Een nieuwe ransomware-operatie doet een agressieve poging om aspirant-criminelen aan te trekken. Volgens berichtgeving van eSecurity Planet biedt Dark Project affiliates 80% van de afpersingsbetalingen en claimt het tot nu toe 38 slachtoffers. Het affiliate-model van Dark Project is een herinnering dat de economie van afpersing blijft verschuiven in het voordeel van aanvallers, en dat gewone mensen vaak de gevolgen voelen wanneer een organisatie die hun gegevens beheert wordt getroffen.
Deze post behandelt wat bekend is uit de berichtgeving, waarom de uitbetalingsstructuur ertoe doet, en wat zowel organisaties als individuen kunnen doen. Het bronmateriaal is beknopt, dus we houden ons aan wat het bevestigt: het affiliate-aandeel van 80% en de claim van 38 slachtoffers.
Hoe de 80%-affiliate-uitbetaling van Dark Project werkt
Dark Project volgt het ransomware-as-a-service (RaaS)-model. In een RaaS-regeling bouwt en onderhoudt een kerngroep de malware en de infrastructuur eromheen. Affiliates, die afzonderlijke operateurs zijn, voeren de daadwerkelijke inbraken en afpersingspogingen uit. Wanneer een slachtoffer betaalt, wordt het geld tussen de twee partijen verdeeld.
Hier geeft de gerapporteerde verdeling affiliates 80% van elke afpersingsbetaling. De operateurs houden de rest. Het aantal van 38 slachtoffers is een claim van de groep, wat betekent dat het als ongeverifieerd moet worden beschouwd totdat het is bevestigd door de betrokken organisaties of onafhankelijke onderzoekers.
De taakverdeling is het punt van het model. De ontwikkelaars richten zich op tooling, leaksites en onderhandelingsinfrastructuur. Affiliates richten zich op het binnenkomen. Elke partij doet minder werk dan een volledig onafhankelijke crew zou doen, wat de reden is dat het model zich zo wijd heeft verspreid. Voor een diepere kijk op hoe een gevestigde groep onder deze aanpak heeft geopereerd, zie ons BlackCat/ALPHV-ransomwareprofiel.
Waarom royale RaaS-verdelingen de drempel voor afpersing verlagen
Een hoog affiliate-percentage is een wervingsinstrument. Nieuwere groepen moeten concurreren om bekwame indringers tegen gevestigde merken, en een groter aandeel is een manier om hen aan te trekken. Een aandeel van 80% maakt het aanbod financieel aantrekkelijk voor iedereen die toegang tot een netwerk kan krijgen.
Er is ook een vaardigheidseffect. Omdat het platform de versleutelingstooling en de leak-infrastructuur levert, hoeft een affiliate geen malware te schrijven of een onderhandelingsoperatie te runnen. Dat verlaagt de technische drempel en vergroot de groep mensen die een aanval kunnen proberen.
Het resultaat is meer pogingen, verspreid over meer doelen, waaronder organisaties die gevoelige gegevens over mensen beheren maar beperkte beveiligingsbudgetten hebben. Het patroon is zichtbaar in incidenten zoals de ransomwareaanval op een non-profitorganisatie die slachtoffers van mensenhandel ondersteunt, waar de betekenis minder kwam van technische verfijning dan van wie er werd getroffen.
Wat organisaties moeten monitoren en verharden
Omdat affiliates degenen zijn die inbreken, moeten verdedigers zich richten op de gangbare routes een netwerk binnen, in plaats van op de branding van een enkele groep. Praktische prioriteiten zijn onder meer:
- Externe toegang: Beoordeel VPN, remote desktop en andere extern blootgestelde diensten. Dwing multi-factor authenticatie af en patch tijdig.
- Inloggegevens: Let op ongebruikelijke logins, hergebruikte wachtwoorden en accounts met overmatige privileges.
- Gegevensverkeer: Monitor op grote of onverwachte uitgaande overdrachten, aangezien moderne aanvallen doorgaans gegevens stelen voordat er iets wordt versleuteld.
- Back-ups: Bewaar offline of onveranderlijke kopieën en test herstel regelmatig. Back-ups helpen bij herstel, maar maken gegevensdiefstal niet ongedaan. Onze uitleg over dubbele afpersing legt uit waarom.
- Leaksite-monitoring: Volg of uw organisatie of leveranciers op afpersingssites verschijnen, zodat u vroeg kunt handelen.
Wat dit voor u betekent
De meeste mensen zullen nooit het directe doelwit zijn van een RaaS-affiliate. De blootstelling komt indirect: een werkgever, verzekeraar, zorgverlener of luchtvaartmaatschappij beheert uw gegevens, en die organisatie wordt aangevallen. Wanneer afpersingsgroepen gestolen bestanden publiceren, kan de informatie zich wijd verspreiden, zoals bij het lek van 8,7 miljoen reizigersgegevens van Britse luchthavens.
Als een dienst die u gebruikt wordt getroffen, overweeg dan deze stappen:
- Lees de officiële kennisgeving zorgvuldig. Noteer welke categorieën gegevens betrokken waren en welke bescherming wordt geboden, zoals kredietmonitoring.
- Wijzig uw wachtwoord voor die dienst, en voor elk ander account waar u het hebt hergebruikt. Gebruik een wachtwoordmanager om unieke wachtwoorden te maken.
- Schakel multi-factor authenticatie in waar deze beschikbaar is.
- Let op phishing. Gestolen contactgegevens worden vaak gebruikt voor overtuigende vervolgscams die naar het datalek verwijzen. Klik niet op links in onverwachte berichten; ga rechtstreeks naar de site van de organisatie.
- Monitor financiële rekeningen en overweeg een kredietblokkade als identificatoren zoals burgerservicenummers zijn blootgesteld.
- Bewaar gegevens van kennisgevingen en eventuele verdachte activiteit.
De kern van de zaak
Het affiliate-model van Dark Project-ransomware illustreert een duurzame trend: wanneer de omzetverdeling in het voordeel is van degene die de inbraak pleegt, zijn meer mensen bereid het te proberen. De tot nu toe geclaimde 38 slachtoffers zijn niet bevestigd, maar de structuur erachter is wat ertoe doet. Organisaties moeten toegangspunten verharden en letten op gegevensdiefstal, en individuen moeten klaar zijn om snel te handelen wanneer een bedrijf dat ze vertrouwen een datalek meldt.
Om te begrijpen waarom herstel uit back-ups moderne afpersing niet stopt, lees onze uitleg over dubbele afpersing. Om te zien wat gestolen gegevens kunnen betekenen voor echte mensen, lees onze berichtgeving over het Beacon Mutual-ransomwarelek.
