenységéről szóló beszámolók szerint a Ransom Busters azt állítja, hogy feltörtek a zsarolóvírus-üzemeltetők saját szervereire, és most alkut kínál az áldozatoknak: fizessenek 20 000 és 60 000 dollár között, és a csoport segít visszaállítani a titkosított fájlokat és törölni az ellopott adatokat. Ez mentőövnek hangzik. Valószínűbb azonban, hogy egy második zsarolási kísérlet, amely mentőakciónak van álcázva.
Ez a történet azért fontos, mert rávilágít a zsarolóvírus-ökoszisztémában egyre növekvő problémára: miután egy szervezetet egyszer megtámadtak, az opportunista szereplők célpontjává válik, akik kihasználják az adatvédelmi incidens után bekövetkező káoszt, félelmet és sürgősséget. Annak megértése, hogyan működik ez a hamis zsarolóvírus-helyreállítási átverés, és hogyan lehet megkülönböztetni a valódi segítséget a csalástól, elengedhetetlen minden olyan szervezet számára, amely egy támadás rossz oldalán találja magát.
Mit állít kínálni a Ransom Busters
A beszámolók szerint a Ransom Busters külső félként mutatja be magát, amely kompromittálta a zsarolóvírus-bandák által használt infrastruktúrát. A felvetés egyszerű: a csoport azt mondja, hogy képes visszaszerezni a visszafejtési képességet vagy az ellopott fájlokat, és biztosítani tudja, hogy az eredeti támadás során elvitt adatokat töröljék, ne pedig kiszivárogtassák. Cserébe az áldozatoknak 20 000 és 60 000 dollár közötti díjat kell fizetniük, ami jelentős összeg azoknak a szervezeteknek, amelyek már így is szenvednek a működési veszteségektől, az állásidőtől vagy egy kezdeti váltságdíj-követeléstől.
A felszínen ez a keretezés hitelességet kölcsönöz az etikus hacking és a kiberbiztonsági kutatás nyelvéből. Valóban léteznek olyan csoportok, amelyek valóban behatolnak a bűnözői infrastruktúrába, és a bűnüldöző szervek időnként hasonló módszerekkel szereztek vissza visszafejtési kulcsokat. De a Ransom Busters állításaihoz nem kapcsolódik független ellenőrzés, és az egész modell azon alapul, hogy az áldozatok egy névtelen harmadik félnek bíznak pénzt, miután már egyszer megégették őket.
Hogyan működik a kettős zsarolási átverés
A mechanizmus itt egyszerű és elkeserítően hatékony. A zsarolóvírus-áldozatai már eleve nyomás alatt vannak: a rendszerek leálltak, az ügyfelek vagy a szabályozó hatóságok kérdéseket tehetnek fel, és az eredeti támadók visszaszámlálót nyomnak. Ebbe a káoszba lép be egy csoport, amely gyors megoldást kínál, egy módot arra, hogy a problémát egy olyan díj ellenében tüntessék el, amely a váltságdíjhoz vagy az elhúzódó állásidő költségeihez képest akár szerénynek is tűnhet.
Ez funkcionálisan egy második zsarolás, amely az elsőre rétegződik. Függetlenül attól, hogy a Ransom Busters rendelkezik-e valódi hozzáféréssel a zsarolóvírus-infrastruktúrához, az ösztönző szerkezet azonos az eredeti támadással: fizess pénzt egy nem ellenőrzött félnek egy ígéretért cserébe. Az áldozatoknak nincs módjuk megerősíteni, hogy a fájlokat visszaállítják, hogy az ellopott adatokat valóban törlik, vagy hogy nem zsarolják meg őket harmadszor is később. Ez a minta visszaköszön a más zsarolásvezérelt incidensekben látott forgatókönyvekből, beleértve azokat az eseteket is, amikor olyan csoportok, mint a ShinyHunters, nyilvános adatszivárgási határidőket szabtak meg az áldozatok nyomás alá helyezésére, amint az a ShinyHunters adatvédelmi incidensben, amely az Inter-Con Security e-mailjeit érintette és a Kodak adatkövetelésekben, amelyek szivárgási határidőhöz kötődnek is látható.
A legitim helyreállítási szolgáltatások ellenőrzése a csalásokkal szemben
A hamis helyreállítási ajánlatok elterjedése az ellenőrzést kritikus képességgé teszi minden incidenssel foglalkozó szervezet számára. Néhány gyakorlati ellenőrzés segíthet megkülönböztetni a legitim segítséget a csalástól. A legitim incidenskezelő cégek és bűnüldözési kapcsolatok ellenőrizhetők bevett csatornákon, szakmai engedélyeken, korábbi esetekre vonatkozó referenciákon és hivatalos szerződéseken keresztül. Az ilyen szolgáltatók jellemzően nem jelentkeznek kéretlenül, rögzített árral és azzal az állítással, hogy személyesen feltörték a támadó szervereit.
A szervezeteknek szkeptikusnak kell lenniük minden kéretlen megkereséssel szemben zsarolóvírus-incidens után, függetlenül attól, hogy az egy helyreállítási szolgáltatásnak, egy újságírónak vagy akár egy másik áldozatnak adja ki magát, aki megosztaná tapasztalatait. A támadók és az opportunisták egyaránt tudják, hogy egy feltört vállalat figyelmetlen és szorongó, ami puha célponttá teszi a további manipulációhoz. Egy ismert, ellenőrzött incidenskezelő szolgáltató bevonása és a bűnüldöző szervek értesítése továbbra is biztonságosabb út, mint névtelen csoportokkal való tárgyalás titkosított chaten vagy a dark web fórumain.
Miért jobb a biztonsági mentés, mint bármilyen váltságdíj kifizetése
A legtartósabb védekezés mind az eredeti zsarolóvírus-követelés, mind az olyan utólagos átverések ellen, mint a Ransom Busters, egyszerű: megbízható, tesztelt biztonsági mentések. Ha a fájlok visszaállíthatók egy tiszta, offline biztonsági másolatból, akkor nincs ok tárgyalni az eredeti támadókkal, vagy szórakozni egy fizetős helyreállítást kínáló harmadik féllel. Ez teljesen megszünteti a nyomásgyakorlási lehetőséget.
A tágabb iparág már ebbe az irányba mozdul el. Amint azt a zsarolóvírus-kifizetések iparági szintű csökkenéséről szóló tudósítások részletezik, egyre kevesebb szervezet dönt úgy, hogy egyáltalán fizet zsarolási követeléseket, részben a jobb biztonsági mentési gyakorlatoknak, részben pedig annak köszönhetően, hogy egyre többen tudatosítják: a fizetés nem garantál eredményt. A gyorsan terjedő fenyegetések, mint például a Spirals zsarolóvírus-variáns, amely 24 órán belül képes titkosítani egy hálózatot, szintén aláhúzzák, hogy a megelőzés és a gyors észlelés miért fontosabb, mint bármilyen utólagos tárgyalás, akár valós, akár hamis.
Mit jelent ez Önnek
Ha szervezetét valaha is zsarolóvírus támadja meg, kezelje minden kéretlen helyreállítási ajánlatot, beleértve az olyan csoportokét is, mint a Ransom Busters, ugyanazzal a gyanakvással, amelyet az eredeti támadók felé tanúsítana. Ha egy nem ellenőrzött félnek több ezer dollárt fizet egy feltört szerverekre vonatkozó állítás alapján, az olyan szerencsejáték, amelyhez nem kapcsolódik kikényszeríthető garancia. A biztonságosabb, megbízhatóbb út az offline biztonsági mentések fenntartása, ellenőrzött incidenskezelő szakemberek bevonása, valamint az incidens bejelentése a bűnüldöző szerveknek, ahelyett, hogy a sötétben tárgyalnának.
Főbb tanulságok
- Minden kéretlen zsarolóvírus-helyreállítási ajánlatot kezeljen potenciális csalásként, amíg függetlenül nem ellenőrzik.
- Soha ne küldjön fizetést egy harmadik félnek, amely szerver-hozzáférést állít, dokumentált bizonyíték és hivatalos szerződési feltételek nélkül.
- Tartsa fenn a tesztelt, offline biztonsági mentéseket, hogy a váltságdíj-követelések – akár valósak, akár hamisak – teljesen elveszítsék nyomásgyakorló erejüket.
- Jelentse a zsarolóvírus-incidenseket a bűnüldöző szerveknek, és működjön együtt bevett incidenskezelő cégekkel, ne névtelen csoportokkal.
- Figyelje az iparági trendeket: ahogy a zsarolóvírus-kifizetések összességében csökkennek, a támadók és az opportunisták olyan sémákkal alkalmazkodnak, mint a hamis helyreállítási ajánlatok, ezért legyen éber az újabb változataira ugyanazoknak a nyomásgyakorlási taktikáknak.
