Una nuova operazione ransomware sta facendo una proposta aggressiva ai potenziali criminali. Secondo il reporting di eSecurity Planet, Dark Project offre agli affiliati l'80% dei pagamenti di estorsione e dichiara finora 38 vittime. Il modello di affiliazione del ransomware Dark Project è un promemoria del fatto che l'economia dell'estorsione continua a spostarsi a favore degli attaccanti, e che le persone comuni spesso subiscono le conseguenze quando viene colpita un'organizzazione che detiene i loro dati.
Questo post illustra ciò che è noto dal reporting, perché la struttura dei pagamenti è importante e cosa possono fare sia le organizzazioni sia gli individui. Il materiale di partenza è breve, quindi ci atteniamo a ciò che conferma: la quota dell'80% per gli affiliati e la dichiarazione di 38 vittime.
Come funziona il pagamento dell'80% agli affiliati di Dark Project
Dark Project segue il modello ransomware-as-a-service (RaaS). In un accordo RaaS, un gruppo centrale sviluppa e mantiene il malware e l'infrastruttura che lo circonda. Gli affiliati, che sono operatori separati, portano a termine le intrusioni e i tentativi di estorsione veri e propri. Quando una vittima paga, il denaro viene diviso tra le due parti.
In questo caso, la divisione riportata assegna agli affiliati l'80% di ogni pagamento di estorsione. Gli operatori trattengono il resto. La cifra di 38 vittime è una dichiarazione fatta dal gruppo, il che significa che dovrebbe essere trattata come non verificata finché non sarà confermata dalle organizzazioni coinvolte o da ricercatori indipendenti.
La divisione del lavoro è il punto del modello. Gli sviluppatori si concentrano sugli strumenti, sui siti di leak e sull'infrastruttura di negoziazione. Gli affiliati si concentrano sull'entrare. Ciascuna parte fa meno lavoro di quanto farebbe una squadra completamente indipendente, ed è per questo che il modello si è diffuso così ampiamente. Per uno sguardo più approfondito su come un gruppo consolidato ha operato con questo approccio, consulta il nostro profilo del ransomware BlackCat/ALPHV.
Perché le generose divisioni RaaS abbassano la barriera all'estorsione
Una percentuale elevata per gli affiliati è uno strumento di reclutamento. I gruppi più recenti devono competere per intrusori qualificati contro marchi consolidati, e una quota maggiore è un modo per attirarli. Una quota dell'80% rende l'offerta finanziariamente allettante per chiunque riesca a ottenere accesso a una rete.
C'è anche un effetto sulle competenze. Poiché la piattaforma fornisce gli strumenti di crittografia e l'infrastruttura di leak, un affiliato non ha bisogno di scrivere malware o gestire un'operazione di negoziazione. Questo abbassa la barriera tecnica e amplia la platea di persone che possono tentare un attacco.
Il risultato sono più tentativi, distribuiti su più obiettivi, comprese organizzazioni che detengono registri sensibili sulle persone ma hanno budget di sicurezza limitati. Il pattern è visibile in incidenti come l'attacco ransomware a un'organizzazione no-profit che assiste i sopravvissuti alla tratta, dove l'importanza è derivata meno dalla sofisticatezza tecnica che da chi è stato colpito.
Cosa dovrebbero monitorare e rafforzare le organizzazioni
Poiché sono gli affiliati a effettuare le intrusioni, i difensori dovrebbero concentrarsi sulle vie comuni di ingresso in una rete piuttosto che sul marchio di un singolo gruppo. Le priorità pratiche includono:
- Accesso remoto: Rivedere VPN, desktop remoto e altri servizi esposti esternamente. Applicare l'autenticazione a più fattori e correggere tempestivamente.
- Credenziali: Sorvegliare login insoliti, password riutilizzate e account con privilegi eccessivi.
- Movimento dei dati: Monitorare trasferimenti in uscita di grandi dimensioni o inattesi, poiché gli attacchi moderni typically comportano il furto di dati prima di crittografare qualsiasi cosa.
- Backup: Mantenere copie offline o immutabili e testare regolarmente il ripristino. I backup aiutano il recupero, ma non annullano il furto di dati. La nostra spiegazione della doppia estorsione spiega perché.
- Monitoraggio dei siti di leak: Tenere traccia se la tua organizzazione o i fornitori compaiono su siti di estorsione, così da poter agire tempestivamente.
Cosa significa questo per te
La maggior parte delle persone non sarà mai l'obiettivo diretto di un affiliato RaaS. L'esposizione arriva di seconda mano: un datore di lavoro, un assicuratore, un fornitore sanitario o una compagnia aerea detiene i tuoi dati, e quell'organizzazione viene attaccata. Quando i gruppi di estorsione pubblicano file rubati, le informazioni possono circolare ampiamente, come nel leak di 8,7 milioni di registrazioni di viaggiatori di aeroporti britannici.
Se un servizio che usi viene colpito, considera questi passaggi:
- Leggi attentamente l'avviso ufficiale. Annota quali categorie di dati sono state coinvolte e qualsiasi protezione offerta, come il monitoraggio del credito.
- Cambia la tua password per quel servizio, e per qualsiasi altro account in cui l'hai riutilizzata. Usa un gestore di password per crearne di uniche.
- Attiva l'autenticazione a più fattori ovunque sia disponibile.
- Fai attenzione al phishing. I dettagli di contatto rubati sono spesso usati per truffe di follow-up convincenti che fanno riferimento alla violazione. Non cliccare sui link in messaggi inaspettati; vai direttamente al sito dell'organizzazione.
- Monitora i conti finanziari e considera un blocco del credito se sono stati esposti identificatori come i numeri di previdenza sociale.
- Conserva registrazioni degli avvisi e di qualsiasi attività sospetta.
Il punto chiave
Il modello di affiliazione del ransomware Dark Project illustra una tendenza duratura: quando la divisione dei ricavi favorisce la persona che effettua l'intrusione, più persone sono disposte a provarci. Le 38 vittime dichiarate finora non sono confermate, ma è la struttura dietro di esse che conta. Le organizzazioni dovrebbero rafforzare i punti di accesso e sorvegliare il furto di dati, e gli individui dovrebbero essere pronti ad agire rapidamente quando un'azienda di cui si fidano divulga una violazione.
Per capire perché il ripristino dai backup non ferma l'estorsione moderna, leggi la nostra spiegazione della doppia estorsione ransomware. Per vedere cosa possono significare i dati rubati per le persone reali, leggi la nostra copertura della violazione ransomware di Beacon Mutual.
